Datenschutzskandal: Festplatte mit tausenden sensiblen Mails bei Ebay verkauft

Wenn im Land Schleswig-Holstein alte PCs in Behörden und Ämtern ausgemustert werden, ist es vorgeschrieben, dass Festplatten ausgebaut und vernichtet werden. Mitarbeiter der Stadt Lübeck etwa sollen die Festplatten ausbauen und die Computer mit einem gelben Punkt versehen. Bei diesem Vorgang ist es kürzlich aber offenbar zu einer Panne gekommen, wie das Magazin c't nun aufgedeckt hat. Ein Ebay-Nutzer kaufte 13 Fujitsu-PCs, die von der Hansestadt aussortiert wurden und mit einem gelben Punkt markiert waren. In einem der Computer steckte aber noch eine Festplatte.

Der Nutzer beschriftete die Festplatte mit „Schrott“ und schickte sie an die c't-Redaktion, die die Festplatte untersuchte. Der entsprechende PC wurde offenbar vom Ausländeramt Lübeck eingesetzt und enthielt Daten aus dem Zeitraum vom 20. Januar 2016 bis zum 29. Juni 2021. Insgesamt fanden sich darauf 31 Nutzerkonten, da alte Konten und entsprechende Daten nie gelöscht wurden. Die Konten gaben der Redaktion auch Hinweise auf Arbeitsweise und Strukturen der Ausländerbehörde.

Fahndungsausschreibungen und mehr: 33.400 sensible E-Mails

Der pikanteste Fund waren dabei aber wohl insgesamt 33.400 E-Mails, die „ohne Mühe und ohne Einsatz forensischer Werkzeuge“ auffindbar waren. „Egal, ob es um Einbürgerungen, Namensänderungen, Grenzübertrittsbescheinigungen, Wiedereinreisesperren, Fahndungsausschreibungen, Abschiebungsanordnungen, Meldeakten und so weiter ging: In den E-Mails und ihren Anhängen auf der Festplatte gab es all diese Vorgänge nebst zugehöriger Betroffenendaten zuhauf“, schreibt das Magazin. Da es sich dabei teilweise um höchst sensible Daten nach Art. 9 DSGVO handelt, die besonders streng zu schützen sind, spricht c't von einem „Datenschutzskandal“.

Weil die Behörde Microsoft Outlook nutzt, häuften sich die Daten über Jahre an, denn obwohl die Hansestadt Lübeck einen zentralen Server für alle E-Mails nutzt, legt Outlook standardmäßig versteckte Dateien an, in denen alle Nachrichten hinterlegt werden. Wäre die Festplatte vorschriftsmäßig vernichtet worden, wäre das auch kein Problem gewesen. Der Verwerter, der sich um die Ausmusterung der Platten kümmert, weist die Schuld von sich. Ob die mit einem gelben Punkt markierten Computer wirklich keine Festplatten mehr enthielten, hätte er nicht überprüft, dies sehe die Vereinbarung mit der Hansestadt Lübeck auch nicht vor.

Lübeck schweigt

Die Hansestadt Lübeck äußert sich bislang nicht zu dem Vorfall. Aufgrund laufender Ermittlungen könne man derzeit keine Fragen beantworten, erklärt Bürgermeister Han Lindenau gegenüber c't. Der Vorfall sei an die Landesdatenschutzbehörde gemeldet und Anzeige erstattet worden. Der Aufforderung von Lindenau, die Festplatte auszuhändigen, kommt die c't-Redaktion nicht nach. Man behalte die Festplatte bis auf Weiteres in sicherer Verwahrung und werde sie nur unabhängigen Ermittlungsbehörden aushändigen, „nicht aber Beteiligten an diesem Datenschutzskandal“. Die Datenschutzbehörde aus Schleswig-Holstein hat angekündigt, die Sache zu untersuchen.