Eine Massen-E-Mail für 18 Personen, sichtbar für alle 18
Die Metropolitan Police Service (MPS) verschickte eine E-Mail, um 18 Personen mit Bezug zum britischen Parlament über eine Änderung des Kautionstermins eines Verdächtigen zu informieren, und verriet dabei jedem von ihnen, wer die anderen 17 waren.
Die Empfänger waren 2024 und 2025 Ziel einer Person, die über WhatsApp-Nachrichten belastendes Material über sie sammeln wollte, ein Fall, den die britische Datenschutzbehörde ICO als "Honeytrap-Fall" bezeichnet. Ein MPS-Beamter trug jede E-Mail-Adresse in das Feld "An" statt in ein verborgenes Feld ein, sodass jede Person Name und Adresse aller anderen sehen konnte. Der Text der E-Mail selbst nannte den Grund nicht ausdrücklich, doch der Kontext allein ließ sich auf hochsensible Informationen über jede betroffene Person schließen.
Die zweite Datenpanne war schlimmer: die neue Adresse eines Stalking-Opfers
Ein zweites Versagen der MPS, im selben Verfahren untersucht, brachte ein Stalking-Opfer erneut in Gefahr durch genau die Person, vor der sie geflohen war.
Ein Beamter stellte in einem Verfahren zu einer Stalking Protection Order Dokumente zu, ohne vertrauliche Informationen Dritter zu schwärzen. Die Unterlagen enthielten die neue Adresse und Telefonnummer des Opfers sowie Namen und Kontaktdaten von drei Zeugen. Das Opfer hatte beides ausdrücklich wegen der vom Beschuldigten ausgehenden Gefahr geändert. Er kontaktierte sie später unter der neuen Nummer und teilte ihr mit, er habe ihre neuen Daten von der MPS selbst erhalten.
Keine Einzelfälle: was die ICO dahinter fand
Die Untersuchung der ICO ergab, dass beide Pannen eine gemeinsame Ursache hatten: schwache Schulungsquoten, mangelnde Kontrolle und fehlende Steuerung, nicht zwei unglückliche Einzelfehler.
Der Beamte, der die Massen-E-Mail verschickte, hatte seit mehr als vier Jahren keine Pflichtschulung zum Datenschutz absolviert, und auch der zuständige Vorgesetzte, der den Fehler hätte bemerken müssen, war fast ebenso lange ungeschult. Die MPS räumte selbst ein, dass die Abschlussquoten der verpflichtenden Managing-Information-Schulung truppenweit zu niedrig seien. Im Stalking-Fall stellte die ICO zudem fest, dass die beteiligten Beamten die für Stalking-Protection-Order-Dokumente vorgeschriebene Spezialschulung nicht erhalten hatten und der Prozess zur Vorbereitung und Prüfung dieser Dokumente unzureichend war.
Die Lösung, die jedes Unternehmen übernehmen kann
Die ICO ordnete an, dass die MPS ihre Schulungsquoten, Kontrolle und Steuerung innerhalb von drei und zwölf Monaten verbessert, und die nützlichere Lehre für jede andere Organisation liegt darin, was sie nicht getan hat: Sie akzeptierte kein Richtliniendokument als Beweis, dass das Problem gelöst sei.
Die MPS hatte bereits ein Warnsystem eingeführt, das Mitarbeitende benachrichtigt, wenn eine E-Mail an mehrere externe Empfänger gehen soll, genau die Art von Sicherung, die die meisten geschäftlichen E-Mail-Plattformen ihren Administratoren ohnehin schon anbieten und die schlicht nicht aktiviert wird. Jedes Unternehmen, das Gruppen von Kundinnen, Patienten oder Fallkontakten gemeinsam anschreibt, etwa in Personalwesen, Gesundheitswesen, Recht oder Beratung, trägt genau das Risiko, das die MPS gerade vorgeführt hat: eine Person, die ein verborgenes Feld vergisst, und eine Führungskraft, die es nie kontrolliert hat. Für Leserinnen und Leser aus der Privatwirtschaft, nicht aus Behörden, lohnt sich ein Detail: Die ICO erteilte hier eine Rüge und eine Anordnung, keine Geldbuße, was ihrem erklärten Grundsatz entspricht, Behörden selten mit Bußgeldern zu belegen, da ein Bußgeld nur Geld innerhalb des Staates verschiebt. Ein privates Unternehmen mit demselben Fehler würde nicht denselben Umgang erfahren. In Deutschland verfolgen die Datenschutzaufsichtsbehörden der Länder denselben Vertraulichkeitsgrundsatz nach Art. 5 Abs. 1 lit. f DSGVO, unabhängig davon, ob der Verantwortliche eine Behörde oder ein Unternehmen ist.
Weiterlesen: Die EU schreibt die DSGVO neu | Scheitert Ihr Betrieb, Werden Ihre E-Mails Verkauft
