Was passiert in der Welt? IV

Was passiert in der Welt?

Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).

Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.

Als GRC Legal Law Firm verfolgen wir die weltweite Agenda aufmerksam und stellen Ihnen in diesem Beitrag eine Auswahl aktueller Informationen zur Verfügung.

Die folgenden Nachrichten stammen aus dem Monat September 2022.

G7 x Grenzüberschreitender Datentransfer

Vertreter der für die Regulierung des Datenschutzes zuständigen Behörden der G7, einer internationalen Vereinigung von sieben Ländern, trafen sich in Bonn, um Wege zu diskutieren, wie der Datentransfer zwischen den Ländern, die 64 % des globalen Reichtums besitzen, angemessener und praktikabler gestaltet werden kann.

Zwischen den meisten Mitgliedern der G7, bestehend aus den Vereinigten Staaten („USA”), dem Vereinigten Königreich, Deutschland, Italien, Frankreich, Japan und Kanada, bestanden bereits Abkommen, die den bilateralen Datenaustausch unterstützten.

Nachdem die Verhandlungsführer im März 2022 eine vorläufige Einigung erzielt hatten, wurde der endgültige und rechtsgültige Text eines neuen Abkommens zwischen den USA und der Europäischen Union („EU“) jedoch noch nicht veröffentlicht. Es wurde darauf hingewiesen, dass das einzige fehlende Puzzleteil das transatlantische Abkommen sei. Der Gerichtshof der Europäischen Union (Court of Justice of the European Union)

2020, dass das zuvor zwischen den USA und der EU geschlossene und als Privacy Shield bezeichnete Datenübertragungsabkommen rechtswidrig sei, da die Gegner des Privacy Shields vor Gericht erfolgreich argumentierten, dass die Überwachung durch die US-Regierung im Falle der Übermittlung personenbezogener Daten europäischer Bürger in die USA eine Bedrohung für die Privatsphäre der Europäer darstelle. Daher mussten die Behörden der europäischen Länder das neue Abkommen auch nach seiner Veröffentlichung noch genehmigen. Es wird davon ausgegangen, dass die Aufhebung des Privacy Shields die Datenübermittlungen aller internationalen Unternehmen in Ungewissheit lässt.

Der deutsche Bundesdatenschutzbeauftragte Ulrich Kelber, Gastgeber des G7-Treffens, erklärte, das Ziel der Treffen sei es, die lokalen Vorschriften in den einzelnen Rechtsordnungen besser zu verstehen und die Datenschutzansätze der Regulierungsbehörden schrittweise anzugleichen. Er sagte jedoch, dass auch über Techniken zur ordnungsgemäßen Anonymisierung von Daten oder zur Entfernung von Details, die eine Person identifizieren, sowie über eine engere Zusammenarbeit zwischen Kartell- und Datenschutzbehörden diskutiert worden sei.

In den nach dem Treffen veröffentlichten Ergebnissen verpflichteten sich die Regulierungsbehörden, bei der Entwicklung rechtmäßiger Methoden für den Datentransfer zusammenzuarbeiten und „Optionen zu schaffen, damit Unternehmen die für ihre geschäftlichen Anforderungen geeigneten Instrumente für den grenzüberschreitenden Transfer auswählen können”. Es wurde jedoch auch darauf hingewiesen, dass die Länder Rechtsvorschriften benötigen, die den Zugriff auf personenbezogene Daten von Einzelpersonen nur dann garantieren, wenn dies für nationale Sicherheitszwecke unbedingt erforderlich ist.

Die Unternehmen forderten die US-amerikanischen und europäischen Behörden auf, die Verhandlungen über ein neues Abkommen zu beschleunigen, das den Privacy Shield ersetzen soll, den Tausende von Unternehmen für die Übertragung personenbezogener Daten nutzen. Nach dem Gerichtsurteil kritisierten europäische Gesetzgeber die Praktiken der US-Geheimdienste, und einige forderten ein US-Bundesdatenschutzgesetz, das die Rechte garantiert.

Estelle Massé, globale Datenschutzbeauftragte der gemeinnützigen Organisation Access Now, sagte: „Tatsächlich geht es darum, die Schwierigkeiten anzuerkennen, die diese Zuständigkeitsbereiche beim Datenaustausch untereinander haben.” Sie fügte hinzu: „Internationale Gespräche zwischen den Regulierungsbehörden könnten die Spannungen abbauen und die Suche nach Möglichkeiten für den Datenaustausch erleichtern.”

Selbst in Datenübertragungsabkommen, die den internationalen Handel für viele Unternehmen erleichtern, wurde betont, dass bestimmte sensible Daten, wie beispielsweise nationale Sicherheitsinformationen, möglicherweise in einem einzigen Rechtsraum verbleiben müssen.

Die Regulierungsbehörden der G7-Länder erklärten, dass ein besseres Verständnis dafür erforderlich sei, wie sich innerstaatliche Rechtsvorschriften auf bestimmte Arten von Informationen auswirken und wie Daten wie persönliche Gesundheits- und medizinische Daten verwendet und verkauft werden können, und erklärten: „Derzeit glauben wir nicht, dass wir unter den sieben Ländern bereit sind, einen solchen Markt für diese Art von Daten zu schaffen.“

Deutschland x Cookie-Richtlinie

Laut mehreren Berichten in den deutschen Medien hat die deutsche Regierung begonnen, an einer Regelung zu arbeiten, die die Anforderungen an „Einwilligungsmanagement-Dienste“ festlegt, die Dienste zum Einholen und Speichern der Einwilligung von Website-Nutzern zum Setzen von Cookies und ähnlichen Technologien umfassen.

Diese Dienste sollen als Alternative zu Cookie-Panels dienen und im Gegensatz zu anderen Diensten die einmalige Einholung der Cookie-Einwilligung für mehrere Websites ermöglichen. Es wurde bekannt, dass diese Dienste mithilfe spezieller Softwareanwendungen die von Nutzern für eine Website erteilten Einwilligungen auch für andere Websites als erteilt betrachten und die Einwilligungen nach Geräte- oder Website-Kategorien verallgemeinern und sortieren können.

In dem ausgearbeiteten Verordnungsentwurf wurde außerdem eine Maßnahme vorgesehen, die verhindern soll, dass diese auf einmal eingeholten Cookie-Einwilligungen die Nutzer irreführen oder zu ihrem Nachteil verwendet werden. Demnach werden die betroffenen Nutzer aufgefordert, alle sechs Monate ihre Cookie-Einwilligungen zu überprüfen.

Die Regierung beabsichtigte, durch die Regulierung der Einwilligungsverwaltungsdienste die Nutzung von Websites zu fördern und so die Anzahl der Cookie-Panels im Internet zu reduzieren. Es wurde jedoch beschlossen, dass werbefinanzierte Websites von dieser einheitlichen Einwilligungserklärung ausgenommen werden sollten, d. h. werbefinanzierte Websites werden weiterhin einzeln die Cookie-Einwilligung der Nutzer einholen. Wie auch nach deutschem Recht zulässig, werden solche werbefinanzierten Websites ihren Nutzern zwei verschiedene Optionen anbieten: die kostenlose Nutzung mit Werbe-Cookies oder die werbefreie Nutzung gegen eine bestimmte Gebühr.

Es ist geplant, dass Cookie-Management-Dienstleister die Vorschriften einhalten und sich bei einer unabhängigen, gemäß den Vorschriften zu gründenden Einrichtung registrieren lassen müssen. Da sich der Entwurf noch in der Entwurfsphase befindet, ist noch nicht klar, welche weiteren Verpflichtungen damit verbunden sein werden, aber es wird bereits jetzt davon ausgegangen, dass Cookie-Management-Dienstleister bei der Einholung von Einwilligungen und der Verwaltung von Daten keine wirtschaftlichen Interessen verfolgen dürfen.

Es wird erwartet, dass die deutsche Regierung den Entwurf in Kürze mit Wirtschaftsverbänden und den Bundesländern zur Überprüfung teilen wird. Nach einer eingehenden Prüfung wird der Entwurf auch der Europäischen Kommission zur Stellungnahme vorgelegt. Die Regierung plant, den Entwurf nach den erforderlichen Bewertungen und Anpassungen bis 2023 in Kraft zu setzen.

Twitter x Zatko

Peiter Zatko, ehemaliger Sicherheitschef von Twitter, der nach seinen Anschuldigungen entlassen wurde, erklärte in einem Gespräch mit US-Abgeordneten, wie Twitter-Vertreter die Öffentlichkeit in Bezug auf die Sicherheit der Plattform getäuscht hätten. Er behauptete, dass die Sicherheitsstandards von Twitter „10 Jahre hinterherhinken”, die Daten der Nutzer nicht ausreichend geschützt sind und dass zahlreiche Mitarbeiter Zugriff auf diese Daten haben, und reichte eine 84-seitige Beschwerde zum Zweck der Offenlegung von Informationen über die Sicherheitspraktiken innerhalb des sozialen Netzwerks ein.

Zatko gab an, von Mitarbeitern von Twitter gehört zu haben, dass Twitter Anzeigen von „Organisationen, die mit der chinesischen Regierung in Verbindung stehen oder zu ihr gehören“ schaltet, die ein nationales Sicherheitsrisiko darstellen. Als er diese Information an die Führungskräfte von Twitter weitergab, erhielt er die Antwort, dass der Verlust dieser Einnahmequelle nicht in Kauf genommen werden könne.

Außerdem äußerte er sich besorgt über die Haltung von Twitter gegenüber anderen nationalen Sicherheitsproblemen und erklärte, dass die Hälfte der Mitarbeiter des Unternehmens aus Ingenieuren bestehe und dass alle diese Ingenieure Zugriff auf die persönlichen Daten der Nutzer hätten. In diesem Zusammenhang wird davon ausgegangen, dass fast 4000 Twitter-Mitarbeiter Zugriff auf die persönlichen Daten der Nutzer haben.

Zatko äußerte seine Besorgnis darüber, dass ein böswilliger Mitarbeiter persönliche Daten abrufen könnte, ohne Spuren zu hinterlassen, und erklärte, dass Twitter die Aktivitäten der Mitarbeiter, die auf diese Daten zugreifen, nicht aufzeichne. Zatko erklärte, dass die Sicherheitssysteme von Twitter die Überwachung möglicher Spionage erschweren, und hatte in einer früheren Erklärung behauptet, dass das Unternehmen einen indischen Agenten eingestellt habe.

Zatko sagte, dass die persönlichen Daten der Menschen gefährdet seien und dass die über die Nutzer gespeicherten Daten aus „Telefonnummer, IP-Adresse, E-Mail-Adresse, Gerätetyp, Browsertyp und dem Standort, von dem aus sich der Nutzer verbindet” bestünden. Er wies darauf hin, dass diese Informationen dazu führen könnten, dass Personen in der realen Welt ins Visier genommen werden könnten.

Als Zatko in der dritten Septemberwoche 2022 in einer umstrittenen Anhörung vor dem Senat aussagte, kritisierte er nicht nur das Social-Media-Unternehmen, sondern auch die Bundesaufsichtsbehörden, die das Unternehmen angeblich seit Jahren genau beobachten.

Der Senator von Iowa, Chuck Grassley, erklärte: „Ich bin besorgt, dass die Federal Trade Commission (FTC) seit etwa zehn Jahren keine ausreichend wirksamen Maßnahmen ergriffen hat oder nicht über ausreichende Informationen verfügt, um die Einhaltung der Einverständniserklärung durch Twitter sicherzustellen. Der Kongress sollte darauf achten, ob die FTC in der Lage ist, diese wichtigen Angelegenheiten erfolgreich zu überwachen, oder ob ihr dazu die Mittel fehlen.”

Mit seiner Aussage in der dritten Septemberwoche 2022 wies Zatko darauf hin, dass nicht genügend Ressourcen zur Verfügung stehen, um mit milliardenschweren Technologieunternehmen wie Twitter fertig zu werden.

Zatko erklärte, dass Twitter, das sich im Rahmen der Einverständniserklärung der FTC verpflichtet habe, Nutzerdaten zu schützen und ein starkes Informationssicherheitsprogramm aufrechtzuerhalten, die US-Aufsichtsbehörden angeblich nicht ernst nehme und sie aktiv irreführe, wobei einige ausländische Aufsichtsbehörden viel mehr Angst vor der FTC hätten als andere. Als Beispiel führte er an, dass die französische Datenschutzbehörde Twitter in Angst und Schrecken versetzt habe, indem die französischen Behörden, die mögliche Datenschutzverletzungen untersuchten, von Twitter innerhalb kurzer Zeit konkrete und quantitative Daten zur Untermauerung der Konformitätsbehauptungen des Unternehmens verlangten und mit hohen Strafen für Verstöße drohten, die das künftige Wachstum von Twitter direkt behindern könnten.

Zatko behauptete, dass Twitter keine Angst vor der FTC habe, da die Kommission bei der Überprüfung der Compliance des Unternehmens weitgehend „ihre eigenen Aufgaben bewertet” habe und dazu neige, einmalige Geldstrafen zu verhängen, die innerhalb des Unternehmens als etwas mehr als die Kosten der Arbeit angesehen würden.

Als Antwort auf Zatko’s Behauptungen argumentierte Twitter, dass die Behauptungen des Whistleblowers über das Unternehmen voller Unstimmigkeiten und Ungenauigkeiten seien und dass Zatko nicht an der Erstellung der Compliance-Berichte des Unternehmens beteiligt gewesen sei und die gesetzlichen Verpflichtungen von Twitter nicht vollständig verstanden habe.

Auch in den vergangenen Jahren gab es andere Fälle, die Kritiker dazu veranlassten, die Eignung der FTC für ihre Aufgabe anzuzweifeln. Im Jahr 2013 wurde trotz der Empfehlung der Kartellabteilung wurde aufgrund von Wettbewerbsbedenken einstimmig beschlossen, keine Klage gegen Google zu erheben, und obwohl eine Vertraulichkeitsvereinbarung mit Facebook im Jahr 2019 zu einer Rekordstrafe in Höhe von 5 Milliarden Dollar und unzähligen neuen gesetzlichen Verpflichtungen führte, waren Kritiker der Meinung, dass die FTC darauf bestehen sollte, CEO Mark Zuckerberg und Sheryl Sandberg persönlich für die entstandene Situation zur Verantwortung zu ziehen. Wie bei Facebook wurde darauf hingewiesen, dass die jüngsten Vorwürfe gegen Twitter zu neuen FTC-Strafen in Milliardenhöhe führen könnten.

Einige Gesetzgeber äußerten jedoch diese Woche ihre Enttäuschung über die bisher von der FTC gegen Twitter verhängten Strafen und äußerten sich skeptisch gegenüber demVorgehen der Regulierungsbehörden in Bezug auf künftige Datenverstöße.

Die Gesetzgeber forderten wiederholt mehr Ressourcen für die Durchsetzung. Trotz einiger Bemühungen, das Budget der FTC zu erhöhen und mehr interne Experten einzustellen, beschrieben ehemalige Beamte und Verbraucherschützer die Mitarbeiter als überlastet und von den Heerscharen von Anwälten der Technologieriesen überwältigt.

Google & Meta x Südkorea

Südkoreanische Behörden gaben bekannt, dass Google und Meta wegen Verstoßes gegen das Datenschutzgesetz des Landes mit einer Geldstrafe von 71,8 Millionen Dollar belegt wurden.

Beobachtern zufolge wurde festgestellt, dass Google und Meta bei der Erfassung von Daten von Nutzern, die ihre Websites besuchen und andere Websites und Anwendungen für personalisierte Werbung nutzen, nicht die erforderliche Einwilligung eingeholt haben.

Die Behörden des Landes gaben in einer Pressemitteilung bekannt, dass Google die Nutzer, die sich für seinen Dienst registriert haben, nicht klar über die Datenverarbeitung und die Verhaltensdaten anderer Unternehmen informiert habe und dass Google die anderen Optionen, die über den Einstellungsbildschirm angeboten werden, ausgeblendet und die Standardoption „Akzeptieren” festgelegt habe.

Ein Sprecher der Kommission für den Schutz personenbezogener Daten (Personal Information Protection Commission, „PIPC”) behauptete, dass Meta Verhaltensdaten von Nutzern, die nicht über rechtlich relevante Details informiert wurden, deren Zustimmung nicht eingeholt wurde und die sich registriert haben, für die Anzeige personalisierter Werbung gesammelt und verwendet habe. Die PIPC wies Google und Meta an, die Verstöße zu beheben, und verhängte gegen Google eine Geldstrafe in Höhe von 50 Millionen Dollar und gegen Meta eine Geldstrafe in Höhe von 22 Millionen Dollar.

Beobachter erklärten, dass dies die höchste Strafe für einen Verstoß gegen die Datenschutzgesetze in Südkorea und die erste Sanktion im Zusammenhang mit der Erfassung und Verwendung von Verhaltensdaten auf personalisierten Online-Werbeplattformen des Landes sei.

Beobachter im Ausland haben Google und Meta in den letzten Jahren wegen Nichteinhaltung der Datenschutzbestimmungen mit Geldstrafen belegt. Im Jahr 2019 verhängte die französische Datenschutzbehörde (Commission nationale de l’informatique et des libertés, CNIL) die erste GDPR-Strafe in Höhe von 57 Millionen Dollar wegen Verstößen gegen die Transparenz- und Einwilligungsvorschriften. WhatsApp, das zu Facebook gehört, wurde im vergangenen Jahr wegen Verstoßes gegen den Transparenzgrundsatz der DSGVO mit einer Geldstrafe in Höhe von 267 Millionen Dollar belegt, während das Bundeskartellamt Meta anwies, die Erhebung von Daten über Nutzer von Websites Dritter ohne deren Zustimmung einzuschränken. Diese Anordnung ist weiterhin Gegenstand einer rechtlichen Untersuchung in der EU.

Ein Sprecher von Google erklärte: „Wir teilen die Ergebnisse der PIPC nicht und werden die schriftliche Entscheidung prüfen, sobald sie uns vorliegt. Wir haben stets unser Engagement für kontinuierliche Updates unter Beweis gestellt, die den Nutzern Kontrolle und Transparenz bieten und gleichzeitig die bestmöglichen Produkte liefern. Wir sind entschlossen, mit der PIPC zusammenzuarbeiten, um die Privatsphäre der südkoreanischen Nutzer zu schützen.“

Instagram x Irland

Nach der verbindlichen Streitbeilegungsentscheidung des Europäischen Datenschutzausschusses (European Data Protection Board, „EDPB“) hat die irische Datenschutzkommission (Data Protection Commission, „DPC“) ihre Entscheidung in Bezug auf Instagram bestätigt und eine Rekordstrafe in Höhe von 405 Millionen Euro gemäß der DSGVO verhängt. Die Strafe wurde gegen Meta Platforms Ireland Limited („Meta IE“) verhängt, die als irische Tochtergesellschaft von Meta gilt.

Die endgültige Entscheidung der federführenden Aufsichtsbehörde (Lead Supervisory Authority, „LSA“) folgt auf eine Untersuchung, in der es darum ging, dass die E-Mail-Adressen und/oder Telefonnummern von Kindern, die die Unternehmenskonto-Funktion von Instagram nutzen, öffentlich zugänglich sind und dass während des Untersuchungszeitraums die persönlichen Instagram-Konten der Kinder standardmäßig für alle öffentlich zugänglich waren.

EDPB-Präsidentin Andrea Jelinek erklärte: „Diese Entscheidung ist nicht nur wegen der Höhe der Geldbuße historisch, sondern auch, weil es sich um die zweithöchste Geldbuße seit Inkrafttreten der DSGVO und um die erste EU-weite Entscheidung zum Datenschutzrecht von Kindern handelt. Mit dieser verbindlichen Entscheidung macht der EDPB deutlich, dass Unternehmen, die sich an Kinder richten, vorsichtiger sein müssen. Kinder haben ein Recht auf besonderen Schutz ihrer personenbezogenen Daten.“ Kinder haben ein besonderes Recht auf Schutz ihrer personenbezogenen Daten.“

Nachdem die LSA das Streitbeilegungsverfahren zu den von mehreren betroffenen Aufsichtsbehörden (Concerned Supervisory Authorities, „CSA’s“) vorgebrachten Einwänden eingeleitet hatte, wurde die verbindliche Entscheidung des EDPB auf der Grundlage von Artikel 65 der DSGVO angenommen. Die CSA erhoben unter anderem Einwände gegen die Rechtsgrundlage der Verarbeitung und die Festsetzung der Geldbuße. Die DPC nahm daraufhin im Anschluss an das Streitbeilegungsverfahren Änderungen an ihrem Entscheidungsentwurf vor.

Außerdem wurde festgestellt, dass diese Entscheidung die erste verbindliche Entscheidung des EDPB zur Rechtmäßigkeit der Verarbeitung gemäß Artikel 6 der DSGVO ist, einem der Grundpfeiler der DSGVO, und der EDPB lieferte insbesondere weitere Erläuterungen zur Anwendbarkeit der Rechtsgrundlagen der Vertragserfüllung und des berechtigten Interesses.

Meta IE stützte sich alternativ auf diese beiden Rechtsgrundlagen für die Veröffentlichung der E-Mail-Adressen und/oder Telefonnummern von Kindern, die Instagram-Unternehmenskonten nutzen. Der EDPB stellte fest, dass es keinen Grund gab, zu dem Schluss zu kommen, dass die LSA die betreffende Verarbeitung für die Erfüllung eines Vertrags für erforderlich hielt. Folglich konnte sich Meta IE für diese Verarbeitung nicht auf Artikel 6 Absatz 1 Buchstabe b der DSGVO als Rechtsgrundlage berufen.

In Bezug auf das legitime Interesse, das als alternative Rechtsgrundlage für die Verarbeitung angeführt wurde, stellte der EDPB fest, dass die Veröffentlichung der E-Mail-Adressen und/oder Telefonnummern von Kindern die Anforderungen von Art. 6 Abs. 1 Buchstabe f DSGVO nicht erfüllt, da sie selbst dann, wenn die Verarbeitung unnötig oder nicht erforderlich ist, den bei der Abwägung der berechtigten Interessen zu berücksichtigenden Abwägungstest nicht besteht.

Schließlich wies der EDPB die LSA an, die gemäß Art. 83 Abs. 1 und 2 DSGVO vorgesehene Geldbuße neu zu bewerten. Mit dieser Maßnahme verfolgt der EDPB das Ziel, unter Berücksichtigung der Art und Schwere des Verstoßes sowie der Anzahl der betroffenen Personen eine wirksame, verhältnismäßige und abschreckende Geldbuße für den zusätzlichen Verstoß zu verhängen und sicherzustellen, dass die endgültigen Beträge der Geldbußen wirksam, verhältnismäßig und abschreckend sind.

Die vorliegende Entscheidung beeinträchtigt nicht etwaige Bewertungen, die der EDPB in anderen Fällen, einschließlich derselben Parteien, vornehmen muss.

IHG x TeaPea

Die Intercontinental Hotels Group („IHG“) wurde Opfer eines Cyberangriffs: Das in Großbritannien ansässige Unternehmen IHG, das weltweit 6.000 Hotels betreibt, darunter die Marken Holiday Inn, Crown Plaza und Regent, erklärte gegenüber der BBC, dass sich zwei vietnamesische Hacker „aus Spaß“ an einen Cyberangriff versucht und die Daten der Hotelkette gelöscht hätten.

Es wurde berichtet, dass die Cyberangreifer zunächst einen Ransomware-Angriff versucht hätten und nach dessen Vereitelung eine große Menge an Daten gelöscht hätten. Es stellte sich heraus, dass das vietnamesische Paar aufgrund der Verwendung eines sehr schwachen Passworts namens „qwerty1234” durch das FTSE-100-Unternehmen leicht auf die Datenbanken zugreifen konnte.

Die Verwendung sicherer Passwörter und deren regelmäßige Änderung durch die für die Daten verantwortlichen Personen ist die einfachste und kostengünstigste Maßnahme, um die Cybersicherheit zu gewährleisten. Dieser Vorfall hat einmal mehr gezeigt, wie die Nachlässigkeit bei der Umsetzung der erforderlichen administrativen und technischen Maßnahmen zu Cyberangriffen einladen kann.

Vor einiger Zeit hatte IHG, nachdem Kunden in großem Umfang Probleme bei der Buchung und Registrierung gemeldet hatten, in den sozialen Medien bekannt gegeben, dass das Unternehmen 24 Stunden lang „Systemwartungsarbeiten” durchführen würde. Kurz nach dieser Ankündigung erklärte IHG seinen Investoren, dass es Opfer eines Cyberangriffs geworden sei, und gab in einer offiziellen Mitteilung an die Londoner Börse bekannt, dass „die Reservierungskanäle und andere Anwendungen erheblich beeinträchtigt” seien.

Die Cyberangreifer, die sich selbst als TeaPea bezeichnen, kontaktierten die BBC über die verschlüsselte Messaging-Anwendung Telegram und übermittelten Screenshots als Beweise für ihre Cyberangriffe. Diese Bilder, die auch von IHG bestätigt wurden, zeigten, dass die Angreifer Zugriff auf die internen Outlook-E-Mails, Microsoft Teams-Chats und Serververzeichnisse des Unternehmens hatten.

TeaPea erklärte: „Unser Angriff war ursprünglich als Ransomware geplant, aber das Informationstechnologie-Team („IT”) des Unternehmens isolierte die Server, bevor wir die Möglichkeit hatten, die Software zu verbreiten. Also wollten wir ein bisschen Spaß haben und führten stattdessen einen Wiper-Angriff durch.”

Es ist bekannt, dass es sich bei einem Wiper-Angriff um eine Art von Cyberangriff handelt, bei dem Dokumente und Dateien unwiederbringlich vernichtet werden.

Rik Ferguson, Cybersicherheitsexperte und stellvertretender Sicherheitschef bei Forescout, erklärte: „Zugriff auf sensible Daten sollten nur Mitarbeiter haben, die diese für ihre Arbeit benötigen, und auch dann nur in dem Umfang, der für ihre Arbeit erforderlich ist. Das Offenlegen eines hochkomplexen Passworts ist genauso unsicher wie ein einfaches Passwort“, erklärte er und wies damit auf eine weitere wichtige administrative und technische Maßnahme hin, nämlich die Zugriffsberechtigung.

TeaPea erklärte, wie die Verletzung erfolgte: Ein Mitarbeiter von IHG habe durch das Herunterladen einer in einer E-Mail-Anhang enthaltenen Schadsoftware Zugriff auf das interne IT-Netzwerk erhalten und das Zwei-Faktor-Authentifizierungssystem umgangen. Sobald sie sich in die internen Passwort-Tresore eingeloggt hatten, konnten sie auf die sensibelsten Unternehmensdaten zugreifen. In einer Erklärung gegenüber der BBC hieß es: „Der Benutzername und das Passwort für den Tresor waren allen Mitarbeitern zugänglich. Das heißt, 200.000 Mitarbeiter konnten darauf zugreifen. Das Passwort war zudem sehr schwach.“

American Airlines x Datenverletzung

Die beliebte Fluggesellschaft American Airlines („AA“ oder „das Unternehmen“) gab kürzlich bekannt, dass eine bestimmte Anzahl von Kontoinhabern und Mitarbeitern Opfer eines Cyberangriffs im Juli geworden sind und dass sie alles in ihrer Macht Stehende tun, um ähnliche Vorfälle in Zukunft zu verhindern.

In einer Mitteilung an die betroffenen Kontoinhaber und Mitarbeiter erklärte American Airlines, dass ein unbekannter Cyberangreifer die Konten bestimmter Mitglieder von American Airlines gehackt habe, um an deren persönliche Daten zu gelangen.

Laut einem Bericht von Bleeping Computer zu diesem Thema erklärte Andrea Koos, Senior Director of Corporate Communications bei American Airlines, dass die Cyberangreifer eine Phishing-Kampagne durchgeführt hätten, um sich Zugang zu den Konten der Mitarbeiter zu verschaffen, gab jedoch keine Details darüber bekannt, wie der Angriff durchgeführt wurde und wie viele Kontoinhaber und Mitarbeiter genau von der Datenverletzung betroffen waren.

In der Mitteilung von AA wurde darauf hingewiesen, dass die Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen von Mitarbeitern und Nutzern von dem Cyberangriff betroffen waren. Darüber hinaus wurde bekannt gegeben, dass auch auf offizielle Identitätsdaten wie Führerschein- und Passdaten sowie bestimmte medizinische Informationen von Nutzern und Mitarbeitern zugegriffen wurde.

Das Unternehmen hat zusätzliche technische Maßnahmen ergriffen, um ähnliche Vorfälle in naher Zukunft zu verhindern. Laut der offiziellen Website von Experian hat das Unternehmen den Nutzern eine kostenlose zweijährige Mitgliedschaft im Experian Identity Works-Portal gewährt, das Schutz vor Identitätsdiebstahl und unbefugtem Zugriff auf Kreditakten bietet, um die Konten der Nutzer und Mitarbeiter besser zu schützen. Es wurde außerdem betont, dass AA-Mitarbeiter und Kontoinhaber ihre Experian-Konten nur innerhalb von 48 Stunden nach der Registrierung einsehen können.

Was war passiert?

Es ist bekannt, dass American Airlines bereits zuvor von einer Datenpanne betroffen war. Laut einem Bericht von CNN gehörte das Unternehmen zu einer Gruppe von Unternehmen, die 2021 von einer Datenpanne betroffen waren, die auf eine falsch konfigurierte Einstellung in Microsoft-Software zurückzuführen war. Laut UpGuard führte diese Fehlkonfiguration dazu, dass die persönlichen Daten von Millionen von Menschen monatelang offengelegt wurden.

Optus x Datenverletzung

Optus, Australiens zweitgrößtes Telekommunikationsunternehmen, erlitt aufgrund eines böswilligen Cyberangriffs eine massive Datenverletzung, bei der möglicherweise die persönlichen Daten von Millionen von Kunden gestohlen wurden. Es wird vermutet, dass es sich bei den Angreifern um eine kriminelle Vereinigung handelt oder dass sie für eine staatlich unterstützte Organisation arbeiten. Scamwatch, das von der

australischen Wettbewerbs- und Verbraucherkommission betrieben wird: „Wenn Sie Kunde von Optus sind, wurden möglicherweise Ihr Name, Ihr Geburtsdatum, Ihre Telefonnummer und Ihre E-Mail-Adressen veröffentlicht. Bei einigen Kunden könnten auch Identitätsdaten wie Führerschein- oder Passnummern in die Hände der Kriminellen gelangt sein. Es ist wichtig, dass Sie sich der Gefahr des Identitätsdiebstahls bewusst sind und umgehend Maßnahmen ergreifen, um Schaden zu vermeiden.” erklärte. Darüber hinaus wurde bekannt gegeben, dass Zahlungsdaten und Kontopasswörter nicht gefährdet sind und die Telefondienste sicher funktionieren.

Optus gab nicht bekannt, wie viele seiner 9,7 Millionen Kunden in Australien von der Verletzung betroffen sind, aber Kelly Bayer Rosmarin, CEO von Optus, erklärte, dass es sich um eine „erhebliche Anzahl“ handele.

Das australische Amt für Datenschutz (The Office of the Australian Information Commissioner, „OIAC“) erklärte auf seiner Website: „Selbst wenn ein Dieb nur auf einen kleinen Teil Ihrer persönlichen Daten zugreifen kann, kann er Ihre Identität stehlen, wenn er aus öffentlich zugänglichen Quellen weitere Informationen über Sie erhält. Dazu gehören auch Ihr Geburtsdatum, Ihre Fotos und Ihre Social-Media-Konten, die Informationen über Ihre Familie enthalten können. Identitätsbetrug kann dazu führen, dass jemand die Identität einer anderen Person verwendet, um ein Bankkonto zu eröffnen, eine Kreditkarte zu beantragen, einen Reisepass zu beantragen oder illegale Aktivitäten durchzuführen.”

Optus kündigte an, alle Kunden, bei denen es ein hohes Risiko für eine Gefährdung sieht, durch persönliche Benachrichtigungen und die Bereitstellung von Überwachungsdiensten durch Dritte zu kontaktieren. Scamwatch empfahl den Kunden von Optus, ihre persönlichen Daten zu schützen, indem sie ihre Online-Kontopasswörter ändern und die Multi-Faktor-Authentifizierung für Bankgeschäfte aktivieren.

Scamwatch erklärte: „Von dem Angriff betroffene Kunden sollten ihre Bankkonten sperren, ungewöhnliche Aktivitäten überwachen und bei Verdacht auf Betrug die Sperrung ihrer Kreditauskünfte beantragen. Sie müssen sich bewusst sein, dass Sie möglicherweise dem Risiko eines Identitätsdiebstahls ausgesetzt sind, und dringend Maßnahmen ergreifen, um Schaden zu verhindern. Betrüger können Ihre persönlichen Daten verwenden, um Sie per Telefon, SMS oder E-Mail zu kontaktieren. Klicken Sie niemals auf Links, die Ihnen von Personen gesendet wurden, die Sie plötzlich kontaktieren, und geben Sie diesen Personen keine persönlichen oder finanziellen Informationen. Sie sollten sich bewusst sein, dass Sie dem Risiko eines Identitätsdiebstahls ausgesetzt sein könnten, und umgehend Maßnahmen ergreifen, um Schaden zu verhindern. Betrüger können Ihre persönlichen Daten verwenden, um Sie per Telefon, SMS oder E-Mail zu kontaktieren. Klicken Sie niemals auf Links, die Ihnen von Personen gesendet wurden, die Sie plötzlich kontaktieren, und geben Sie diesen Personen keine persönlichen oder finanziellen Informationen. gab folgende Empfehlungen.

Innenministerin Clare O’Neil erklärte, dass das Australian Cyber Security Centre Optus technische Unterstützung leistet und dass sie sich bewusst sind, dass australische Unternehmen und Organisationen ständig von Cyberkriminellen und feindlichen Staaten angegriffen werden.

O’Neil erklärte außerdem: „Alle Australier und australischen Organisationen müssen ihre Cyberabwehr stärken, um sich vor Online-Bedrohungen zu schützen.“ Sie empfahl Personen, die befürchten, Opfer eines Cyberangriffs zu werden, die Website cyber.gov.au zu besuchen.

Morgan Stanley x SEC

Der amerikanische Finanzdienstleistungsriese Morgan Stanley erklärte sich am Dienstag, dem 20. September 2022, bereit, wegen Verstößen gegen die Datensicherheit eine Strafe in Höhe von 35 Millionen Dollar an die Securities and Exchange Commission (SEC) zu zahlen.

In der Beschwerde der SEC heißt es, dass das Unternehmen etwa 1000 unverschlüsselte Festplatten (Hard Disk Drives, „HDD”) und etwa 8000 Backup-Bänder aus stillgelegten Rechenzentren ohne Löschung auf Auktionsseiten weiterverkauft worden seien. Die SEC erklärte, dass die unsachgemäße Entsorgung der Geräte, die 2016 begonnen haben soll, Teil eines umfassenden Versagens sei, durch das die Daten von 15 Millionen Kunden offengelegt worden seien.

Morgan Stanley habe sich angeblich mit einem anonymen Drittanbieter-Transportunternehmen, das angeblich keine Erfahrung mit der Deaktivierung von Speichermedien habe, statt mit einem internen IT-Team für die Vernichtung der Festplatten, geeinigt. Nach dem Zerbrechen der Geschäftsbeziehung zwischen den beiden Unternehmen seien die Speichergeräte jedoch ohne Löschung in einer Online-Auktion angeboten worden.

Jordan Schroeder, Chief Information Security Officer (CISO) bei Barrier Networks, einem Cybersicherheitsdienstleister in Glasgow, sagte: „Dies ist ein erstaunlicher Sicherheitsfehler einer der renommiertesten Banken der Welt, von der man erwarten würde, dass sie über bewährte Verfahren für das Systemlebenszyklusmanagement verfügt.“ Schroeder fügte hinzu: „Andere Unternehmen sollten dies als Beispiel dafür nehmen, warum es so wichtig ist, über Prozesse zur ordnungsgemäßen Entsorgung von IT-Geräten zu verfügen. Da IT-Systeme vertrauliche Informationen enthalten, ist es wichtig, mit einem zuverlässigen Anbieter zusammenzuarbeiten, der die Daten ohne Risiko vernichten kann. Unternehmen, die dies nicht tun, können gegen die Datenschutz-Grundverordnung (DSGVO) und andere Datenschutzbestimmungen verstoßen und mit ähnlichen Strafen rechnen.“

Morgan Stanley erklärte sich bereit, die Geldstrafe zu zahlen, wies jedoch in einer Stellungnahme gegenüber The Business Standard darauf hin, dass es keine Anzeichen dafür gebe, dass Kunden betroffen seien.

Die Nachricht wurde nur wenige Wochen nach der Verhängung einer Geldstrafe in Höhe von 405 Millionen Euro gegen Instagram im Rahmen einer Untersuchung der irischen Datenschutzkommission (Ireland’s Data Protection Commission, „DPC“) zur Verarbeitung von Daten von Kindern veröffentlicht, über die wir bereits in der letzten Ausgabe des Weltgeschehen-Newsletters berichtet hatten.

Meta x Datenschutzverletzung

Nachdem Apple im Jahr 2021 seine Datenschutzbestimmungen so aktualisiert hatte, dass iOS-Nutzer alle Tracking-Funktionen von Drittanbieter-Apps einfach deaktivieren konnten, deaktivierten viele Nutzer das In-App-Tracking, woraufhin die Electronic Frontier Foundation berichtete, dass Meta im Laufe des Jahres 10 Milliarden Dollar an Einnahmen verloren habe.

Da das Geschäftsmodell von Meta darauf basiert, dass Nutzerdaten für Werbezwecke zirkulieren, begann Meta nach neuen Wegen zu suchen, um diesen plötzlichen Umsatzrückgang auszugleichen.

Der ehemalige Google-Ingenieur Felix Krause erklärte, dass Meta einen Code injiziert habe, um die finanziellen Verluste auszugleichen. Dieser Code leite die Nutzer dazu an, die angeklickten Links im Browser zu öffnen, und ermögliche es, alle Aktivitäten auf einer Website zu verfolgen, einschließlich der Änderung externer Websites und der Überwachung von Passwörtern ohne Zustimmung der Nutzer.

Kürzlich haben drei Facebook- und iOS-Nutzer Meta wegen der Verschleierung von Datenschutzrisiken, die Datenschutzoptionen von iOS-Nutzern zu umgehen und alle Aktivitäten auf Websites von Drittanbietern, die im Browser von Facebook oder Instagram angezeigt werden, zu erfassen, zu überwachen, aufzuzeichnen und all diese gesammelten Daten für Ziel-/Werbecookie-Aktivitäten zu verwenden.

Die Kläger behaupteten, dass Meta über einen „in-app-Browser” ohne Wissen und Zustimmung der Nutzer Zugriff auf personenbezogene Daten, private Gesundheitsdaten, Texteingaben und andere sensible vertrauliche Informationen habe, und untermauerten diese Behauptung mit Formularausfüllungen und Screenshots.

Die jüngsten Beschwerden stammen aus Kalifornien und Louisiana. In der Beschwerde wird auf frühere Verfehlungen von Meta im Zusammenhang mit der unbefugten Erfassung von Nutzerdaten hingewiesen und darauf, dass die Untersuchung der Federal Trade Commission zu einer Geldstrafe von 5 Milliarden Dollar für Meta geführt hat.

In den Beschwerden wurde darauf hingewiesen, dass diese Taktik der Code-Injektion, die offenbar von Meta zum „heimlichen Abhören” von Nutzern eingesetzt wird, eigentlich als JavaScript-Injektionsangriff (JavaScript Injection Attack) bekannt ist. Es wurde besonders betont, dass dieses System die Manipulation von Websites oder Webanwendungen und die Erfassung sensibler Daten wie personenbezogener Informationen oder Zahlungsdaten ermöglicht.

Die Kläger wiesen die Möglichkeit zurück, dass der Code-Injektionsprozess aus Sicherheitsgründen erfolgen könnte, da eine andere beliebte Meta-Anwendung, WhatsApp, dieselbe Taktik nicht anwendet. Es wurde auch darauf hingewiesen, dass Meta in den Facebook-externen Aktivitätseinstellungen, in denen Nutzer verfolgen können, wie ihre Daten von Unternehmen oder Websites erfasst werden, nicht auf die Browserüberwachung innerhalb der Anwendung eingeht. In den Beschwerden wurde behauptet, dass die aktuellen Richtlinien von Meta absichtlich so gestaltet seien, dass die Nutzer im Unklaren gelassen würden, und in der Klage wurde argumentiert, dass seit Meta damit begonnen habe, diesen Code in Websites von Drittanbietern einzufügen, möglicherweise Millionen von Nutzern davon betroffen sein könnten.

Sollten die Kläger gewinnen, hätte jeder Nutzer, der von dieser Situation betroffen ist, gemäß dem Wiretap Act Anspruch auf „eine gesetzliche Entschädigung in Höhe von 100 US-Dollar pro Tag oder bis zu 10.000 US-Dollar für jeden Tag, an dem ein Verstoß vorliegt” sowie bei Verstößen gegen den Children’s Internet Protection Act (The Children’s Internet Protection Act, CIPA) einen Anspruch auf „eine gesetzliche Entschädigung in Höhe von 5.000 US-Dollar pro Verstoß”