Telefon der Stadtwerke Norderstedt ungelöscht verkauft
Datenträger sind nicht nur Festplatten, auch gebrauchte Systemtelefone können ganze Kontaktdatenbanken enthalten. Stammt das Telefon aus einer Behörde, sind darunter eventuell auch Daten von Bürgern.
Gebrauchte Systemtelefone von Behörden, Kommunen und kommunalen Betrieben sind begehrt, um alte Telefonanlagen in kleinen und mittleren Betrieben günstig ein paar Jahre länger zu betreiben – oder um sie als IP-Telefon an die heimische Fritzbox anzuschließen. Anfang des Jahres kaufte ein c’t-Leser über eBay ein gebrauchtes Siemens Unify OpenStage 60 HFA für rund 100 Euro. Bei der Inbetriebnahme stellte er fest, dass es von den Stadtwerken Norderstedt stammte – denn es enthielt noch sämtliche Daten des Vorbesitzers. Er informierte den Datenschutzbeauftragten der Stadtwerke Norderstedt über den Vorfall und übergab das Telefon an die Redaktion.
Unsere Überprüfung bestätigte den Verdacht: Es handelt sich um das Telefon mit der Durchwahl 133 der Stadtwerke Norderstedt, das ungelöscht auf eBay verkauft worden war. Da ein solches Gerät die meisten Daten von der Telefonanlage bezieht, gibt es nur wenige personenbezogene Daten auf dem Telefon: Im Wesentlichen handelt es sich um die persönlichen Kontakte und die Anrufhistorie der letzten zwei Monate mit Telefonnummern und Zeitstempeln.
Admin-Passwort und Klingeltöne
Darüber hinaus bekamen wir Einblicke in die ehemalige Telefon-Infrastruktur der Stadtwerke. So hatten die Admins das Standardpasswort der Telefone nicht geändert, außerdem konnten wir per SSH die Kontakt- und Anruflisten sowie die Klingeltöne herunterladen – darunter Musik von Abba, „Alle Farben“ und aus dem Musical „Der König der Löwen“. Nicht sehr bedeutsam im Vergleich zum Vorfall mit der ungelöschten SSD des Landkreises Coburg, aber die Telefonnummern der Bürger und die Anrufhistorie sind trotzdem datenschutzrechtlich relevant.
Doch wie kam es zu dem Datenleck? Mit der Erneuerung der hausinternen Telefonanlage hatten die Stadtwerke Norderstedt 2019 das Tochterunternehmen Wilhelm.tel GmbH betraut. Den Abbau der Altanlage vergab man an die MeDaKom GmbH, wobei die Einhaltung und Berücksichtigung aller datenschutzrechtlichen Vorgaben Bestandteil der Auftragsvergabe gewesen und vom Auftragnehmer bestätigt worden sein soll, teilte uns der Unternehmenssprecher der Stadtwerke Norderstedt, Oliver Weiß, auf unsere Anfrage mit.
Die MeDaKom verkaufte die Telefone der Stadtwerke Norderstedt an gewerbliche Abnehmer weiter, wie uns der Geschäftsführer Erhard Menzel telefonisch mitteilte. So gelangte das uns vorliegende Gerät zur HHW electronics e.K, die auf die Reparatur und Aufarbeitung von Systemtelefonen aller Art spezialisiert ist.
Dort würden die Telefone eigentlich immer gelöscht, bestätigte uns die HHW wiederum telefonisch. Im Fall unseres Telefons sei das offenbar vergessen worden. Als unser Leser den Datenschutzbeauftragten der Stadtwerke Norderstedt darüber informierte, sei der Fall sofort gemeldet und sämtliche noch nicht verkauften Telefone überprüft worden. Weitere Datenfunde gab es nicht. Es handelt sich also offenkundig um einen Einzelfall. Ein alltäglicher Fehler im Betriebsablauf, das ist menschlich – und zum Glück waren die Daten diesmal wenig brisant.
Datenschutz an der Quelle
Der Fall verdeutlicht aber einmal mehr, dass Datenlöschung bei Einrichtungen der öffentlichen Hand, die mit Bürgerdaten arbeiten, nicht per Ausschreibung delegiert werden sollte. Eine Löschungsbestätigung kann letztlich jeder ausstellen, ohne dazu eine besondere Befähigung nachweisen zu müssen. Selbstverständlich haftet ein Dienstleister für Pannen, das ändert aber nichts daran, dass sich abhandengekommene Daten nicht wieder einfangen lassen. Der Datenschutz muss an der Quelle gewährleistet werden, wenn er effektiv sein soll – am besten durch das Fachpersonal selbst. Denn diese sind auch schon im Alltag damit betraut, die Daten der Bürger zu schützen.
Dieser Artikel stammt aus c't 6/2020.
(mid)
