Der richtige Umgang mit einem Datenvorfall: Conrad Electronic

Heute geht es mal nicht um eine aktuelle Gefahr, sondern um den Datenschutzvorfall des Elektronikfachhändlers Conrad und wie man in solchen Fällen vorgehen sollte!

Was ist vorgefallen?

Durch einen Angriff auf die IT-Systeme von Conrad haben Unbekannte über eine Sicherheitslücke Zugriff auf einen Teil  des IT-Systems erhalten. Kundenadressen, Fax-/ Telefonnummern, aber auch Teile der gespeicherten IBANs für den Zahlungsverkehr waren somit zugänglich. Nach Bekanntwerden des Vorfalls haben IT-Experten die Lücke identifiziert, geschlossen und geprüft, ob die Daten missbraucht wurden.

Schnell und gute organisierte Reaktion

Conrad hat die zuständige Landesdatenschutzbehörde informiert und beim Landeskriminalamt in Bayern Strafanzeige gestellt – ein Schritt, der nach EU-DSGVO innerhalb von 72 Stunden erfolgen muss.

Auf der Unternehmenswebseite von Conrad wurde zudem eine Pressemitteilung zu dem Vorfall veröffentlicht, die in strukturierter Weise über den Vorfall informiert und sogar eine FAQ-Liste enthält. Aus PR-Perspektive ist diese Maßnahme mehr als vorbildlich und wird sich im Nachgang positiv auf die Reputation des Unternehmens auswirken wird.

Datenschutzversprechen: eingelöst!

Datenschutzvorkehrungen und -hinweise sind zwar verpflichtend, deren Notwendigkeit stellt sich jedoch erst im Notfall unter Beweis.

Dass Conrad so schnell und transparent den Vorfall aufklären und melden konnte, deutet darauf hin, dass ein im Vorfeld sorgfältig geplanter Prozess aktiviert wurde.

In der Kommunikation mit seinen Kunden und der Öffentlichkeit hat Conrad seine Richtlinien in den Fokus gestellt. Gleichzeitig wurden Betroffene darauf hingewiesen, dass sie sich bei den zuständigen Datenschutzbeauftragten informieren können. Zu diesem Zweck wurde auch eine Landingpage erstellt, die auf alle Kundenfragen eingeht.

Aus Verbraucherperspektive das richtige Angebot! Datenvorfälle führen zu Unsicherheiten beim Kunden. Ein verantwortungsvoller Umgang mit personenbezogenen Daten bedeutet auch vorhandene Ängste abbauen.

Was kann man daraus lernen?

1. Niemand ist vor Hackangriffen sicher – auch der Elektronik-Experte Conrad nicht! Sicherheitsvorkehrungen, transparente Prozesse und Notfallpläne müssen zum Standard gehören.
2. Aus der Außenperspektive sieht die öffentliche Kommunikation des Datenvorfalls sehr einfach aus. Jedoch handelt es sich bei Conrad Electronic um ein Familienunternehmen mit über 4.000 Mitarbeitern, 20 Filialen und rund 1 Mrd. Euro jährlichen Umsatz. Personelle Ressourcen in IT, Rechtsbereich und PR sind vorhanden – anders in einem kleinen Unternehmen!
3. Eine schnelle und transparente Reaktion zahlt sich aus – der Reputationsschaden ist ausgeblieben, üblicherweise ist zum Bekanntwerden des Vorfalls der Aufschrei am größten. Die Ermittlungen laufen noch. Ob und in welcher Höhe ein Bußgeld gegen Conrad verhängt wird, ist daher noch unklar. Sicher ist, dass diese offene Art der Kommunikation sich in jedem Fall positiv auswirken wird.