Nach dem Datenleck bei Knuddels prüfen Datenschützer nun, ob das Chatportal mit Sanktionen rechnen muss. Denn: Die Datenschutz-Grundverordnung (DSGVO) schreibt zum Teil hohe Strafzahlungen vor, wenn Unternehmen ihre Daten nicht entsprechend sichern. Was könnte Knuddels drohen?
Datenleck bei Chatportal Knuddels.de
Vor wenigen Tagen meldete das Karlsruher Chatportal Knuddels ein Datenleck. Der Schaden: Mehr als 1,8 Millionen Kundendaten, darunter über 800.000 E-Mail-Adressen entwendet und auf verschiedenen Hosting-Plattformen veröffentlicht.
Darum war das Datenleck möglich
Damit Nutzer in Chats nicht ihre eigenen Passwörter versenden und sich so angreifbar machen, programmierte Knuddels einen Filter, der die Passwörter in den Chats erkennt und User daran hindert, diese zu versenden. Dazu speicherte die Chatplattform die Passwörter im Klartext auf seinen Unternehmensservern. Derzeit geht Knuddels davon aus, dass die Datendiebe einen Backupserver gehackt haben könnten, der nicht die neueste Version des Betriebssystems aufwies und daher leicht angreifbar war. Die Hacker konnten so möglicherweise die Nutzerdaten auslesen.
Das hat Knuddels bisher gegen das Datenleck unternommen
Knuddels hat den Filter für die Chats bereits deaktiviert. Darüber hinaus hat das Portal die Klartext-Passwörter gelöscht, um weitere Leaks zu verhindern.
Datenschützer prüfen Datenleck
Datenschützer arbeiten das Datenleck derzeit auf. Sie prüfen, ob das Chatportal mit seiner Vorgehensweise gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen haben könnte. Der zuständige Datenschutzbeauftrage Stefan Brink aus Baden-Württemberg sieht für die Datenpanne intensiven Klärungsbedarf. Er stuft es als unverständlich ein, dass Knuddels die Passwörter im Klartext gespeichert hatte. Das entspreche heute nicht mehr dem Standard. Er will daher Bußgelder nicht ausschließen.
Das könnte dem Chatportal drohen
Verstoßen Unternehmen gegen die DSGVO, drohen ihnen Strafzahlungen von bis zu 10 Millionen Euro oder zwei Prozent ihres Jahresumsatzes. Bei besonders schweren Verstößen kann die DSGVO das Strafmaß verdoppeln. So ein schwerer Verstoß könnte in diesem Fall vorliegen, da Knuddels User-Passwörter im Klartext gespeichert hatte. Artikel 32 schreibt dazu vor, dass Unternehmen personenbezogene Daten pseudonymisiert und verschlüsselt speichern müssen.
Fazit
Das Datenleck bei Knuddels ist erste große Fall, der die Wirkungsweise der DSGVO auf den Prüfstand stellt. Die Bewertung der Arbeitsweise des Chatportals dürfte damit eine Signalwirkung für alle Unternehmen mitbringen.
Sören Siebert ist Rechtsanwalt mit Kanzleien in Berlin und Potsdam.
