Nach Angriff auf Zoll-Server: Schaar fordert Informationspflicht für Behörden

Nach dem Hackerangriff auf Server des Zolls fordert der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, die Ausweitung der für Unternehmen bestehenden Informationspflicht bei Datenverlusten auf Bundesbehörden. Eine Gruppe, die sich NN-Crew nennt, hatte Ende vergangener Woche Zugangsdaten und Klartext-Passwörter des Zielverfolgungssystem „PATRAS“ gestohlen und zahlreiche Screenshots veröffentlicht. Damit war es jedermann möglich, sich in das hochsensible System einzuloggen.

„Eine Konsequenz des Hackerangriffs auf die Server des Zolls muss sein, dass bei schwerwiegenden Datenschutzverstößen endlich auch für Behörden das gilt, was für private Unternehmen seit zwei Jahren gesetzlich vorgeschrieben ist: Bei Verlust, Diebstahl oder Missbrauch sensibler personenbezogener Daten sind unverzüglich die hiervon Betroffenen sowie die Aufsichtsbehörden zu unterrichten. Die verbesserte Transparenz bei Datenschutzpannen ermöglicht den Betroffenen, negative Konsequenzen rechtzeitig abzuwenden und Sicherheitsmaßnahmen zu ergreifen“, sagte Schaar.

Seit dem 1. September 2009 müssen private Stellen, von der Privatperson bis zum Konzern, sowie Wettbewerbsunternehmen des Bundes und der Länder gravierende Datenschutzpannen der zuständigen Aufsichtsbehörde melden und die Betroffenen informieren. Artikel 42a des Bundesdatenschutzgesetzes sieht diese Informationspflicht vor, wenn sensible personenbezogene Daten unrechtmäßig in die Hände Dritter gelangt sind und schwerwiegende Beeinträchtigungen für die Betroffenen drohen.

Schaar: „Eine solche Informationspflicht motiviert die verantwortlichen Stellen, mehr für die Datensicherheit und den Datenschutz zu tun. Ich kann überhaupt nicht nachvollziehen, warum hier für Datenschutzverstöße staatlicher und privater Stellen unterschiedliche Maßstäbe angelegt werden.“

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hatte schon 2008 auf die Notwendigkeit von Informationspflichten für öffentliche Stellen bei Datenschutzverstößen hingewiesen. In diesem Frühjahr wurde eine entsprechende Regelung in das Berliner Datenschutzgesetz aufgenommen. „Der Bund sollte diesem guten Beispiel folgen“, so Schaar.