Schleswig-Holstein: Polizei meldetet 2019 keine einzige Datenpanne

349 Datenpannen wurden dem schleswig-holsteinischen Landesdatenschutzzentrum im vergangenen Jahr gemeldet. In diesen Fällen haben Behörden und Unternehmen selbst angezeigt, wenn ein Brief oder eine Mail falsch zugestellt wurde, Akten oder Datenträger abhanden kamen, eine Schadsoftware Personendaten auslesen konnte und dadurch ein Risiko für Personen bestand. „Wo Menschen mit personenbezogenen Daten arbeiten, kann immer mal was schiefgehen. Immer, wenn bei einer solchen Datenpanne ein Risiko für die Betroffenen nicht ausgeschlossen werden kann, muss der Vorfall an meine Behörde gemeldet werden“, erklärt die Landesdatenschutzbeauftragte Marit Hansen. Da heute viel per Mail kommuniziert werde, seien Namensgleichheiten oder ähnliche Mailadressen besonders tückisch. Es komme auch vor, dass Informationen versehentlich an ganze Verteiler anstatt an einzelne Personen geschickt werden. Auffallend: Polizei meldet 2019 keine Datenpanne: Eine Behörde hat im Jahr 2019 allerdings keine einzige Datenpanne gemeldet: die Polizei Schleswig-Holsteins. „In großen Organisationen – wie bei der Polizei mit rund 6500 Bediensteten – fällt uns auf, wenn in einem Jahr gar keine Datenpanne gemeldet wird“, erklärt Hansen. Im Ende März erschienenen Datenschutzbericht schreibt sie: „Während bei Aufsichtsbehörden anderer Bundesländer beinahe wöchentlich Meldungen der Polizei eingehen, gibt es in Schleswig-Holstein bisher keine einzige Meldung aus dem Bereich.“ Ihr sei kein Konzept bekannt, wie Mitarbeiter der Polizei geschult und Datenpannen gemeldet und bewertet werden. „Es wäre fatal, wenn der Eindruck entstehen würde, dass die Polizei zwar ihre gesetzlichen Befugnisse zum Eingriff in die Bürgerrechte nutzt, auf der anderen Seite aber nicht dafür Sorge trägt, selbst ihre gesetzlichen Pflichten zu erfüllen, die die Bürgerrechte stärken sollen“, heißt es in dem Bericht weiter. Polizei: Keine meldepflichtigen Datenpannen: Die Meldepflicht von Datenpannen ist im Landesdatenschutzgesetz verankert. Meldepflichtig sind demnach solche Pannen, bei denen ein Risiko für Personen besteht, weil ihre personenbezogenen Daten verloren gingen, verändert oder offengelegt wurden. Umgekehrt heißt das: Datenpannen, bei denen voraussichtlich kein Risiko besteht, müssen auch nicht gemeldet werden. Darauf verweist auch das Landespolizeiamt: „Im Jahr 2019 gab es keine Datenpanne zu verzeichnen, die als meldepflichtig gegenüber der Datenschutzaufsichtsbehörde bewertet wurde“, erklärt ein Sprecher. „Dank geeigneter Abhilfemaßnahmen kam es bisher zu keinen Gefahren für betroffene Personen.“ Datenpannen sind „Verletzungen des Schutzes personenbezogener Daten“. Dazu zählen falsch zugestellte Mails, Briefe oder Faxe, der Verlust von Unterlagen oder Datenträgern. Auch die Möglichkeit, dass Unbefugte Dateneinsicht haben können, wenn Unterlagen beispielsweise offen auf dem Schreibtisch liegen, zählt als Panne. Ebenso, wenn Daten durch Malware vernichtet, verändert, oder offengelegt werden. Für die Person, dessen Daten betroffen sind, kann das Folgen haben: Sie verliert nicht nur die Kontrolle über ihre Daten, sondern könnte aufgrund der Informationen auch in ihren Rechten eingeschränkt oder diskriminiert werden. Auch Identitätsdiebstahl oder -betrug sind eine mögliche Folge, ebenso wie finanzielle Verluste oder Rufschädigung. Datenpannen, die ein Risiko für die betroffene Person bedeuten, müssen dem Landesdatenschutzzentrum innerhalb von 72 Stunden gemeldet werden. Das ist in §41 des Landesdatenschutzgesetzes geregelt. Die Meldung muss demnach bestimmte Informationen enthalten. Neben den möglichen Folgen für die betroffene Person muss auch erklärt werden, wie diese Datenpanne in Zukunft verhindert werden kann. Es gibt auch Datenpannen, die nicht meldepflichtig sind. In einem Fall waren Informationen einer Mail oder eines Datenträgers so verschlüsselt, dass sie von Unbefugten nicht gelesen werden konnten. Bei der Frage, wie grundsätzlich mit Datenpannen umgegangen wird, verweist die Polizeibehörde auf eine Leitlinie aus dem Jahr 2009: „Die Informationssicherheitsleitlinie stellt sicher, dass dem jeweiligen Schutzzweck und dem Stand der Technik entsprechende Sicherheitsmaßnahmen ergriffen werden, um Informationswerke und personenbezogene Daten angemessen zu schützen.“ Sollte es doch zu einer Datenpanne kommen, werde der Vorfall durch einen Verantwortlichen, den Datenschutzbeauftragten, und das IT-Sicherheitsmanagement geprüft. Ob eine Datenpanne eine Gefahr darstellt, werde von Amts- und Behördenleitern bewertet, gegebenenfalls mithilfe der Datenschutzbeauftragten. Polizei-Leitlinie von 2009 – Gesetz 2018 aktualisiert: „Wenn es einen bekannten Meldeweg für Vorfälle gibt und auch das IT-Sicherheitsmanagement und die behördlichen Datenschutzbeauftragten einbezogen sind, ist dies ein gutes Zeichen. Meine Vermutung ist trotzdem bei der Zahl von null gemeldeten Datenpannen: dass nicht jedem klar ist, welche Vorfälle meldepflichtig sind und auf welche Risiken man zu achten hat", sagt Hansen. Im Jahr 2016 hat ein Kreistagsabgeordneter der Piraten-Partei immer wieder vertrauliche E-Mails von Polizei und Staatsanwaltschaft bekommen. Die Mails enthielten vertrauliche – und personenbezogene – Informationen zu Ermittlungsverfahren und Hausdurchsuchungen. Es ging um Einbruch, Verstoß gegen des Waffengesetz, Kinderpornografie. Die Mails waren für einen Polizeibeamten bestimmt, der genauso hieß wie der Abgeordnete. Ein klassisches Beispiel einer meldepflichtigen Datenpanne. Der Politiker wandte sich daraufhin auch an das Landesdatenschutzzentrum. Doch auch nachdem er die Panne gemeldet hatte, bekam er weiter versehentlich vertrauliche Mails. Außerdem: Die Leitlinie, auf die die Polizei verweist, ist von 2009. Das Landesdatenschutzgesetz wurde allerdings vor zwei Jahren angepasst. „Man muss sich auch bewusst machen, dass sich die rechtlichen Grundlagen dafür, was alles an uns gemeldet werden muss, im Mai 2018 geändert haben. Jetzt müssen viel mehr Datenpannen gemeldet werden", erklärt die Landesdatenschutzbeauftragte. In dem neuen Gesetz ist auch genau erläutert, wie mit einer Datenpanne umgegangen werden soll – von der Meldung an das Landesdatenschutzzentrum über die Benachrichtigung betroffener Personen bis hin zur Erarbeitung von Maßnahmen, um eine Panne künftig zu verhindern. Meldungen helfen Datenpannen zu verhindern: Ganz grundsätzlich betont die Landesdatenschutzbeauftragte, dass Datenpannen nicht ungewöhnlich sind, ihre Meldung kein Makel für eine Behörde. „Dass über das Jahr mehrere Vorfälle aus einer Behörde gemeldet werden, heißt nicht, dass es generell um den Datenschutz schlecht bestellt ist, sondern es zeigt ein gutes Bewusstsein für Datenschutzrisiken und dass die Meldewege bekannt sind." Müssten allerdings die gleichen Vorfälle mehrfach gemeldet werden, laufe etwas falsch. Wer eine versehentliche Panne meldet, sollte nicht bestraft werden, erklärt Hansen: „Er sorgt dafür, dass der aufgetretene Fehler nicht noch einmal passiert, weil dann die geeigneten Gegenmaßnahmen getroffen werden können.“ Lesen Sie auch: Verschleppte Ermittlungen? Marit Hansen verklagt Staatsanwaltschaft Kiel Schul-Cloud gehackt: Deutschlandweite Sicherheitslücke, Daten von 103 Schülern und Lehrern erbeutet Cyber-Attacken: Immer mehr Hacker-Angriffe in Schleswig-Holstein Von Annabell Brockhues

Schleswig-Holstein - Datenschützer besorgt: Polizei meldet keine einzige Panne