Schlimme Folgen wegen Datenpannen befürchtet

Über den Datenschutz wird mancherorts geschimpft, gerade wenn den Internet-Surfer das hundertste Cookie-Banner des Tages begrüßt. Datenpannen und -lecks werden hingegen dank DSGVO und Datenschutzbeauftragten möglichst schnell aufgearbeitet. In Verfahren gegen Facebook oder Deezer konnten Mandanten in einer Vielzahl von Fällen zuverlässig Schadensersatz erstreiten – und während die Prozesse zunehmend optimiert werden, produzieren die Gerichte zunehmend mehr rechtssichere Grundlagen. Nicht mehr im Geltungsbereich der EU-DSGVO ist Großbritannien, das sich nun drei Jahre nach dem Brexit mit zwei großen Datenpannen konfrontiert sieht.

Mit einer Pressemitteilung vom 8. August 2023 teilte die britische Wahlkommission mit, dass offenbar bereits seit August 2021 „feindliche Akteure“ Zugriff auf die Server der Kommission und damit auf den E-Mail-Verkehr, Kontrollsysteme und vergangene Versionen des Wählerverzeichnisses hatten. Betroffen seien damit alle Bürger des Vereinigten Königreichs, die sich zwischen 2014 und 2022 als Wähler registriert hatten mit Namen, Adresse und dem Geburtstag, ab dem das Wahlalter erreicht wird. Die Offenlegung dieser Daten sei nicht per se gefährlich für die Betroffenen, sondern vor allem in Kombination mit anderen Informationen, die die Betroffenen selbst im Internet teilen.

Bekannt ist die Attacke seit Oktober 2022. Auf X (ehem. Twitter) ließ die Kommission allerdings verlauten, dass man bewusst mit einer öffentlichen Meldung gewartet habe. Erst hätte man die Angreifer vom System entfernen müssen und neben einer Risiko-Einschätzung auch die Sicherheitsmaßnahmen erhöhen müssen. Nun sei der Angriff eingedämmt und das System zusätzlich gesichert. Ein besseres Login-Verfahren, neue systeminterne Überwachung und ein Alarm-System für Cyber-Angriffe seien zusammen mit Sicherheitsexperten und dem National Cyber Security Centre erarbeitet worden. Die Angreifer haben hochspezialisierte Software verwendet, um in die Systeme einzudringen.

Daten in den Händen der IRA?

Weniger hochspezialisiert verlief die neueste Datenpanne in Nordirland, die die Namen von etwa 10.000 Polizeibeamten ans Licht brachte. In einer Anfrage an die nordirische Polizei war nach einer Aufstellung der Beschäftigten nach Dienstgraden gebeten worden. Neben der erfragten Antwort bekam der Bittsteller hier allerdings zusätzlich eine Auflistung von 10.000 Mitarbeitern mit Nachnamen und Dienstorten, jedoch ohne Adressen. Dieser Vorfall sei „inakzeptabel“, so der stellvertretende Polizeichef Chris Todd. Auch Vertreter aller nordirischen Parteien sind sich einig, dass diese Datenpanne der aktuellen Lage in Nordirland nur abträglich sein kann. Denn auch 25 Jahre nach dem Ende des dortigen Bürgerkrieges kommt es in Nordirland nach wie vor zu gewaltsamen Ausschreitungen gegen Polizisten. Ein Beispiel ist hier der Anschlag im nordirischen Omagh vom Februar 2023, bei dem ein Polizist vor den Augen seines Sohnes angeschossen und schwer verletzt wurde.

Auch die Betroffenen sind schockiert. Denn nach Einschätzung der nordirischen Polizei verfügen irisch-republikanische Terroristen bereits über die Personaldaten der Sicherheitskräfte. Dabei handelt es sich um Nachnamen, Dienstgrad, Dienstort und Einheit der betreffenden Beamten. Anlass für die Vermutung war ein Fund am Wochenende: Teile der gestohlenen Datenliste klebten an der Wand gegenüber eines Büros von Sinn Fein. Sinn Fein ist die Partei, die auf katholischer Seite einst am radikalsten für den Anschluss Nordirlands an die Republik Irland kämpfte. Sie war einst der politische Flügel der IRA (Irisch-Republikanische Armee). Im Zuge des nordirischen Friedensprozesses erkannte die Partei die Polizei an und entsandte ihr Vorstandsmitglied Gerry Kelly sogar in den Aufsichtsrat der Polizeibehörde. An der Wand fand sich auch ein Graffiti mit einer Drohung gegen das Vorstandsmitglied: „Gerry, wir wissen, wo du wohnst“.

Polizeichef Simon Byrne musste zudem zugeben, dass bereits Anfang Juli aus dem Privatwagen eines Polizisten dienstliche Unterlagen mit rund 300 Namen gestohlen worden waren. Viele Polizisten hatten sich daraufhin sicherheitshalber versetzen lassen oder waren sogar umgezogen. Denn jeder Beamte sei stets darauf bedacht, seine Identität zu schützen. Oft wüssten nicht einmal Freunde und Nachbarn, dass sie Polizisten seien. Die Terrorgefahr ist nun außerdem von „erheblich“ auf „ernst“ heraufgestuft worden. Laut BBC müssen die betroffenen Polizisten nun besonders um ihre persönliche Sicherheit fürchten.

Die Rechtsseite des Datenschutzes im United Kingdom

Seit seinem EU-Austritt vom 1. Januar 2022 liegt das Vereinigte Königreich nicht mehr im Geltungsbereich der DSGVO. Das nationale Datenschutzrecht hat dadurch sein rechtliches Schutzniveau dennoch nicht eingebüßt. Angemessenheitsbeschlüsse der EU-Kommission sorgen dafür, dass Drittländer ein angemessenes Datenschutzniveau, vergleichbar mit dem der EU, gewährleisten, sodass der Datenfluss zwischen beiden Seiten uneingeschränkt fortbestehen kann. Das ist mindestens bis 2025 der Fall. Zudem ist die DSGVO mit dem Austritt in nationales Recht umgewandelt worden und gilt nun als UK-DSGVO fort.

the