Bußgeld gegen IT-Dienstleister wegen fehlendem Sicherheits-Monitoring

Die schwedische Datenschutzaufsicht IMY hat gegen den IT-Dienstleister Miljödata i Karlskrona AB ein Bußgeld von 1,8 Mio. SEK (rund 160.000 Euro) verhängt. Nach einem Cyberangriff waren Daten von rund 2,2 Mio. Personen im Darknet veröffentlicht worden. Die Behörde sah einen Verstoß gegen Art. 32 Abs. 1 DS-GVO (Beschluss vom 22.09.2026, Dnr. IMY-2025-21177).

Miljödata betreibt webbasierte Systeme für Personal- und Arbeitsschutzmanagement, etwa zu Krankmeldungen, Rehabilitation und Vorfällen an Schulen. Zu den Kunden gehören die Mehrheit der schwedischen Kommunen, mehrere Regionen, Behörden und viele Privatunternehmen. Im August 2025 drangen Angreifer in die Systeme ein. Betroffen waren unter anderem Personennummern, Kontaktdaten sowie Gesundheitsdaten und Daten von Kindern. Ab dem 14.09.2025 tauchten Teile davon im Darknet auf.

Veraltete Komponente als Einfallstor

Die Angreifer nutzten eine SQL-Injection gegen eine Hilfskomponente einer Firewall-Lösung. Diese war nur etwa sieben Tage zuvor auf einem aus dem Internet erreichbaren Server installiert worden. Installiert wurde allerdings eine veraltete Version mit einer kritischen Schwachstelle, vor der der Hersteller schon mehr als ein Jahr zuvor gewarnt hatte. Danach konnten die Angreifer ihre Rechte ausweiten, sich zwischen Servern bewegen, Systeme verschlüsseln und Daten abziehen.

Die IMY wertet es als Verstoß gegen eine grundlegende Sicherheitsmaßnahme, dass vor der Installation nicht geprüft wurde, ob die richtige Version eingesetzt wird. Außerdem war das Monitoring vor allem auf Leistung und Verfügbarkeit ausgerichtet. Eine automatisierte Echtzeitüberwachung sicherheitsrelevanter Ereignisse fehlte. Die Angreifer waren deshalb rund drei Tage im System, bevor ein Alarm auslöste. Dass Miljödata Anhänge und Freitextfelder verschlüsselt hatte, wertete die Behörde nicht als ausreichenden Schutz.

Auftragsverarbeiter im Fokus

Miljödata handelte überwiegend als Auftragsverarbeiter. Die IMY hat die Rollenverteilung nicht im Einzelnen geprüft, weil Art. 32 DS-GVO für Verantwortliche und Auftragsverarbeiter gleichermaßen gilt. Gegen zwei Kommunen und eine Region als Verantwortliche laufen eigene Verfahren.

Die Behörde stuft den Verstoß wegen der Zahl der Betroffenen und der sensiblen Daten als schwerwiegend ein und geht von Fahrlässigkeit aus. Mildernd berücksichtigte sie, dass das Unternehmen seine Kunden frühzeitig informiert hatte. Weil 2 % des Konzernumsatzes nur rund 1,17 Mio. SEK ergeben hätten, legte die IMY den festen Höchstbetrag von 10 Mio. Euro nach Art. 83 Abs. 4 DS-GVO zugrunde. Gegen den Beschluss kann Rechtsmittel beim Verwaltungsgericht Stockholm eingelegt werden.

Praxishinweis

Der Fall zeigt, dass Aufsichtsbehörden auch Auftragsverarbeiter direkt sanktionieren. Verantwortliche sollten bei der Kontrolle ihrer Dienstleister nicht nur Zertifikate abfragen. Sie sollten konkret prüfen, ob es ein Patch- und Change-Management gibt (Versionskontrolle vor dem Produktivbetrieb), eine sicherheitsbezogene Echtzeitüberwachung (SIEM/SOC) und eine Netzsegmentierung, die Angreifer an der Ausbreitung hindert. Auftragsverarbeiter sollten ihre TOM-Dokumentation entsprechend nachschärfen.

(Foto: DragonImages – stock.adobe.com)