Name, Adresse, Geburtsdatum. Diese drei Angaben reichen in manchen deutschen Städten, um Briefwahlunterlagen zu beantragen. Sie reichten lange aber auch, um an finanzielle Daten von 7,8 Millionen Menschen zu gelangen, die sich in Zahlungsschwierigkeiten befinden. Einzige Voraussetzung: Man weiß, wie die betreffende Person heißt, wo sie wohnt und wann sie geboren wurde.
Schuld daran war eine Sicherheitslücke bei einer der größten Auskunfteien Deutschlands. Die Bertelsmann-Tochter Infoscore Consumer Data hat sensible Finanzdaten offenbar leichtfertig herausgegeben. Nach Recherchen des Radiosenders NDR Info erhält man die Informationen über ein Portal für Mieter-Selbstauskünfte, das eigentlich für Verbraucher gedacht ist, die einem künftigen Vermieter die eigene finanzielle Bonität nachweisen wollen.
Wer jedoch Name, Adresse und Geburtsdatum einer beliebigen Person kennt, über die Informationen in der Auskunftei vorliegen, bekam für knapp 20 Euro die gewünschten Informationen - ohne weitere Überprüfung der Identität. Infoscore verzichtete dabei auf die Identifizierung durch einen Personalausweis, wie es beispielsweise Deutschlands bekannteste Auskunftei Schufa verlangt.
Nach eigenen Angaben verfügt Infoscore über "ca. 40 Millionen aktuelle Informationen zum negativen Zahlungsverhalten von über 7,8 Millionen Konsumenten". Die Bonitätsauskünfte umfassen Daten aus Schuldnerverzeichnissen oder gerichtlichen Mahnverfahren, Angaben über Zahlungsrückstände, erfolglose Pfändungen und beinhalten laut NDR Info sogar Haftbefehle für hartnäckige Schuldner. Zwar verlangt Infoscore für die Auskunft eine gültige Handynummer, um eine Kontroll-SMS zu verschicken - dabei muss es sich aber nicht um die Nummer der betreffenden Person handeln.
Walter Krämer von der zuständigen Landesdatenschutzbehörde Baden-Württemberg bezeichnete das Vorgehen von Infoscore bei NDR Info als "gravierenden Datenschutzverstoß", der "jedes Mal einen Ordnungswidrigkeitentatbestand" darstelle. Auch der Bundesverband der Verbraucherzentralen kritisiert Infoscore und sieht eine Schutzlücke. Unbefugte könnten ohne größeren Aufwand Informationen über finanzielle Probleme bekommen. In Zeiten von sozialen Netzwerken und Online-Telefonbüchern lassen sich Name, Adresse und Geburtsdatum leicht recherchieren - etwa von potentiellen Arbeitgebern, die ihre Bewerber durchleuchten wollen.
Der Anbieter argumentiert: Wer sich nicht an Gesetze hält, ist selber schuld
Infoscore rechtfertigt sich mit dem Argument, das Unternehmen weise explizit darauf hin, "dass die Einholung einer Mieterselbstauskunft ausschließlich für die eigene Person zulässig ist." Wer sich nicht daran halte und die vorgesehenen Sicherungen mit krimineller Energie umgehe, mache sich strafbar. Außerdem habe die Datenschutzaufsicht die Identifizierung per Personalausweis in einem anderen Fall für unzulässig erklärt, dazu läge Infoscore eine schriftliche Erklärung der Auskunftsbehörde vor - eine Darstellung, die das Landesamt für Datenschutz in Baden-Württemberg als "schlicht falsch" zurückweist.
Auf Anfrage der Süddeutschen Zeitung erklärte Infoscore, dass "Registrierungs-, Bestell-, Bezahl- und Auslieferungsprozess intensiv überprüft" würden. Man gehe davon aus, "dass Personen nun versuchen werden, sich widerrechtlich Datenzugriff zu verschaffen". Deshalb habe sich Infoscore entschlossen, "die Mieterselbstauskunft bis auf weiteres vom Netz zu nehmen". Derzeit seien keine Abfragen mehr möglich, und es würden auch keine weiteren Finanzdaten herausgegeben. Bislang sei Infoscore "kein einziger Missbrauchsfall bekannt".