Untersuchung der so genannten Yahoo-Datenschutz-Apokalypse
Yahoo wird nun von zwei EU-Datenschutzbehörden unter die Lupe genommen. Die britische Datenschutzaufsichtsbehörde ICO, die das Ausmass der jüngsten Attacke als „erschütternd“ bezeichnete, kündigte an, den Fall genauer zu untersuchen. Nebst Irland, wo die Yahoo Zentrale liegt, schaltet sich auch das amerikanische FBI ein, weil möglicherweise ein Staat (wahrscheinlich Russland) hinter dem Angriff auf Yahoo steckt.
Nachgerechnet: Strafen nach DSGVO
Wäre die DSGVO bereits anwendbar – was erst ab dem 25. Mai 2018 der Fall sein wird – und Yahoo hätte den Diebstahl persönlicher Daten von 500 Millionen Nutzern nicht innerhalb von 72 Stunden an eine Datenschutzbehörde gemeldet, würden dem Unternehmen massive Strafen drohen.
Ein Verstoss gegen die in Artikel 33 der DS-GVO verankerte Meldepflicht kann Strafen in Höhe von zwei Prozent des weltweiten Jahresumsatzes nach sich ziehen. Der Umsatz von Yahoo lag in den letzten Jahren jenseits der 4,5 Milliarden US-Dollar-Grenze.
Unter der Geltungspflicht der DSGVO müsste Yahoo also mindestens 90 Millionen US-Dollar an die EU überweisen.
Und dann ist noch Verizon mit einem Jahresumsatz von mehr als 130 Milliarden US-Dollar gerade dabei, Yahoo zu kaufen. Wäre die Übernahme bereits vollzogen, dann müsste Verizon mit einer Strafe von zwei Prozent der 134 Milliarden, also etwa 268 Millionen US-Dollar, rechnen.
Was lernen wir daraus? Große multinationale und US-Unternehmen mit einer weltweiten Internetpräsenz sollten jetzt für den Fall eines Yahoo-ähnlichen Sicherheitsvorfalls nach dem 25. Mai 2018 vorsorgen.
Hier noch ein Link zu wichtigen Punkten betreffs dem DSGVO
(Quelle: Varonis)
Neben vielen anderen Unstimmigkeiten bei diesem Vorfall ist es durchaus verwunderlich, dass Yahoo schon im Sommer von diesem Sicherheitsvorfall wusste. Nachdem nämlich die Nutzerdaten bereits im Darknet zum Verkauf angeboten wurden. Die gestohlenen Daten scheinen auf einen Angriff zurückzugehen, der sich bereits 2014 ereignete. Es handelt sich also um eine offensichtliche Verletzung der Meldepflicht.
Natürliche Personen betroffen?
Das einzige US-amerikanische Gesetz auf Bundesebene, das eine strikte Meldepflicht vorschreibt, gilt nur für personenbezogene medizinische Daten, die von „unter das Gesetz fallenden Einrichtungen“ wie Versicherungsgesellschaften, Krankenhäusern und Gesundheitsdienstleistern gespeichert werden. Dieses Gesetz ist der Health Insurance Portability and Accountability Act, kurz HIPAA.
Die US-Regierung hat also keine Möglichkeit, Yahoo aufgrund der extrem verspäteten Meldung des Sicherheitsvorfalls zu sanktionieren. In 47 US-Bundesstaaten gibt es Gesetze, die eine Meldepflicht vorschreiben. Diese würden hier zwar greifen, doch die Strafe hängt in der Regel vom jeweiligen Schaden für die Verbraucher ab, der sich konkret nur schwer nachweisen lässt.
Die einzige Ausnahme bildet wie immer Kalifornien, wo sich der Unternehmenssitz von Yahoo befindet. Dort müssen unbefugte Datenzugriffe sofort nach Bekanntwerden gemeldet werden. Yahoo steht also ein Besuch des Attorney General von Kalifornien ins Haus.
Kontrolle durch Europäische Union?
Man würde meinen, dass die Europäische Union Datenschutzverletzungen strenger ahndet als die USA. Doch die aktuell gültige EU-Datenschutzrichtlinie schreibt keine Meldepflicht für Sicherheitsvorfälle vor. Dies war auch einer der Gründe für die Ausarbeitung der Datenschutz-Grundverordnung, die ab Mai 2018 gilt.
Rechtliche Konsequenzen
Möglicherweise wird Yahoo dennoch auch in der EU nicht ganz ungeschoren davonkommen: Die Datenschutzrichtlinie verlangt nämlich angemessene Sicherheitsmassnahmen (Artikel 16). Yahoo könnte also theoretisch aufgrund unzureichender Datenschutzvorkehrungen belangt werden.
Allerdings handelt es sich bei Yahoo um ein US-Unternehmen, dessen Datenerfassungsserver sich hauptsächlich ausserhalb der EU befinden. Es kann also durchaus sein, dass der lange Arm der Datenschutzrichtlinie doch nicht lang genug ist. Die Lage ist also alles andere als eindeutig.
Wenn Sie mehr dazu wissen wollen, inwieweit die aktuelle Datenschutzrichtlinie auch für Nicht-EU-Unternehmen gilt, dann finden Sie in diesen Blog-Eintrag eine gute Analyse der Rechtslage.
Überblick über die Datenschutzvorschriften in der EU, finden Sie auch im Whitepaper von Varonis.
