Datev-Datenpanne: Gehaltsdaten von Mitarbeitern an falsche Empfänger verschickt

Datev-Datenpanne: Gehaltsdaten von Mitarbeitern an falsche Empfänger verschickt

Schwerwiegende Datenpanne beim IT-Dienstleister Datev: Gehaltsdaten unberechtigt offengelegt

Bei Datev, einem der größten deutschen IT-Dienstleister, ist es zu einem schweren Datenleck gekommen, bei dem vertrauliche Gehaltsinformationen preisgegeben wurden. Durch einen technischen Fehler wurden Test-Gehaltsabrechnungen an falsche Empfänger versendet. Dabei gerieten sensible Daten – darunter Gehälter und persönliche Angaben – in falsche Hände.

Ursache des Problems war eine Störung in einem Rechenzentrum von Datev, durch die die Testabrechnungen nicht an die vorgesehenen Adressaten übermittelt wurden. Stattdessen landeten die Dateien – enthaltend Namen, Adressen, Sozialversicherungsnummern und Einkommensdaten – bei fremden Kunden. Datev setzte zwar eine Notlösung ein, um den Rückstau abzubauen, doch dies verschärfte die Situation nur, da weitere vertrauliche Dokumente fehlerhaft zugestellt wurden.

Erst am späten Freitag gab das Unternehmen an, den technischen Defekt behoben zu haben. Datev stufte sich dabei jedoch lediglich als Auftragsverarbeiter ein und überwälzte die Meldepflicht für die Panne auf die Steuerberatungskanzleien und Unternehmen, die sein Lodas-System nutzen. Nach den Vorgaben der Datenschutz-Grundverordnung (DSGVO) müssen diese betroffenen Organisationen die Betroffenen – also Mitarbeiter und Kunden – nun innerhalb von 72 Stunden nach Bekanntwerden des Lecks informieren. Datev selbst nannte keine konkreten betroffenen Kunden. Lediglich bestimmte Steuerberatungen und Firmen, die seine Cloud-Dienste nutzen, seien betroffen, hieß es. Die direkt Betroffenen wurden über sichere Kanäle unterrichtet, während nicht betroffene Kunden keine Benachrichtigung erhielten. Dadurch könnten viele Unternehmen gar nicht wissen, dass ihre Daten kompromittiert wurden. Mit hoher Wahrscheinlichkeit überschreitet der Vorfall die DSGVO-Schwelle für eine verpflichtende Meldung. Die betroffenen Firmen müssen nun nicht nur die zuständige Landesdatenschutzbehörde informieren, sondern auch den Betroffenen die Datenpanne offenlegen.

Die Panne zwingt Unternehmen nun, unter Zeitdruck die DSGVO-Anforderungen zu erfüllen – viele dürften noch nicht einmal bemerkt haben, dass ihre Gehaltsdaten offengelegt wurden. Datev lagert die Verantwortung für die Meldung an seine Kunden aus und überlässt ihnen die Bewältigung der Folgen.