Die irische Datenschutzbehörde Data Protection Commission (DPC) hat am 8. Mai ihre Entscheidung gegen den Finanzdienstleister Permanent TSB veröffentlicht. Hintergrund waren mehrere Datenschutzverletzungen, unter anderem im Zusammenhang mit unzureichenden technischen und organisatorischen Maßnahmen bei der telefonischen Authentifizierung. Zudem beanstandete die DPC die Einhaltung der Meldepflichten bei Datenschutzvorfällen.
Kontozugriff am Telefon durch Dritte
Ausgangspunkt des Verfahrens waren mehrere Vorfälle im Kundencenter von Permanent TSB. Dritte riefen dort an und gaben sich unter Verwendung bereits bekannter Kundendaten als Kunden aus. In der Folge konnten sie mit Bankkonten verknüpfte Daten ändern und Zugriff auf weitere Kundeninformationen erhalten.
Nach Feststellung der DPC wurden in drei gemeldeten Vorfällen bestehende Sicherheitsprotokolle nicht eingehalten. Für die betroffenen Personen entstand dadurch ein erhöhtes Risiko; teilweise kam es auch zu finanziellen Schäden. Zudem wurden die Datenschutzverletzungen nicht ordnungsgemäß an die Aufsichtsbehörde gemeldet.
Grundsatz der Integrität und Vertraulichkeit
Die DPC prüfte insbesondere, ob Permanent TSB ausreichende technische und organisatorische Maßnahmen (TOM) umgesetzt hatte und ob die Meldepflichten nach Art. 33 DSGVO eingehalten wurden. Im Ergebnis sah die Behörde einen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO. Danach müssen personenbezogene Daten so verarbeitet werden, dass ein angemessenes Sicherheitsniveau gewährleistet ist.
Insbesondere bei Finanzdaten muss sichergestellt sein, dass unbefugte Personen keinen Zugriff auf personenbezogene Daten erhalten und diese nicht missbräuchlich nutzen können. Erwägungsgrund 39 DSGVO betont insoweit, dass personenbezogene Daten vor unbefugtem Zugang geschützt werden müssen. Die fehlende oder unzureichende Umsetzung geeigneter TOM stellte nach Auffassung der DPC zugleich einen Verstoß gegen Art. 32 DSGVO dar.
Die DPC sprach deshalb eine Verwarnung aus und verhängte Bußgelder. Für die Verstöße gegen Art. 5 Abs. 1 lit. f und Art. 32 Abs. 1 DSGVO wurde ein Bußgeld in Höhe von 250.000 Euro festgesetzt. Wegen des Verstoßes gegen die Meldepflicht nach Art. 33 Abs. 1 DSGVO kam ein weiteres Bußgeld in Höhe von 27.500 Euro hinzu.
Sichere Authentifizierung am Telefon
Telefonischer Kundenkontakt ist in vielen Unternehmen üblich, weil Anliegen schnell erklärt und unmittelbar bearbeitet werden können. Gleichzeitig eröffnet dieser Kommunikationsweg Risiken, wenn kein verlässlicher Prozess zur Identifizierung und Authentifizierung der anrufenden Person besteht. Gerade bei Finanzdaten muss ein angemessenes Sicherheitsniveau gewährleistet sein, weil unbefugter Zugriff erhebliche Schäden für betroffene Kunden verursachen kann.
Ein geeigneter Authentifizierungsprozess ist deshalb zentral. Möglich ist etwa eine Zwei-Faktor-Authentifizierung (2FA), bei der beispielsweise während des Anrufs ein Code an die hinterlegte E-Mail-Adresse oder an die Banking-App gesendet wird. Erst wenn die anrufende Person diesen Code korrekt bestätigt, sollte das Gespräch über sensible Kontodaten fortgeführt werden.
Wichtig ist außerdem, Mitarbeitende im Kundencenter regelmäßig zu schulen. Sie dürfen keine Kundendaten vorgeben oder bestätigen, bevor die Identität sicher geprüft ist. Aussagen wie „Ihr Geburtsdatum ist …, stimmt das?“ können Angreifern helfen und sollten vermieden werden.
Bei besonders sensiblen oder risikobehafteten Daten ist zu prüfen, ob eine telefonische Bearbeitung überhaupt angemessen ist. Änderungen von Zugangsdaten oder die Verarbeitung von Finanzdaten bzw. besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO sollten möglichst über sichere Kanäle erfolgen, etwa über eine App mit Zwei-Faktor-Authentifizierung oder über postalisch zugestellte Codes. Unternehmen sollten gemeinsam mit ihrem Datenschutzbeauftragten festlegen, welches Sicherheitsniveau erforderlich ist und wie ein angemessener Authentifizierungsprozess praktisch umgesetzt werden kann.
Fazit
Eine sichere Authentifizierung im Kundencenter ist essenziell für den sicheren Umgang mit Kundendaten. Finanzdienstleister verarbeiten Daten mit hohem Risiko, bei denen ein unbefugter Zugriff erhebliche Auswirkungen für betroffene Kundinnen und Kunden haben kann. Unternehmen sollten daher geeignete TOM nach Art. 32 DSGVO implementieren und regelmäßig prüfen, ob ihre Authentifizierungsprozesse ein angemessenes Sicherheitsniveau gewährleisten.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
