News DSGVO-Verstoß: 205 Millionen Euro Strafe gegen British Airways

[DeusoftheWired]

JavaScript war offensichtlich nur das Mittel zum Zweck. Was für ein lächerlicher Artikel das auch ist...

Du darfst gern einen Link zu einem Artikel liefern, der das ganze tiefer analysiert.
Was am Artikel lächerlich sein soll, kann ich nicht nachvollziehen.

 

[QXARE]

Der Autor reitet offensichtlich nur auf dem ach so bösen JavaScript herum, erwähnt aber zugleich, dass man sich wahrscheinlich! Zugriff auf den Server verschafft hat... Wie jetzt? Und ja, es geht hier ums Prinzip wie der Artikel geschrieben ist...

It is likely that the hackers had access to the BA.com site, and modified the code to insert a backdoor.

 

[Conqi]

die DSGVO wurde von leuten verordnet, die keinen blassen schimmer haben.
"ein hacker hat..."
ja... und?
ist nun mal so. kein system ist 100% safe.

Das Problem dabei ist, dass jedes Unternehmen sich als Opfer von hochprofessionellen Hackern hinstellt, wenn sie teilweise einfach nur vermeidbare und uralte Lücken auf ihren Webseiten haben oder mal wieder eine Datenbank ungeschützt im Netz steht.
Es kann nicht sein, dass man mit dem Argument "Hacker" jegliche Haftung von sich weisen kann.
Es gibt nie 100%ige Sicherheit, aber deswegen würde man es ja trotzdem nicht akzeptieren, wenn im echten Leben beispielsweise reihenweise die Beifahrertüren beim Auto abfallen. Im Bereich Software und IT wird sowas aber oftmals hingenommen, weil "ist halt so" und vielleicht kommt irgendwann ein Patch.

 

[lordfritte]

Nicht mehr lange und die Briten haben mit dem EU DSGVO Schwachsinn nichts mehr zu tun.

 

[h00bi]

Für einen Hack/Exploit finde ich die Strafe auch ziemlich hart.
Ich würde das verstehen wenn die Daten missbraucht (monetarisiert) worden wären, also aktiver Verstoß gegen die Verordnung.

 

[DagdaMor]

Datenschutz ist ja ok,
aber das hier ist völlig überzogen.
Vielleicht braucht die ausführende Sesselpupserbehörde
dringend mal wieder Geld und deswegen wird
eine so absurd hohe Strafe ausgesprochen.
Die überbezahlten Beamten müssen
ja schliesslich irgendeine Geldquelle auftun.

 

[Madman1209]

Hi,

solange nicht klar ist, wie der "Hack" überhaupt erfolgreich sein konnte, ist das doch hier alles nur Spekulation. Wenn BA tatsächlich veraltete Technik / Systeme im Einsatz hatte und neue Systeme den Datenverlust verhindert hätten braucht man nicht mehr weiter zu diskutieren.

VG,
Mad

 

[leipziger1979]

205.000.000,- Euro Strafe bei 500.000 Kundensätzen...

Wie war das bei Facebook & Cambridge Analytica?
Richtig 50.000.000 Kundensätze, also das 100. Fache.

Also bitte, wo bleibt die proportionale passende Strafe von 20,5 Milliarden Euro für Facebook?
Die würde mal richtig schön ins Kontor hauen!

 

[Xood]

Ich finde die Strafe auch relativ hoch und sehe nicht sofort das Verschulden von British Airways.
Erstens hat sich jemand Zugriff zum Server verschafft.
Zweitens wurde die "Webseite" mit der Eingabe für Daten zu verändert das diese nicht nur an British Airways gingen, sondern auch nach extern weitergeleitet wurden.

Das bekommt man intern nicht einfach mit. Dazu müsste man den Browser überwachen um dann festzustellen die Daten auch noch an einen anderen Server flossen.
Das könnte man dann auch als Anforderung haben, für alle die direkt sensibel Daten entgegennehmen.
Und zusätzlich müssten die Daten auf dem Server zyklisch mit dem Original abgeglichen werden, so würde könnte man verstellen das eine Veränderung stattgefunden hat.
Aber, kostet alles Geld und man muss erstmal darauf kommen.

Da finde ich den Weg von Paypal besser, man trägt seine Daten direkt bei Paypal ein und nicht auf der Seite vom Store. Die Server vom Store bekommen dann dann ok von Paypal. So könnte das auch mit Kreditkarten sein.
Dann müssten nur noch die Zahlungssysteme (Paypal, VISA) sicherstellen das nichts kompromittiert wurde.

 

[Madman1209]

Hi,

die Rechnung passt so natürlich nicht, weil die DSGVO nicht nach "Datensatz" bestraft sondern nach festgesetzten Werten oder Umsatz. Die Strafen sollen und müssen abschreckend sein, wenn ein Unternehmen sowas aus der Portokasse zahlt ändert sich doch nichts.

VG,
Mad

 

[Mustis]

Nicht mehr lange und die Briten haben mit dem EU DSGVO Schwachsinn nichts mehr zu tun.

Sofern sie mit europäischen Kunden zu tun haben wollen haben sie das weiterhin. Wieder so ein gehaltvolle Aussage...

Zweitens wurde die "Webseite" mit der Eingabe für Daten zu verändert das diese nicht nur an British Airways gingen, sondern auch nach extern weitergeleitet wurden.

Und genau das ist die Aufgabe des Unternehmens, dass dies nicht passiert.

 

[Roche]

Die ganze Aktion ist vollkommen lächerlich! Gerade die Briten, die ihre Bürger auf Schritt und Tritt mit Kameras und Co. überwachen und bespitzeln, kommen mit solch einer Aktion daher und labern was davon, dass die privaten Daten der Bürger ja ach so privat seien.
Wohin fließen die 205 Mio. denn dann? Vielleicht in noch mehr Bespitzelung durch den Staatsapparat?

 

[M@rsupil@mi]

warum da nun die british airways millionen zahlen muss ist mir schleierhaft.

Die haben sich die Strafe allein deswegen schon verdient, weil sie die CVV-Prüfziffern von KK gespeichert haben.
Wer so grob fahrlässig handelt, der hat an anderer Stelle bestimmt noch weitere Sicherheitsprobleme und das letzte Statement der Airline spricht auch Bände:

Alex Cruz, Chef der BA International Airlines Group (IAG)[...] Seinen Angaben zufolge seien die gestohlenen Daten nicht missbräuchlich verwendet worden.

https://www.heise.de/newsticker/mel...204-Millionen-Euro-Strafe-zahlen-4465412.html

Man sieht an den tagtäglichen Meldungen, dass die Firmen von allein (zu) wenig in Sachen Sicherheit, Datenschutz, etc. machen.

sehe nicht sofort das Verschulden von British Airways.

Bei einem Angriff hatten Cyberkrimininelle 2018 persönliche Daten und Kreditkarteninformationen inklusive Sicherheitscodes (CVV-Nummern) von Kunden der BA abgegriffen [...]
Nach Ansicht des ICO hätten schwache Sicherheitsvorkehrungen bei der Airline den Datendiebstahl erst ermöglicht.

 

[Pinsel]

Gedankenspiel:
...was passiert eigentlich, wenn eine europäische Behörde Opfer eines Hacks wird?
Ich kann nicht einschätzen, welche Daten der Einwohner eventuell bei der EU gespeichert sind.
Gibt es dann auch Anklage und Verurteilung?

 

[Makso]

Also die DSGVO schreibt vor das alle Personen Daten gesichert sein müssen. EU Webseiten müssen auf einen Europäischen (EU) Staat liegen. Diese wiederum müssen SSL Verschlüsselung auch einer in EU sitzenden Firma heranziehen. Auch ein HACK unterliegt der DSGVO. Und da greifen die Artikeln:
"Artikel 33 DSGVO „Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“
"Artikel 4 DSGVO „Begriffsbestimmungen“
"Artikel 39 DSGVO „Aufgaben des Datenschutzbeauftragten“
"Artikel 34 DSGVO „Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person“

Ja ich weis es ist Klugscheißereri von mir, aber ich haben die DSGVO durchgelesen besser gesagt gelernt.
An die die glauben das Hacking nichts mit DSGVO bitte diese Artikel lesen.

Das ein System 100% nicht absicher bar ist, das ist klar. Aber wenn ein Unternehmen alles unternimmt was Vorgeschrieben wird, dann bekommt es keine Strafe.

 

[eSportWarrior]

Zu wenig bei 500.000 Kunden.
Sind ja sogesehen 1.000.002 vergehen wenn ich das richtig gesehen habe.

Facebook lacht in der Ecke.

 

[Lilzycho]

Gedankenspiel:
...was passiert eigentlich, wenn eine europäische Behörde Opfer eines Hacks wird?
Ich kann nicht einschätzen, welche Daten der Einwohner eventuell bei der EU gespeichert sind.
Gibt es dann auch Anklage und Verurteilung?

die EU zahlt dann die Strafe an sich selbst

 

[anexX]

The Queen is not amused !

 

[UNDERESTIMATED]

„überrascht und enttäuscht über die Entscheidung der Behörde.“

Bin da gar nicht überrascht und auch überaus erfreut, dass es mal ein Urteil gibt welches zum Umdenken der Sicherheitsrichtlinien und Gesetzestreue im Umgang mit Daten anregt. Alle anderen Strafen bisher waren ja eher kalkulierte Risiken und mitunter erheblich billiger als das pflegen der Sicherheit oder Schulungen im Verhalten wenn man einen FirmenPC benutzt.

 

[Diablokiller999]

Was ich nicht verstehen die Geschädigten sind doch die Kunden und nicht die EU
Warum möchte die EU dann so großzügig kassieren

Weil die Geschädigten hauptsächlich in der EU wohnen und so vom Geld profitieren?
Ich glaube einige verstehen nicht, wie Staaten(gemeinschaften) funktionieren.....