Bank of Ireland verliert wichtige persönliche Daten

Die persönlichen Daten von ca. 10 000 Kunden der Bank of Ireland (BOI) befinden sich derzeit nunmehr im Besitz von Dieben, nachdem zwischen Juni und Oktober 2007 vier Laptops mit den unverschlüsselten Daten aus der Bank entwendet worden sind.

Die vier gestohlenen Laptops waren von Angestellten in der Lebensversicherungsabteilung der Bank verwendet worden. Nicht genug, dass die Kundendaten wie Krankengeschichten, Einzelheiten zu den Lebensversicherungen, Einzelheiten zu den Bankkonten, Namen und Adressen nicht verschlüsselt waren, erstattete die Bank überdies erst am 18. April 2008 Anzeige wegen der Diebstähle. Dazu kommt noch, dass die Bank bis zum jetzigen Zeitpunkt noch keinen der betroffenen Kunden benachrichtigt hat, deren Daten verloren wurden.

Der Fall wird nun von sowohl von der Aufsichtsbehörde für Wertpapierhandel als auch von Billy Hawkes, dem Irischen Datenschutzkommissar, verfolgt. „Die Ermittlungen werden sich darauf konzentrieren herauszufinden, warum persönliche Daten, einschließlich sensibler medizinischer Daten in einigen Fällen, überhaupt auf Laptops gespeichert werden, außerdem auf die getroffenen Sicherheitsvorkehrungen und die genauen internen Umstände in der Bank of Ireland, die zu der Verzögerung bei der Anzeige dieser Angelegenheit bis zum zuständigen Personal, das weitere Maßnahmen ergreifen muss,“ hieß es in einer Stellungnahme des Kommissars.

Die einzige Rechtfertigung von Seiten der Bank zu ihrer Verteidigung lautete, dass „man alle betroffenen Kundenkonten überwacht habe und bestätigen kann, dass es keinerlei Beweise für betrügerische oder verdächtige Aktivitäten gibt“, was natürlich keineswegs bedeutet, dass es nicht anderswo zu Betrügereien bezüglich der Konten gekommen ist. Dadurch wird also keineswegs gerechtfertigt, dass Bank ihre Kunden nicht verständigt hat, damit sie die erforderlichen Schutzmaßnahmen ergreifen konnten.

Noch ist unklar, welche Sanktionen über die Bank verhängt werden, oder ob es überhaupt zu Sanktionen kommen wird. In einem ähnlichen Fall in England wurde die Nationwide Building Society von der Finanzaufsichtsbehörde mit einer Geldstrafe von 1 300 000 Euro belegt, weil man keine angemessenen Informationssicherheitsmaßnahmen und -kontrollen eingesetzt hatte.

„Wie werden uns dann damit befassen, welche weiteren Maßnahmen von der BOI verlangt werden, damit sichergestellt werden kann, dass die Verpflichtungen in Bezug auf die Datenschutzgesetze in diesem Bereich erfüllt werden. Der Datenschutzkommissar und die Aufsichtsbehörde arbeiten in dieser Angelegenheit zusammen und wir werden jedes relevante Ergebnis an die Aufsichtsbehörde weitergeben“, hieß es in der Stellungnahme des Kommissars.

Finanzorganisationen gehen bei der Sicherheit ihrer Kundendaten ein immer höheres Risiko ein. Dem Büro des Britischen Kommissars für Information zufolge waren in der Hälfte aller Verstöße gegen die Datensicherheit im Privatsektor, die seit letztem November bekannt geworden sind, Finanzdienstfirmen beteiligt.

Das Problem liegt derzeit darin, dass es für eine Institution keine allgemeine rechtliche Verpflichtung gibt, die Leute im Falle des Verlusts ihrer Daten zu verständigen. Wie im EDRi-gram schon berichtet wurde, hat der Europäische Datenschutzbeauftragte diesbezüglich Änderungen für die bevorstehende e-Privacy Richtlinie vorgeschlagen.

Bank alert as details of 10,000 files stolen (22.04.2008)

Lessons from Laptop Loss - the Bank of Ireland case and Mandatory Reporting of Data Loss (23.04.2008)

Bank of Ireland loses thousands of customer records (23.04.2008)

unwatched: Europäischer Datenschutzbeauftragter unterstützt die Verordnung zur Benachrichtigung über Datenverstöße in der ePrivacy Richtlinie (23.04.2008)