Fell-Bosenbeck | Schönbach-Krieger
Rechtsanwälte in Bürogemeinschaft
Datenleck
Übersicht
-
Seit wann ist das Datenleck bei Facebook bekannt?
-
Trägt Facebook die Verantwortung für das Datenleck?
-
Welche Schäden sind durch das Datenleck bei Facebook entstanden?
-
Wie kann ich herausfinden, ob ich vom Datenleck bei Facebook betroffen bin?
-
Woraus ergibt sich mein Schadenersatzanspruch?
-
Gibt es bereits Gerichtsurteile zum Datenleck bei Facebook?
-
Wer übernimmt die Kosten für eine Klage gegen Facebook?
-
Wie kann ich mich vor zukünftigen Datenlecks schützen?
Was ist geschehen?
Bei dem Datenleck sind die persönlichen Daten von 533 Millionen Facebook-Nutzern betroffen, darunter Telefonnummern, E-Mail-Adressen, Geburtsdaten, Wohnorte und Beziehungsstatus und einige mehr. Das hatte zur Folge, dass vom Datenleck betroffene Facebook-Nutzer vermehrt Opfer von Betrugsmaschen werden konnten, wie Spam-Nachrichten und betrügerische SMS (SIM-Swapping oder Smishing), da ihre Daten von den Verursachern des Datenlecks benutzt werden können. Hacker hatten im Jahr 2019 die Daten bei Facebook entwendet.
Facebook vertreibt sein Unternehmen mit Sitz in Irland. Im November 2022 hat die zuständige irische Datenschutzbehörde gegen den Mutterkonzern von Facebook, Meta, eine Geldstrafe in Höhe von 265 Millionen Euro verhängt und verschiedene Maßnahmen zur Einhaltung der Datenschutzgrundverordnung (DSGVO), der Standardgesetzeswerk zum Datenschutz, angeordnet.
Diese Datenmengen wurde erfassten 6 Millionen deutsche Facebook-Nutzern. Die Daten wurden öffentlich zugänglich gemacht. Telefonnummern von 510 Millionen Nutzern, darunter fast 2,5 Millionen E-Mail-Adressen und teilweise Wohnortinformationen, wurden veröffentlicht. Daraus folgt ein enormes Sicherheitsrisiko für die Beteiligten.
Dies war durch eine Funktion möglich, mit der Nutzer Freunde oder Bekannte über ihre gespeicherten Kontakte finden konnten. Dabei wurden öffentlich zugängliche Daten in großem Umfang automatisiert gesammelt und zusammengestellt, ohne in die internen IT-Systeme des Unternehmens einzudringen.
Bei Facebook wurden die Nutzerdaten aus den Facebook-Profilen abgegriffen, die den Messenger Contact Importer verwendet haben. Dabei wurden zufällig generierte Handynummern in die Freundessuche auf Facebook eingegeben. Bei Übereinstimmungen konnten vermeintlich nicht veröffentlichte Nutzerdaten über die Handynummern den Facebook-Profilen zugeordnet und Daten wie Geburtsdaten, Telefonnummern, Ortsangaben, Facebook-Nutzername, Facebook-ID, vollständiger Name, E-Mail-Adresse und Beziehungsstatus abgerufen werden. Diese Daten wurden dann öffentlich zugänglich gemacht.
Seit wann ist das Datenleck bei Facebook bekannt?
Erstmals wurde das Datenleck durch eine Veröffentlichung der IT-Sicherheitsfirm Hudson Rock bekannt, die publik mache, dass Unbekannte in einem Hacker-Forum einen Datensatz mit mehr als 530 Millionen Facebook-Nutzerdaten veröffentlicht haben.
Trägt Facebook die Verantwortung für das Datenleck?
Die irische Datenschutzbehörde ist der Ansicht, dass bei Facebook eine Verantwortlichkeit liegt. Daher hat die zuständige Datenschutzbehörde in Irland gegen den Facebook-Mutterkonzern Meta eine Geldstrafe in Höhe von 265 Millionen Euro verhängt und verschiedene Maßnahmen angeordnet, um die Datenverarbeitung in Übereinstimmung mit den Bestimmungen der DSGVO zu bringen. Die Strafe begründete die Behörde damit, dass Facebook es versäumt habe, angemessene technische und organisatorische Maßnahmen zur Einhaltung der Datenschutzverpflichtungen nach dem Prinzip des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen zu treffen.
Welche Schäden sind durch das Datenleck bei Facebook entstanden?
Im Zusammenhang mit dem Datenleck bei Facebook können Nutzer Schadensersatzansprüche geltend machen. Insbesondere die Veröffentlichung von Telefonnummern in Verbindung mit E-Mail-Adressen ist ein entsprechender Schaden entstanden.
Darüber hinaus besteht ein erhöhtes Risiko, Opfer von Online-Betrugsmaschen zu werden. Es besteht die Gefahr, dass bei vielen Nutzern die Kombinationen aus Telefonnummer und E-Mail-Adresse identisch sind mit den per SMS zugestellten Codes für denselben E-Mail-Account. Dies erhöht das Risiko, dass Unbefugte versuchen, "SIM-Swapping" durchzuführen, bei dem SMS-basierte Codes auf andere Geräte umgeleitet werden, um Zugriff auf die E-Mails der betroffenen Person zu erlangen.
Da über E-Mail-Konten Passwörter zurückgesetzt werden können, können Hacker leicht Missbrauch mit den persönlichen Daten betreiben. Dies kann den Diebstahl von Kreditkartennummern für Online-Bestellungen, die Sperrung oder Übernahme von Web-Accounts und die Übernahme von Telefonnummern beinhalten, sodass der rechtmäßige Inhaber keinen Zugriff mehr auf seine Nummer hat. Es besteht auch die Gefahr, dass die Telefonnummern von Bekannten und Freunden abgegriffen werden. Zusätzlich stellen Phishing-Angriffe per SMS (auch bekannt als SMishing) mit Weiterleitungen auf betrügerische Websites, auf denen die Aufforderung besteht, sensible Daten einzugeben, ein erhebliches Sicherheitsrisiko dar.
Wie kann ich herausfinden, ob ich vom Datenleck bei Facebook betroffen bin?
Facebook hat die Nutzer, deren Daten geleakt wurden, nicht selbst benachrichtigt. Daher sollten Sie, wenn Sie im Jahr 2019 ein Facebook-Konto hatten, davon ausgehen, dass Ihre Daten betroffen sind, und Maßnahmen ergreifen, um Ihr Facebook-Konto besser zu schützen.
Geben Sie einfach Ihre Handynummer oder E-Mail-Adresse ein, um herauszufinden, ob Sie vom Datenleck bei Facebook betroffen sind. Wir informieren Sie dann über die Möglichkeiten, Schadensersatz von Facebook einzufordern.
Datenschutz ist uns wichtig. Ihre Daten sind bei uns sicher und wir behandeln sie sorgfältig. Wir prüfen über die Webseite haveibeenpownd.com, ob Sie vom Datenleck bei Facebook betroffen sind.
Woraus ergibt sich mein Schadenersatzanspruch?
Gemäß Artikel 15 der Datenschutzgrundverordnung können Nutzer Auskunft von Facebook darüber verlangen, ob sie vom Datenleck betroffen sind. Wenn Facebook keine oder unvollständige Auskunft erteilt, könnte dies zu Ihren Gunsten einen Schadensersatzanspruch gemäß Artikel 82 der Datenschutzgrundverordnung begründen. Zusätzlich können weitere Pflichtverletzungen von Facebook im Zusammenhang mit dem Datenleck in Betracht gezogen werden, die möglicherweise zu Schadensersatzansprüchen führen.
Speziell zwei Artikel der Datenschutz-Grundverordnung sind an dieser Stelle relevant:
Artikel 25 Absatz 1:
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.
Artikel 82 Absatz 1:
Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Gibt es bereits Gerichtsurteile zum Datenleck bei Facebook?
Deutsche Gerichte sprechen Klägern bei Datenschutzverstößen gemäß Artikel 82 der Datenschutzgrundverordnung vermehrt hohe Schadensersatzzahlungen zu. Die Norm wird von der Rechtsprechung zunehmend weit ausgelegt. Diese dient für die betroffenen Unternehmen wie Facebook als Abschreckung, sodass dies ihre Websites besser schützen. Facebook ist bereits zu Schadensersatzsummen von 3000 EUR für einen einzelnen Kläger und Geschädigten verurteilt worden. Sofern Sie vom Datenleck betroffen sind, könnte auch Ihnen ein solcher Anspruch zustehen.
Wer übernimmt die Kosten für eine Klage gegen Facebook?
Hierbei verweisen wir gerne auf unseren allgemeinen Informationen. Aber schonmal vorweg: Grundsätzlich trägt die Kosten der Anspruchsgegner und Verlierer des Verfahrens, also Facebook. Benutzen Sie zur Beratung über Ihre Schadenersatzansprüche unser Kontaktformular.
Wie kann ich mich vor zukünftigen Datenlecks schützen?
Ändern Sie regelmäßig Ihre Passwörter. Verwenden Sie für die Anmeldung bei Facebook eine Authentifizierungs-App. Durch den Wechsel zu einer Authentifizierungs-App kann das Risiko von SIM-Swapping verringert werden.
Was kann ich tun, wenn ich von einem Datenleck betroffen bin?
Sofern Sie von einem Datenleck betroffen sind, zögern Sie bitte nicht uns zu kontaktieren. Wir helfen Ihnen gerne weiter und machen für Sie Ihre Ansprüche geltend. Wie bereits erwähnt, ist es möglich Schadensersatzansprüche in Höhe von mehreren tausend Euro von Gerichten zugesprochen zu bekommen.
Der Datenskandal bei Twitter aus dem Dezember 2022
Am 26. Dezember 2022 berichtete das Online-Portal Bleeping Computer, dass der Kurznachrichtendienst Twitter Opfer eines Hacks geworden war. Berichten zufolge wurden Daten von etwa 400 Millionen Twitter-Nutzern online zum Verkauf angeboten. Bleeping Computer ist auf die Berichterstattung über Informationssicherheit und Online-Bedrohungen spezialisiert.
In einem Hacking-Forum namens "Breached" bot ein Nutzer namens Ryushi dem CEO von Twitter, Elon Musk, an, die gestohlenen Daten zurückzukaufen. Berichten zufolge verlangte Ryushi dafür 200.000 US-Dollar. Falls Musk nicht auf das Angebot einging, drohte Ryushi damit, die vollständigen Daten mehrmals zu einem Preis von jeweils 60.000 US-Dollar zu verkaufen.
Der Hacker gab an, die Daten mit Hilfe des sogenannten "Scraping" erlangt zu haben. Dies ist ein Verfahren, bei dem auch personenbezogene Daten von Webseiten extrahiert werden können, teils mithilfe von Software.
Laut einem Bericht der österreichischen Zeitung "Standard" stammten die gestohlenen Daten aus dem Frühjahr 2022. Das Blatt nannte das israelische Unternehmen Hudson Rock als Quelle, das sich auf Cyberverbrechen spezialisiert hat. Die BBC zitierte ebenfalls einen Experten dieses Unternehmens und berichtete, dass Hudson Rock möglicherweise als erstes auf den Datenverkauf hingewiesen hatte. Nach Angaben des BBC-Berichts könnten die Daten aus einer Sicherheitslücke stammen, die Twitter im Jahr 2022 geschlossen hatte. Dies basierte auf Aussagen des Hackers Ryushi, der die Daten zum Verkauf angeboten hatte.
Bereits entstandene Sicherheitslücke und weiteres Datenleck
Im August 2022 veröffentlichte die Brüsseler Times einen Bericht, wonach Twitter offenbarte, dass eine Sicherheitslücke höchstwahrscheinlich dazu ausgenutzt wurde, personenbezogene Daten zu entwenden. Diese Daten umfassten insgesamt 5,4 Millionen Datensätze und wurden im Sommer 2022 in einem Hacker-Forum zum Verkauf angeboten. Nach Berichten des Standard wurde dasselbe Forum später für den Verkauf eines weitaus umfangreicheren Datensatzes genutzt, der unter anderem Telefonnummern und E-Mail-Adressen enthielt. Twitter hatte eigenen Angaben zufolge und gemäß dem Bericht der Brüsseler Times bereits im Januar 2022 von der Sicherheitslücke erfahren und diese umgehend geschlossen. Diese Schwachstelle war Berichten zufolge seit dem Sommer 2021 existent.
Aufgrund des vorherigen Datenlecks hatte die irische Datenschutzkommission angekündigt, gegen Twitter rechtliche Schritte einzuleiten. Erst im November 2022 wurde Facebook aufgrund eines größeren Datenlecks mit einer Geldstrafe in Höhe von 265 Millionen Euro belegt.
Twitter könnte ebenfalls eine erhebliche Strafe drohen: Einem Bericht der BBC zufolge hat die irische Datenschutzbehörde angekündigt, das spätere und weitaus größere Datenleck zu untersuchen. Die Behörde ist für Twitter, Facebook, WhatsApp und Google zuständig, da diese Unternehmen ihren europäischen Hauptsitz in Irland haben.
Hacker forderte Geld von Elon Musk
Im Forumseintrag vom Dezember 2022, in dem der Nutzer Ryushi die gestohlenen Daten an Elon Musk anbot, bezog er sich offenbar auf den früheren Datenklau bei Twitter und die Strafe, die Facebook erhalten hatte, wie von Bleeping Computer berichtet. Offensichtlich versuchte er auf diese Weise, Druck auf Twitter auszuüben:
Twitter or Elon Musk if you are reading this you are already risking a GDPR fine over 5.4m breach imaging (sic!) the fine of 400m users breach. Your best option to avoid paying $276 million USD in GDPR breach fines like facebook did (due to 533m users being scraped) is to buy this data exclusively.“
Übersetzung aus dem Englischen:
Twitter oder Elon Musk, wenn Sie dies lesen, riskieren Sie bereits eine GDPR-Strafe wegen 5,4 Mio. Verstößen, die die Strafe für den Verstoß gegen 400 Mio. Nutzer darstellen (sic!). Ihre beste Option, um zu vermeiden, dass Sie wie Facebook 276 Millionen US-Dollar an GDPR-Strafen zahlen müssen (weil 533 Millionen Nutzer abgegriffen wurden), besteht darin, diese Daten exklusiv zu kaufen."
Januar 2023: Twitter dementiert weitere Sicherheitslücken
Im Januar 2023 gab der Kurznachrichtendienst Twitter in einer offiziellen Stellungnahme bekannt, dass sie eine gründliche Untersuchung mehrerer Vorfälle durchgeführt haben. Nach ihren Angaben konnten sie keine Beweise dafür finden, dass die zum Verkauf stehenden Daten aus Sicherheitslücken bei Twitter stammten. Stattdessen deutete alles darauf hin, dass diese Daten aus verschiedenen öffentlich bereits verfügbaren Quellen stammten. Das Unternehmen betonte, dass es weiterhin in enger Zusammenarbeit mit Datenschutz- und Regulierungsbehörden steht, um die Vorfälle weiter zu klären.
Berichten zufolge im Januar 2023 sind etwa 235 Millionen Twitter-Accounts von einem Datenleck betroffen.
Verletzung der DSGVO: Schadensersatz von Twitter fordern
Bereits Facebook wurde bereits mehrfach aufgrund eines Datenlecks zu Schadensersatz verurteilt. Ganz ähnlich liegt der Fall auch bei Twitter. Speziell zwei Artikel der Datenschutz-Grundverordnung (DSGVO) sind hierfür wichtig.
Artikel 25 Absatz 1:
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.
Artikel 82 Absatz 1:
Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Was kann ich tun, wenn ich von einem Datenleck betroffen bin?
Sofern Sie von einem Datenleck betroffen sind, zögern Sie bitte nicht uns zu kontaktieren. Wir helfen Ihnen gerne weiter und machen für Sie Ihre Ansprüche geltend. Wie bereits erwähnt, ist es möglich Schadensersatzansprüche in Höhe von mehreren tausend Euro von Gerichten zugesprochen zu bekommen.