Im Herbst hatte eine Hackergruppe das IT-Netz der Gemeinde Untereisesheim (Kreis Heilbronn) lahmgelegt. Jetzt wird bekannt: Dabei sind zahlreiche persönliche Daten von Bürgerinnen und Bürgern im Darknet aufgetaucht. Recherchen des SWR zeigen, welches Ausmaß der Datenabfluss tatsächlich hatte.
Personenbezogene Bürgerdaten im Netz
Im Darknet sind neben zahlreichen persönlichen Daten, Ausweiskopien und polizeilichen Führungszeugnissen auch vertrauliche Akten der Staatsanwaltschaft aufgetaucht.
Aus der Pandemiezeit finden sich mehrere Covid-19-Impflisten mit Namen und Adressen sowie Aufstellungen darüber, welche Untereisesheimerinnen und Untereisesheimer in Quarantäne mussten oder gegen Corona-Richtlinien verstießen sowie ein ausführliches fachärztlich-psychiatrisches Gutachten inklusive Medikation einer Frau.
Auch ein ungesichertes Word-Dokument war im Netz zu finden mit der schlichten Aufschrift "Passwörter". Darin standen zahlreiche Zugangsdaten zu internen und externen Accounts.
Gemeinde Untereisesheim räumt Fehler ein
Der Untereisesheimer Bürgermeister Christian Tretow (SPD) räumt ein, dass zahlreiche hochsensible Daten abgeflossen seien. Wie das passieren konnte, dazu will sich Tretow derzeit nicht äußern:
Spekulationen über rechtliche Versäumnisse sind während der laufenden Bewertung des Vorgangs jedoch nicht zielführend.
Datenschutzbehörde prüft noch
Zuständig für die Prüfung mutmaßlicher Verstöße ist der Datenschutzbeauftragte des Landes Baden-Württemberg. Dessen Sprecher, Cagdas Karakurt bestätigt auf Anfrage des SWR, dass seiner Behörde der Sachverhalt bekannt sei. Eine inhaltliche Bewertung sei derzeit nicht möglich, da das Verfahren noch laufe.
Grundsätzlich gelte demnach: Kommunen dürfen personenbezogene Daten nur dann verarbeiten, wenn sie durch technische und organisatorische Maßnahmen ausreichend gesichert seien. Die Anforderungen an Sicherheit und Löschung stiegen mit der Sensibilität der Daten, bei Gesundheits- oder Strafverfolgungsdaten sei die Messlatte besonders hoch.
Auch das werde nun im Fall Untereisesheim geprüft, sagt Bürgermeister Christian Tretow: "Im Rahmen der aktuellen Aufarbeitung wird genau geprüft, welche Daten aus welchem Anlass gespeichert wurden, ob dies in jedem Fall notwendig war und ob Löschkonzepte praktisch wirksam umgesetzt wurden."
Welche Rechte haben Betroffene?
Bei Datenschutzverstößen drohen Bußgelder - jedoch nur für Einzelpersonen. Kommunen können nicht sanktioniert, höchstens verwarnt oder zu Maßnahmen verpflichtet werden, erklärt der Stuttgarter Datenschutzjurist Thomas Lang.
Betroffene Bürgerinnen und Bürger könnten unter Umständen Schadensersatzansprüche gegen die Gemeinde geltend machen. Ob ein solcher Anspruch besteht, hänge von mehreren Faktoren ab: "Etwa davon, ob Mitarbeitende ausreichend geschult waren […] und wie gut die Daten technisch gesichert waren", ergänzt Anwalt Lang.
Denn die im Internet veröffentlichten Informationen könnten für weitere Angriffe genutzt werden, heißt es bei der Cybersicherheitsagentur Baden-Württemberg. Die personenbezogenen Informationen könnten eingesetzt werden, "um weitere sensible Daten zu erlangen, Sicherheitsmassnahmen zu umgehen oder Schadsoftware zu installieren," erklärt CSBW-Sprecherin Anne-Kathrin Keicher.
Gemeindeverwaltung Untereisesheim verbessert ihre IT-Sicherheit
Die Gemeinde hat nach eigenen Angaben nach dem Vorfall die IT-Sicherheit und den Datenschutz verschärft, etwa durch strengere Zugriffsrechte, klare Speicher- und Löschregeln und Schulungen der Mitarbeitenden.
Auch das Word-Dokument mit den internen Zugangsdaten liege inzwischen nicht mehr ungesichert auf seinem Rechner, sagt Bürgermeister Tretow. "Sämtliche Passwörter wurden bereits direkt nach dem Angriff zurückgesetzt, sodass keine sensiblen Zugangsdaten veröffentlicht wurden."
