An Datenschutzvorschriften mangelt es in der Bundesrepublik nicht. Denn jeder, egal ob großes Unternehmen oder Vorsitzender eines Kleingartenvereins, wird mit ihnen gegängelt. Woran es anscheinend hapert, ist die Datensicherheit, also der tatsächliche Schutz einmal erhobener Daten vor Verlust, Manipulation und dem Zugriff Unbefugter. Ein gutes Beispiel dafür ist der Cyberangriff auf die Berliner Verwaltung. Nach dem Angriff forderte die Hackergruppe Rhysida vom Senat 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Der Senat ließ sich auf die Erpressung nicht ein. Und nach Ablauf eines Ultimatums machten die Hacker ihre Drohung wahr: Rund 1,44 Millionen Dateien im Umfang von knapp sechs Terabyte veröffentlichten sie im Darknet.
Dabei handelt es sich keineswegs um irgendwelche Daten. Unter den veröffentlichten Dokumenten sollen sich neben Personalakten und Verträgen auch Informationen über Bürger sowie sensible Daten zu kritischer Infrastruktur wie Wasserwerken und Notstromanlagen befinden. Selbst Unterlagen mit Bezug zur Bundeswehr und zur Berliner Innenverwaltung sollen Teil des Datenlecks sein. Wie groß der dadurch entstandene Schaden tatsächlich ist, wird derzeit noch untersucht.
Brisanter ist aber noch, dass die Sicherheitslücken in Berlin anscheinend längst bekannt waren. Der IT-Sicherheitsexperte Manuel Atug wirft dem Land gegenüber der Deutschen Presse-Agentur (dpa) vor, „grob fahrlässig gehandelt“ und Geheimschutzvorgaben nicht eingehalten zu haben. Bereits 2023 und 2025 sei der Gründer und Sprecher der unabhängigen Arbeitsgruppe Kritische Infrastrukturen (AG Kritis) als Sachverständiger in den Innenausschuss des Berliner Abgeordnetenhauses geladen worden und habe dort auf eklatante Sicherheitsmängel hingewiesen. „Ihr betreibt desolate Cybersicherheit. Ihr müsst euch dringend um eure Sicherheitsprozesse kümmern“, habe er die Verantwortlichen damals gewarnt.
Der Fall Berlin zeigt, dass Vorschriften, mögen sie noch so sinnvoll sein, nichts nützen, wenn sie am Ende ihr eigentliches Ziel verfehlen. Dem Bürger kann es schließlich egal sein, ob seine Daten rechtskonform erhoben und verarbeitet wurden, wenn sie anschließend doch praktisch für jeden einsehbar im Darknet landen. Gerade der Staat trägt beim Umgang mit sensiblen Daten eine besondere Verantwortung. Wer Datenschutzvorschriften erlässt und durchsetzt, muss bei sich selbst mindestens ebenso hohe Maßstäbe anlegen. Andernfalls wird ausgerechnet derjenige, der den Datenschutz gewährleisten soll, selbst zum Datenschutzrisiko.
