Spanien: 1,09 Mio. € Bußgeld gegen Cecotec nach Datenleck im Altsystem

Wenn technische und organisatorische Defizite zusammenwirken

Die spanische Datenschutzaufsichtsbehörde Agencia Española de Protección de Datos (AEPD) hat gegen die Cecotec Innovaciones, S.L.U. ein Bußgeld von insgesamt 1,09 Mio. € verhängt. Auslöser war ein Datenleck auf einem weiterhin genutzten Altsystem.

Datenlecks lassen sich auch bei einem hohen Schutzniveau nicht immer verhindern. Der Erkenntniswert dieses Falls liegt daher weniger im Sicherheitsvorfall selbst als in der Vielzahl der technischen und organisatorischen Defizite, die die AEPD im Laufe ihrer Untersuchung feststellte. Die Entscheidung zeigt, an welchen Stellen Unternehmen ihre technischen und organisatorischen Maßnahmen regelmäßig überprüfen sollten.

Der Vorfall

Am 5. April 2023 informierte das spanische Cybersicherheitszentrum INCIBE die Cecotec Innovaciones S.L.U., einen Hersteller und Onlinehändler von Haushalts- und Elektrogeräten, über ein Verkaufsangebot in einem Darknet-Forum. Ein Angreifer bot dort eine Datenbank mit mutmaßlichen Kundendaten des Unternehmens an. Der Hinweis ging zunächst im allgemeinen Kundenpostfach ein und wurde erst nach einer erneuten Kontaktaufnahme des INCIBE am 12. April 2023 an die intern zuständigen Stellen weitergeleitet.

Die Untersuchungen ergaben, dass die Datensätze von einer älteren Kundenplattform stammten. Diese war Anfang 2021 durch ein Nachfolgesystem ersetzt worden, verarbeitete jedoch weiterhin Bestandsdaten. Am 19. April 2023 meldete Cecotec den Vorfall der AEPD.

Im Verwaltungsverfahren beschaffte sich die Behörde eine eigene Tatsachengrundlage. Der zuständige Inspektor kontaktierte den Verkäufer im Darknet-Forum. Dieser bestätigte, dass die angebotene Datenbank dem Unternehmen gehört, bezifferte sie auf über eine Million Datensätze und übermittelte dem Inspektor eine zusätzliche Stichprobe von 1.000 Datensätzen. Davon konnten im Laufe des Verfahrens 933 betroffene Personen eindeutig identifiziert werden.

Mit der Aufklärung des Datenlecks war das Verfahren jedoch nicht abgeschlossen. Im weiteren Verlauf untersuchte die AEPD die Datenverarbeitung im Zusammenhang mit dem Altsystem sowie die vom Unternehmen getroffenen technischen und organisatorischen Maßnahmen. Dabei stellte sie eine Reihe von Defiziten fest.

Die Defizite im Einzelnen

1. Ein Altsystem ohne angemessene Absicherung

Cecotec betrieb die bisherige Kundenplattform auch nach Einführung des neuen Online-Shops Anfang 2021 weiter. Der Weiterbetrieb eines Altsystems ist datenschutzrechtlich grundsätzlich zulässig. Voraussetzung ist jedoch, dass es denselben Sicherheitsanforderungen genügt wie jedes andere produktiv genutzte System.

Nach den Feststellungen der AEPD war dies nicht der Fall. Die Plattform lief auf einer Softwareversion, die bereits seit Juni 2019 nicht mehr unterstützt wurde und zahlreiche bekannte Sicherheitslücken aufwies. Zudem war der Administrationsbereich weiterhin über das Internet erreichbar und lediglich durch Benutzername und Passwort geschützt. Cecotec verwies auf noch bestehende technische Integrationen zur neuen Plattform sowie eine geplante, letztlich aber nicht umgesetzte Migration. Die AEPD hielt dem entgegen, dass sich die Sicherheitslage nach Einführung des Nachfolgesystems verschlechtert habe, weil weder die Migration abgeschlossen noch die Internetanbindung des Altsystems beseitigt worden sei. Für die AEPD belegten diese Umstände, dass das Altsystem über einen längeren Zeitraum nicht mehr dem nach Art. 32 DSGVO geforderten Sicherheitsniveau entsprach.

2. Personenbezogene Daten im Klartext

Die spanische Datenschutzaufsicht stellte des Weiteren fest, dass die betroffene Datenbank 24 Datenfelder im Klartext enthielt. Die gespeicherten Daten waren weder verschlüsselt noch pseudonymisiert.

Die AEPD wertete dies als eigenständigen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO.

3. Eine Risikoanalyse, die zu spät kam und zu pauschal blieb

Die AEPD beanstandete nicht nur die technischen Schutzmaßnahmen, sondern auch deren Grundlage. Risikoanalysen bilden die Grundlage für die Auswahl angemessener technischer und organisatorischer Maßnahmen und müssen die konkreten Verarbeitungsvorgänge abbilden.

Nach den Feststellungen der Behörde führte Cecotec erstmals im April 2022 eine Risikoanalyse durch, obwohl personenbezogene Daten bereits seit 2013 verarbeitet wurden. Auch bei der grundlegenden Umgestaltung der Plattform Anfang 2021 wurde keine neue Bewertung vorgenommen.

Inhaltlich genügte die Risikoanalyse ebenfalls nicht den Anforderungen der AEPD. Mehrere Verarbeitungstätigkeiten, darunter Kundenverwaltung, Lieferantenverwaltung, Personalverwaltung und Bewerbermanagement, wurden gemeinsam bewertet, obwohl sie sich hinsichtlich Art und Risikolage deutlich unterschieden. Zudem verwies das Dokument für die eigentliche Risikoidentifikation auf einen Anhang, der der Behörde nicht vorgelegt wurde. Die AEPD sah deshalb keine ausreichende Grundlage für die Auswahl angemessener technischer und organisatorischer Maßnahmen.

4. Ein Vorfallmanagement ohne gelebten Prozess

Die AEPD prüfte anschließend, wie Sicherheitsvorfälle innerhalb des Unternehmens erkannt, gemeldet und bearbeitet werden sollten. Zwar legte Cecotec ein internes Protokoll zum Umgang mit Sicherheitsvorfällen vor. Nach Auffassung der Behörde fehlten jedoch wesentliche Voraussetzungen für einen funktionierenden Meldeprozess.

So enthielt das Dokument weder die zuständigen Ansprechpartner noch deren Kontaktdaten. Außerdem konnte das Unternehmen nicht nachweisen, dass die Beschäftigten vor dem Vorfall über den Meldeprozess informiert worden waren.

5. Ein liegengebliebener Behördenhinweis und eine verspätete Meldung

Dass die vorgesehenen Abläufe in der Praxis nicht funktionierten, zeigte sich unmittelbar nach Eingang des ersten Behördenhinweises. Obwohl das INCIBE Cecotec bereits am 5. April 2023 auf ein mögliches Datenleck aufmerksam gemacht hatte, verblieb die Nachricht zunächst im allgemeinen Kundenpostfach und erreichte die zuständigen Stellen nicht. Erst nach einer zweiten Kontaktaufnahme am 12. April wurde sie intern weitergeleitet und eine Untersuchung eingeleitet.

Diese war innerhalb eines Tages abgeschlossen. Am 13. April 2023 bestätigte der Abgleich der 17 Musterdatensätze das Datenleck. Erst zu diesem Zeitpunkt begann nach Auffassung der AEPD die 72-Stunden-Frist des Art. 33 DSGVO. Eine externe Warnung allein setzt die Meldefrist noch nicht in Gang; maßgeblich ist vielmehr der Zeitpunkt, zu dem der Verantwortliche nach einer unverzüglichen Prüfung mit einem angemessenen Grad an Gewissheit von der Datenschutzverletzung Kenntnis erlangt.

Die Meldung an die AEPD erfolgte am 19. April 2023 und damit verspätet. Die Behörde ahndete dies als eigenständigen Verstoß gegen Art. 33 DSGVO.

Die verzögerte Weiterleitung des Behördenhinweises wertete die AEPD hingegen nicht gesondert im Rahmen der Meldepflicht. Sie sah darin vielmehr einen Beleg dafür, dass der unternehmensinterne Meldeprozess nicht funktionierte und die organisatorischen Maßnahmen nach Art. 32 DSGVO unzureichend waren.

6. Unvollständige Aufklärung des Vorfalls und unterbliebene Benachrichtigung

Auch der Umgang mit dem Vorfall selbst blieb nach Auffassung der AEPD hinter den gesetzlichen Anforderungen zurück. Gegenüber dem INCIBE bestritt Cecotec zunächst, dass ein Datenleck hinreichend belegt sei. Der Forumsbeitrag nenne das Unternehmen nicht, und die übermittelten Musterdatensätze genügten nicht als Nachweis. Gleichzeitig räumte das Unternehmen ein, dass diese Datensätze mit einer Tabelle der eigenen Datenbank übereinstimmten.

In der Meldung an die AEPD gab Cecotec an, lediglich sechs reale Personen als betroffen identifiziert zu haben. Den Hinweisen auf einen deutlich größeren Umfang ging das Unternehmen jedoch nicht weiter nach. Erst die eigenen Ermittlungen der Behörde beim Verkäufer im Darknet führten zum Nachweis von mindestens 933 betroffenen Personen.

Darüber hinaus unterließ es Cecotec, die betroffenen Personen über den Vorfall zu informieren. Angesichts der unverschlüsselten Daten und des daraus resultierenden hohen Risikos hätte sie nach Auffassung der AEPD erfolgen müssen. Dass der genaue Umfang der Datenschutzverletzung zunächst noch unklar war, ließ die Behörde hierfür nicht ausreichen.

7. Drei Datenschutzbeauftragte in einem Jahr

Im Verfahren räumte Cecotec ein, dass die Position des Datenschutzbeauftragten innerhalb eines Jahres dreimal neu besetzt worden war. Einen eigenständigen DSGVO-Verstoß leitete die AEPD daraus nicht ab. Der häufige Personalwechsel verdeutlicht jedoch, weshalb mehrere organisatorische Defizite über einen längeren Zeitraum unentdeckt bleiben konnten.

Bußgeld und behördliche Anordnungen

Bei der Bemessung des Bußgeldes berücksichtigte die AEPD insbesondere die Schwere und Dauer der Verstöße, den Grad der Fahrlässigkeit, die Art der betroffenen Daten sowie den Jahresumsatz des Unternehmens. Den Verstoß gegen die Pflicht zur Umsetzung angemessener technischer und organisatorischer Maßnahmen bewertete sie als besonders schwerwiegend. Nach ihrer Auffassung fehlten wesentliche Verfahren zur Absicherung personenbezogener Daten, sodass sich das Sicherheitsniveau des Systems in einem nahezu schutzlosen Zustand befunden habe. Auf diesen Verstoß entfielen 750.000 € und damit der größte Teil des Bußgeldes.

Neben der Geldbuße ordnete die Behörde verschiedene Abhilfemaßnahmen an. Innerhalb eines Monats musste Cecotec die Benachrichtigung der betroffenen Personen nachweisen. Zudem wurde das Unternehmen verpflichtet, innerhalb von sieben Monaten eine überarbeitete Risikoanalyse vorzulegen, erforderlichenfalls eine Datenschutz-Folgenabschätzung durchzuführen und die Umsetzung der daraus resultierenden technischen und organisatorischen Maßnahmen zu belegen.

Bedeutung für Unternehmen

Für Unternehmen unterstreicht die Entscheidung die Bedeutung eines funktionierenden Datenschutz- und Informationssicherheitsmanagements. Technische Schutzmaßnahmen, aktuelle Risikobewertungen und wirksame Prozesse zur Erkennung und Behandlung von Datenschutzvorfällen sind keine voneinander unabhängigen Einzelmaßnahmen, sondern greifen ineinander und werden von den Aufsichtsbehörden auch als Gesamtsystem bewertet.

Praxis-Tipps

• Systemübersicht: Pflegen Sie eine vollständige Übersicht aller Systeme, in denen personenbezogene Daten verarbeitet werden, einschließlich weiterhin genutzter Altsysteme. Legen Sie Verantwortlichkeiten für Wartung, Migration und Außerbetriebnahme verbindlich fest.
• Risikoanalysen: Erstellen und aktualisieren Sie Risikoanalysen verarbeitungsspezifisch. Wesentliche Änderungen an Systemen oder Sicherheitsvorfälle sollten stets Anlass für eine erneute Bewertung sein.
• Datensicherheit: Stellen Sie sicher, dass personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen dem jeweiligen Risiko angemessen geschützt sind. Dazu gehört u.a. der Einsatz unterstützter Softwareversionen, ein wirksames Patchmanagement sowie die Verschlüsselung und, soweit angemessen, die Pseudonymisierung personenbezogener Daten.
• Umgang mit Sicherheitsvorfällen: Definieren Sie klare interne Meldewege, benennen Sie verantwortliche Ansprechpartner und stellen Sie sicher, dass diese Abläufe allen Beschäftigten bekannt sind. Hinweise auf Datenschutzvorfälle müssen unverzüglich die zuständigen Stellen erreichen.
• Datenschutzorganisation: Sorgen Sie für dokumentierte Vertretungs- und Übergaberegelungen, damit personelle Wechsel nicht zu Lücken beim Datenschutzmanagement führen.