Frankreichs Fiskus ist von seinen eigenen DSGVO-Bußgeldern befreit

Was die DGFiP tatsächlich verlor

Der Einbruch in die DGFiP, Frankreichs Steuerbehörde, begann am 26. Juni 2026, als ein Angreifer mit gestohlenen Zugangsdaten eines DGFiP-Mitarbeiters und eines separaten berechtigten Dritten auf die Systeme der Behörde zugriff. Interne Kontrollen kappten diesen Zugang noch vor Ende Juni, und die offizielle Mitteilung des Finanzministeriums beziffert die betroffenen Daten auf rund 678.000 Personen und Unternehmen - nahe an den 678.438 Zeilen, die der Angreifer selbst später behauptete. Bei privaten Steuerzahlern betreffen die offengelegten Felder vollständige Namen, die Familienquotienten-Einstufung, das maßgebliche zu versteuernde Einkommen und den Quellensteuersatz; bei Unternehmen die SIREN-Registrierungsnummer, die Geschäftsadresse und die Adresse des bevollmächtigten Vertreters.

Die DGFiP erklärte, dass keine gesicherten Steuerzahlerkonten auf dem Portal impots.gouv.fr kompromittiert wurden, die Daten allein also niemandem Zugriff auf laufende Steuererklaerungen verschaffen. Die Behörde selbst bezeichnete den Einbruch jedoch als ausgefeilter als alles, was sie zuvor erlebt hatte, und die offengelegten Felder - Einkommenshöhe, Steuersatz, Familiensituation, Unternehmensregistrierung und Adressdaten - sind genau die Art von Details, die einen nachfolgenden Phishing-Anruf oder eine betrügerische E-Mail glaubwürdig machen.

Achtundvierzig Tage von der Kappung bis zur öffentlichen Offenlegung

Der entscheidende Zeitverlauf ist hier nicht der Einbruch selbst, sondern das anschliessende Schweigen. Die DGFiP kappte den Zugang des Angreifers Ende Juni, und der Vorfall blieb unangekündigt bis zum 12. August, als der Angreifer seine eigene Behauptung des Datendiebstahls veröffentlichte. Erst am Folgetag, dem 13. August, gab das Finanzministerium eine offizielle Mitteilung heraus, die den Einbruch bestätigte und erklärte, die DGFiP werde die CNIL, Frankreichs Datenschutzbehörde, informieren und Strafanzeige bei der Pariser Staatsanwaltschaft erstatten, die inzwischen eine Untersuchung unter Beteiligung von OFAC, der nationalen Cyberkriminalitätseinheit, eingeleitet hat.

Diese Lücke von 48 Tagen ist nach dem Wortlaut der DSGVO legal: Die 72-Stunden-Frist der Verordnung gilt nur für die Meldung an die Aufsichtsbehörde, nicht für die Benachrichtigung der betroffenen Personen, denen eine Offenlegung nur 'unverzueglich' geschuldet wird, wenn ein Vorfall ein hohes Risiko darstellt - ein Maßstab ohne feste Zahl. Der zuständige Minister David Amiel bat die DGFiP daraufhin, die betroffenen Steuerzahler direkt zu benachrichtigen und verstärkte Sicherheitsverfahren vorzuschlagen - doch diese Aufforderung kam, nachdem der eigene Beitrag des Angreifers die Behörde dazu gezwungen hatte, nicht davor.

Das Bußgeld, das für den Bußgeldpflichtigen selbst nicht gilt

Hier ist die Asymmetrie, über die ein Unternehmer im Privatsektor nachdenken sollte: Nach dem französischen Gesetz, das die DSGVO umsetzt, könnte ein Unternehmen, das einen Vorfall so behandelt wie die DGFiP - kompromittierte Zugangsdaten eines Dritten, wochenlanges Schweigen, Offenlegung erst nach der öffentlichen Äußerung des Angreifers - mit Bussgeldern der CNIL von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes belegt werden, weil es betroffene Personen nicht unverzueglich benachrichtigt hat. Dasselbe Gesetz schließt 'Verarbeitungen im Auftrag des Staates' ausdrücklich von diesen Verwaltungssanktionen aus. Der Mechanismus, der schnelle Offenlegung für jedes von der DGFiP regulierte Unternehmen zu einer Frage des finanziellen Eigeninteresses machen soll, existiert für die DGFiP selbst schlicht nicht.

Eine Gewerkschaft aus dem öffentlichen Dienst stellte genau diese Frage, sobald der Vorfall bekannt wurde: Ohne die eigene Enthuellung des Angreifers, wann und wie hätten betroffene Steuerzahler und Unternehmen überhaupt erfahren, was geschehen ist. Das ist keine hypothetische Frage für die rund 678.000 Menschen und Unternehmen, die nun eine Information besitzen, die sie vor zwei Monaten nicht hatten - und es ist eine unmittelbare Führungslektion für jeden Unternehmer, der annimmt, die Anreize eines staatlichen Vertragspartners im Umgang mit Daten spiegelten jene wider, die die Regulierung dem eigenen Unternehmen auferlegt. Das tun sie nicht, und die Lücke schließt sich erst, wenn der Angreifer sich zum Reden entschliesst. Jedes Unternehmen, dessen SIREN-Nummer und eingetragene Adresse in dieser Offenlegung steckten, sollte die kommenden Wochen als ein aktives Betrugsfenster für Identitätsmissbrauch behandeln, nicht als abgeschlossenen Vorfall - unabhängig davon, wie lange die DGFiP selbst gebraucht hat, es zu sagen.

Weiterlesen: Beacons Datenleck fällt durch jedes Sicherheitsnetz  |  CEVA-Datenleck trifft Valves Steam-Kunden