Datenleck: Firma kauft unwissentlich PC mit sensiblen Behörden-Daten

[PCGH-Redaktion]

Jetzt ist Ihre Meinung gefragt zu Datenleck: Firma kauft unwissentlich PC mit sensiblen Behörden-Daten

Die Stadt Lübeck hat ein Datenschutzproblem: Eine Firma kaufte gebrauchte Rechner der Ausländerbehörde, allerdings inklusive einer Festplatte mit sensiblen Daten. Die Festplatte gelangte in die Hände der ct-Redaktion, die den Inhalt ausführlich analysierte.

Bitte beachten Sie: Der Kommentarbereich wird gemäß der Forenregeln moderiert. Allgemeine Fragen und Kritik zu Online-Artikeln von PC Games Hardware sind im Feedback-Unterforum zu veröffentlichen und nicht im Kommentarthread zu einer News. Dort werden sie ohne Nachfragen entfernt.

Zurück zum Artikel: Datenleck: Firma kauft unwissentlich PC mit sensiblen Behörden-Daten

 

[Andrej]

Da fragt man sich, wieso sie die Festplatten nicht aus den Rechnern ausgebaut haben, vor dem Verkauf?!
Ich baue immer alle Festplatten aus den Rechner aus und mache sie kaputt, wenn ich für sie keine weitere verwendung mehr habe!

 

[HenneHuhn]

Da fragt man sich, wieso sie die Festplatten nicht aus den Rechnern ausgebaut haben, vor dem Verkauf?!
Ich baue immer alle Festplatten aus den Rechner aus und mache sie kaputt, wenn ich für sie keine weitere verwendung mehr habe!

Das wird sicherlich auch bei der Stadt Lübeck normalerweise so gehandhabt werden (und zusätzlich sollen hochsensible Daten in der Regel auch nicht lokal gespeichert werden). Aber da ist was durchgerutscht. Natürlich fatal, wenn es dabei dann tatsächlich um personenbezogene Daten und ganze Akten zu Asylantragsverfahren geht.

 

[Locutosz]

Die Festplatten hätte man doch, default, mit Bitlocker verschlüsseln können. Gibt es bei Behörden keinen Sicherheitsbeauftragten?

 

[Gamer090]

Fehler passieren jedem mal, aber dieser Fehler ist sehr gefährlich! Im schlimmsten Fall hätte jemand anderes den PC gekauft und die Daten gleich mit!

 

[The-GeForce]

Einmal mehr fehlen einem die Worte! Einzelfall? Glaube ich nicht. Dafür hört man zu oft (auch von kommunalen Behörden) von ganz ähnlichen Fällen. Die landen eben nur nicht bei der ct.

Man stelle sich mal vor, wie viel man für die Digitalisierung, inklusive der Schulung der Mitarbeiter, hätte machen können, wenn das Geld der Cum-Ex-Geschäftige nicht bei einer maroden und korrupten Bank in Hamburg gelandet wäre. Oder das Geld für die Maut, für die Mehrkosten und Falschplanungen von Stuttgart21, der Elbphilharmonie, und - und - und.

Mit dem Geld wären nicht nur sämtliche Behörden in Deutschland up-to-date gewesen, sondern wahrscheinlich auch noch gleich drei komplette Windparks inkl. Stromtrasse gebaut worden. Oder die Corona-Kredite hätten um rund 50% kleiner ausfallen können.

Nachdem im letzten Jahrzehnt jeder Minister in Amt und Würden stets vollmundig davon gesprochen hat, dass man beim Thema Digitalisierung ja voll dabei ist, sieht man nun einmal mehr eindrucksvoll, wie es in Wirklichkeit aussieht. Wir scheitern in diesem Land nicht an der Technik sondern der eigenen Unfähigkeit und Fahrlässigkeit. Und das bei praktisch allen relevanten Themen von der Energiewende bis Sozialpolitik. Mich macht so etwas einfach nur noch wütend!

 

[HenneHuhn]

Die Festplatten hätte man doch, default, mit Bitlocker verschlüsseln können. Gibt es bei Behörden keinen Sicherheitsbeauftragten?

Viele Dinge scheitern bei Behörden u.A. daran, dass unterschiedlichste Hardware- und Softwarekonfigurationen/Versionen gleichzeitig im Einsatz sind und "one size fits all" nicht funktioniert, dass die Endanwender in der Dienststube keinerlei Ahnung haben (in meiner Zeit im ÖD musste ich einer Kollegin, die zuvor schon 8 Jahre lang als Sekretärin einer Dezernentin gearbeitet hatte, mal die allergrundlegendsten Funktionen von Excel erklären oder was es mit diesem ominösen Strg+A/Strg+C/Strg+V auf sich hat) oder dass Personalräte sagen, dass diese und jene technische Vorsichtsmaßnahme viel zu anstrengend und belastend in der alltäglichen Arbeit sei.

Alles selbst erlebt und kriege ich über einen Kumpel auch mit, der seit zwei Jahren Digitalisierungsbeauftragter einer städtischen Großbehörde ist.

 

[Waupee]

Das typische Problem bei Behörden veraltete Harddware ist schon Lustig was man da so alles an ollen

Rechnern finden kann

Und da hab ich einiges erlebt

 

[Terracresta]

Festplatten werden hier an der Uni genullt und dann in Datenschutzcontainern von Reisswolf entsorgt.
Da wird auch nichts mehr verkauft, denn selbst an auszusondernden Geräten interessierte Mitarbeiter dürfen diese nicht kaufen. Da ist es sogar manchmal Schade um die Geräte, welche mit 'ner neuen Festplatte / SSD noch brauchbar wären.

 

[LastManStanding]

Naja kein Einzelfall, ich weiß zu 100% aus dem nahen Persöhnlichen Umfeld, Das es regelmäßig "passiert"
Die berufliche Aufgabe dieser Person ist es solche Daten ausfindig zu machen, zusammenzutragen und möglichst ohne Schaden Angerichtet zu haben zu Archivieren. Übriegens Schriftliche und Digitale Daten.

In Solchen Datensätzen steht quasi alles zu unfassbar vielen Personen.
Aber ich darf nicht gucken...und plaudert auch einfach nix. Manno bin doch so Neugierig bei sowas^^

Mich hat sofort stutzig gemacht das es an die c´t übergeben wurde?? Da gibt es extra Firmen und extra dafür geschultes und bezahltes Personal bei Behörden...

 

[SFT-GSG]

Da fragt man sich, wieso sie die Festplatten nicht aus den Rechnern ausgebaut haben, vor dem Verkauf?!
Ich baue immer alle Festplatten aus den Rechner aus und mache sie kaputt, wenn ich für sie keine weitere verwendung mehr habe!

Kommt immer drauf an, aus welchem Bereich des öffentlichen Dienst das Ding kam. Zu meiner Zeit war es üblich, das alte Geräte an die Mitarbeiter verkauft wurden....20 Euro für ne alten Rechner, weg ist er....

Da werden die Daten mit Format c gelöscht....also gar nicht.

Was mich stört...warum wird das an CT geschickt? Nur um die Welle zu machen? Man wendet sich in dem Fall, wenn man weiß wo die Daten herkommen, an die Behörde und den Landesdatenschutzbeauftragten. Ggf. noch die Staatsanwaltschaft. Was dort gemacht wurde, war die Weitergabe der sensiblen Daten an weitere Dritte die Sie auch nichts angehen.

 

[RyzA]

Die Festplatten hätte man doch, default, mit Bitlocker verschlüsseln können. Gibt es bei Behörden keinen Sicherheitsbeauftragten?

Am besten ist überschreiben und unbrauchbar machen.

 

[Exolio]

Typisch deutsche "larifari"-Einstellung der Behörden...

 

[PCGH_Torsten]

Das wird sicherlich auch bei der Stadt Lübeck normalerweise so gehandhabt werden (und zusätzlich sollen hochsensible Daten in der Regel auch nicht lokal gespeichert werden). Aber da ist was durchgerutscht. Natürlich fatal, wenn es dabei dann tatsächlich um personenbezogene Daten und ganze Akten zu Asylantragsverfahren geht.

Steht sogar genau so im Artikel, dass das hätte passieren sollen, aber in diesem Einzelfall irgendwie schief gelaufen ist.

Viele Dinge scheitern bei Behörden u.A. daran, dass unterschiedlichste Hardware- und Softwarekonfigurationen/Versionen gleichzeitig im Einsatz sind und "one size fits all" nicht funktioniert, dass die Endanwender in der Dienststube keinerlei Ahnung haben (in meiner Zeit im ÖD musste ich einer Kollegin, die zuvor schon 8 Jahre lang als Sekretärin einer Dezernentin gearbeitet hatte, mal die allergrundlegendsten Funktionen von Excel erklären oder was es mit diesem ominösen Strg+A/Strg+C/Strg+V auf sich hat) oder dass Personalräte sagen, dass diese und jene technische Vorsichtsmaßnahme viel zu anstrengend und belastend in der alltäglichen Arbeit sei.

Alles selbst erlebt und kriege ich über einen Kumpel auch mit, der seit zwei Jahren Digitalisierungsbeauftragter einer städtischen Großbehörde ist.

Der Verkauf von PCs wird nicht von den Endanwendern organisiert. Da hat entweder die IT-Abteilung oder sogar ein extra angeheuerter Dienstleister geschlampt und es liegt somit nicht an der Ausbildung. Laut Heise war auch nur einer von rund einem Dutzend verkaufter PCs betroffen – klassischer Fall von Unachtsamkeit. Bitlocker hätte auch kaum helfen können, denn scheinbar war der PC nicht fest einem Mitarbeiter zugeordnet, sondern wurde alle paar Monate oder sogar im Wechsel von jemand anderem benutzt. Eine Verschlüsselung der komplette Festplatte mit von Hand einzugebenem Schlüssel ist in solchen Fällen meist unpraktikabel und ein im TPM hinterlegter Code hätte in diesem Fall nichts geändert, da das Laufwerk ja zusammen mit dem PC verkauft wurde.

 

[rehacomp]

Hier haben min. 2 gepennt. Admin der Behörde + An/Verkäufer.

Aber mal ehrlich, ich hab auch einen SERVER! bei Ebay gekauft. Alle Daten der Ehemaligen Firma waren noch DRAUF!
Unverschlüsselt!
Der Verkäufer (IT-Firma) hat mir versichert, das alles gelöscht wurde, mit Protokoll.
Ich hab Ihm darauf ein paar Daten zukommen lassen, weil er es nicht glauben wollte.
Da diese Daten echt waren, wurde ich dringend drum gebeten, diese zu löschen
Er gelobte Prüfung, wie es passieren konnte (trotz Protokollierung), und natürlich Besserung.

 

[SebKle]

Nur ein Datenschutzproblem? Was hat die sexuelle Orientierung überhaupt in derartigen Akten zu suchen? Ich kann mir auf Anhieb keinen Grund zusammenfabulieren, der das Vorhandensein dieser Angaben in dem Rahmen notwendig macht.

/edit
Artikel bei der ct gelesen. Der gibt das überhaupt nicht her. Da wird die sexuelle Orientierung lediglich im Zusammenhang der DSGVO genannt. Dort ist nicht die Rede davon, dass es Daten hierzu auf dem Rechner gab/gibt. Hier steht allerdings im Artikel, dass diese Daten in den Akten gefunden worden sind.

Vielleicht wollt Ihr das überarbeiten. Nicht, dass hier noch unabsichtlich Falschinformationen entstehen und verbreitet werden.

 

[HenneHuhn]

Bei Asylverfahren ist die sexuelle Orientierung durchaus oft relevant. Schließlich kann etwa (staatliche) Verfolgung aufgrund der sexuellen Orientierung oder Identität einen Asylgrund darstellen. Von daher wäre es kein großes Wunder, wenn darüber in einigen der betroffenen Akten was drin stünde.

/edit: im Golem-Artikel, auf den PCGH sich ja bezieht und der auch verlinkt ist, steht schon explizit drin, dass in den Akten Angaben zur sexuellen Orientierung zu finden seien. Entweder ist also der Golem-Artikel falsch oder c't fand diesen Aspekt einfach nicht weiter berichtenswert im eigenen Artikel.

 

[PCGH_Torsten]

Sexuelle Orientierung ist definitiv ein wichtiger Aspekt bei vielen Asylverfahren; könnte sogar ein Standardfeld sein. Die gleichen Behörden entscheiden ja nicht nur über politisches Asyl, sondern auch über die Anerkennung als Flüchtling oder subsidiäre Schutzformen, sodass neben der seltener werdenden offiziellien staatlichen Verfolgung auch zivilgesellschaftliche Bedrohungen für bestimmte sexuelle Orientierungen eine Rolle spielen. Und die sind immer noch sehr weit verbreitet.
Wenn da ganze Akten in größerer Zahl rekonstruiert wurden, dann waren solche Informationen praktisch zwangsläufig darunter.