Der Paritätische Wohlfahrtsverband in Nordrhein-Westfalen ist Opfer eines Cyberangriffs geworden. Nach Angaben des Landesverbands wurden dabei auch sensible Daten erbeutet, darunter Bankverbindungen. Der Zugriff sei sofort unterbunden worden, der Verband hat Strafanzeige erstattet und die Datenschutzaufsicht eingeschaltet. Wie viele Menschen betroffen sind und ob Daten von Mitgliedsorganisationen abflossen, ist weiterhin offen.
Schnelle Reaktion, unklare Folgen
Der Angriff habe sich am Dienstag ereignet, meldet der WDR unter Berufung auf eine Anfrage der Deutschen Presse-Agentur beim Landesverband 2 3. Am selben Tag, dem 27. Oktober, bestätigte der Paritätische NRW, dass Unbekannte bei der Attacke Daten erbeutet haben, darunter „teils auch sensible Daten wie Bankverbindungen“ 1 4. Wie lange sich die Angreifer zuvor im Netzwerk bewegt haben, wie sie hineinkamen und ob sie Daten verschlüsselt oder Kopien angelegt haben, geht aus den bisherigen Angaben nicht hervor.
Nach Darstellung des Verbands wurde der Zugriff auf die Daten sofort unterbunden; die Schwachstellen seien inzwischen behoben, zusätzlich seien neue technische und organisatorische Schutzmaßnahmen ergriffen worden 1 2. „Wir bedauern die Folgen dieses kriminellen Angriffs und nehmen die Situation außerordentlich ernst“, erklärte der Verband auf Anfrage 1 4. Die möglicherweise Betroffenen seien informiert worden 1. Die Formulierung „möglicherweise betroffen“ deutet darauf hin, dass die Information vorsorglich erfolgte, bevor vollständig geklärt war, wessen Datensätze tatsächlich abgeflossen sind.
425 Beschäftigte – und ein Netzwerk mit 168.000 Hauptamtlichen
Beim Paritätischen NRW sind nach eigenen Angaben 425 Menschen direkt beschäftigt 1 2. Der Landesverband ist aber vor allem Dachorganisation: Er vertritt rund 3.100 Mitgliedsorganisationen mit etwa 7.000 Einrichtungen und Diensten, von der Kita bis zum Pflegedienst; hinzu kommen fast 900 Untergliederungen bundesweit aktiver Mitgliedsorganisationen. Unter diesem Dach arbeiten rund 168.000 hauptamtlich Beschäftigte mit mehr als 200.000 Ehrenamtlichen zusammen 5.
Zur Zahl der vom Datenabfluss betroffenen Personen macht der Verband bislang keine Angaben. Offen ist auch, ob Beschäftigte von Mitgliedsorganisationen betroffen sind – dazu äußerte sich der Paritätische zunächst nicht 1 2. Unklar bleibt damit ebenfalls, aus welchem Zusammenhang die abgeflossenen Bankverbindungen stammen: ob es sich um Kontodaten von Beschäftigten, von Mitgliedsorganisationen, von Spenderinnen und Spendern oder von Menschen handelt, die Leistungen der sozialen Arbeit in Anspruch nehmen.
Strafanzeige, Aufsichtsbehörde, externe IT-Forensik
Der Verband hat nach eigenen Angaben Strafanzeige erstattet, die Aufsichtsbehörde für Datenschutz eingeschaltet und externe IT-Fachleute mit der Aufklärung beauftragt 1 2. Das setzt den formalen Rahmen für die Aufarbeitung: Nach Artikel 33 der Datenschutz-Grundverordnung muss eine Datenpanne binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde gemeldet werden, wenn ein Risiko für betroffene Personen besteht; Artikel 34 verlangt bei hohem Risiko zusätzlich die Benachrichtigung der Betroffenen 6.
Das Ausspähen fremder Daten ist nach Paragraf 202a des Strafgesetzbuchs strafbar und wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe geahndet 7. Ob die Ermittlungsbehörden bereits Hinweise auf die Urheber haben, ist nicht bekannt. Zu einer möglichen Lösegeld- oder Erpressungsforderung enthält die Mitteilung des Verbands nichts.
Was Kriminelle mit einer IBAN anfangen können
Bankverbindungen sind keine Passwörter und allein kaum geeignet, Konten zu plündern. Sie sind aber der Rohstoff für Zahlungsbetrug: Wer Namen, Anschrift und Kontoverbindung kennt, kann Rechnungen fälschen, Lastschriften vorbereiten oder sich in E-Mails als Geschäftspartner ausgeben und um geänderte Kontodaten bitten. In der Wohlfahrtspflege kommen Angriffe auf Datenbestände hinzu, die sozialrechtlich besonders geschützt sind: Sozialdaten unterliegen dem Sozialgeheimnis nach Paragraf 35 des Sozialgesetzbuchs I 8; Verstöße gegen die Geheimhaltungspflichten sind nach Paragraf 85 SGB X sanktionsbewehrt.
Hinzu kommt die Klientel. Zu den Menschen, über die soziale Einrichtungen Daten führen, gehören Kinder in Kitas, pflegebedürftige Menschen, Menschen mit Behinderung, Suchtkranke, Geflüchtete und Frauen in Frauenhäusern. Die Information, wer welche Hilfe bei welchem Träger erhält, ist selbst ein sensibler Datensatz – unabhängig davon, ob dabei Bankdaten abfließen.
Wo der Datenabfluss endet, ist noch unklar
Ob und wie die angeschlossenen Einrichtungen reagieren müssen, hängt an Fragen, die der Verband bislang nicht beantwortet. Solange offen ist, ob Daten aus Mitgliedsorganisationen abgeflossen sind, ist auch offen, ob dort eigenständige Meldungen an die Aufsicht, Informationsschreiben an Betroffene oder eine Beteiligung an der forensischen Aufklärung nötig werden. Der Paritätische tritt gegenüber seinen Mitgliedern auch als Beratungs- und Dienstleistungsorganisation auf; welche Systeme dabei gemeinsam genutzt werden, ist öffentlich nicht dokumentiert.
Für die Praxis relevant ist ein Risiko, das unabhängig vom Umfang des Abflusses besteht: Zahlungs- und Phishing-Betrug im Namen des Dachverbands. Mitgliedsorganisationen, die Rechnungen vom Paritätischen erhalten oder Bankverbindungen für Abrechnungen nutzen, sollten Änderungen von Kontodaten nicht per E-Mail bestätigen, sondern über einen bereits bekannten Telefonanschluss gegenprüfen. Eine zentrale Information für Mitglieder oder eine eigens eingerichtete Telefonhotline hat der Verband bislang nicht angekündigt.
Die entscheidende Angabe fehlt weiterhin: wie viele Menschen betroffen sind. Erst mit dieser Zahl lässt sich einschätzen, ob es bei einem Vorfall im eigenen Haus bleibt – oder ob der Angriff einen Verband trifft, der Zugang zu Daten von Hunderttausenden Beschäftigten und von rund einer Million Menschen hat, die seinen Mitgliedsorganisationen angehören 5.
