In 10 Schritten zum sicheren Patchen und Updaten

Der Praxisfall: Alles auf „Masterpasswort“

Bei Wartungsarbeiten an diesem Teil des Programms stellt der Support die Passwörter alle auf „Masterpasswort“, um die Arbeiten bequem zu erledigen. Nicht geplant war hingegen, dass der Support vergisst, die Eigenschaft „Masterpasswort“ wieder in „Userpasswort“ zurück zu ändern. Damit wurde es grundsätzlich möglich, dass jeder alle Gehaltsabrechnungen einsehen konnte. Allerdings wusste das niemand.

Bei den nächsten routinemäßigen Wartungsarbeiten drei Monate nach dem ersten Vorfall fiel das Versäumnis auf. Der Support machte den Fehler sofort rückgängig. Fakt war: Für die letzten drei Monate konnten alle Beschäftigten alle Gehaltsmitteilungen einsehen. Eine klassische Schutzverletzung nach Art. 4 Nr. 12 Datenschutz-Grundverordnung (DSGVO).

Meldepflichtiger Datenschutzvorfall

Das Unternehmen informierte den Datenschutzbeauftragten (DSB). Sein Tipp: in der Protokollierung nachsehen, ob jemand den Fehler entdeckt und ausgenutzt hat. Tatsächlich hatte jedoch offenbar niemand diese Lücke erkannt. Keine einzige Gehaltsmitteilung war unbefugt angesehen worden.

Allerdings reichte die Protokollierung nur zwei Monate zurück. Es blieb also eine Lücke von vier Wochen, für die sich nicht ausschließen ließ, dass jemand die Gehaltsmitteilungen unbefugt eingesehen hatte. Das machte die Meldung an die Aufsichtsbehörde unvermeidlich.

Die Ausgangslage: ungeklärte Zuständigkeiten = offene Flanken

Hätte sich dieser Datenschutzvorfall vermeiden lassen, und wenn ja, wie? Es geschieht immer wieder, dass de…