Zusammenfassung

  • Die ICO rügte Ogi Networks und Data Cymru wegen eines Ransomware-Vorfalls von 2024, bei dem Informationen zu 3.300 Menschen entwendet wurden; die meisten Betroffenen waren Kinder.
  • Die Feststellungen betreffen beide Seiten des Dienstverhältnisses: Konto- und Passwortkontrollen bei Ogi sowie Auftragsverarbeitungsverträge, Überwachung und Audits bei Data Cymru.

Das britische Information Commissioner’s Office datiert den Vorfall auf den 1. November 2024. Ein von Ogi Networks im Januar 2012 angelegtes Testkonto namens „Test2“ verwendete mehr als zwölf Jahre lang das Passwort „Password1“. Laut ICO könnte es aktiv geblieben oder versehentlich erneut aktiviert worden sein. Die Mitteilung klärt nicht, auf welchem Weg der Zugriff genau wiederhergestellt wurde.

Der Befund geht über dieses Konto hinaus. Die ICO erklärt, dass Informationen zu 3.300 Menschen entwendet wurden, überwiegend zu Kindern und im Zusammenhang mit zwei Projekten zur Unterstützung von Kindern und Familien. 182,7 GB seien verschlüsselt und 42 GB aus Systemen von Data Cymru entnommen worden. Verschlüsselung und Entwendung sind unterschiedliche Vorgänge. Die Mitteilung sagt weder, dass alle betroffenen Dienste ausfielen, noch beziffert sie individuelle Schäden.

Die Aufsichtsbehörde ordnete die Verstöße beiden Organisationen zu. Ogi erhielt wegen eines Verstoßes gegen Artikel 32 der britischen DSGVO eine Rüge. Die ICO nennt unzureichende Kontenprüfungen, schwache Passwortkontrollen und unvollständige Prüfungen lokaler Administratorkonten. Data Cymru wurde wegen Verstößen gegen Artikel 28 Absatz 4 und Artikel 32 gerügt. In den Vereinbarungen zur Auftragsverarbeitung fehlten vorgeschriebene Bedingungen; außerdem war nicht eindeutig festgelegt, wer den Dienst erbringt, überwacht und prüft. Data Cymru habe auch nicht sichergestellt, dass das ruhende Konto entfernt oder aktualisiert wurde.

Kontrollen seien unregelmäßig und unvollständig gewesen.

Diese Aufteilung ist entscheidend. Ein Dienstleister kann Zugänge einrichten und technische Kontrollen betreiben. Der Auftraggeber muss dennoch wissen, welche Konten gültig sind, wer sie prüft und welcher Nachweis den Vorgang abschließt. Wenn Vertrag und Audit keine klare Zuständigkeit für Überwachung schaffen, kann ein altes Konto zwischen zwei Organisationen bestehen bleiben, obwohl beide Sicherheitsaufgaben haben. Die ICO stellte Mängel auf beiden Seiten fest, schrieb aber nicht jeden Schritt des Vorfalls allein einer Partei zu.

Nach Angaben der ICO meldeten beide Organisationen später Korrekturmaßnahmen. Die Behörde sprach Rügen und keine Geldbußen aus. Damit ist eine aufsichtsrechtliche Maßnahme abgeschlossen, nicht aber die Betriebsfrage: Lässt sich heute über die Dienstleistergrenze hinweg nachweisen, wer für jedes Konto zuständig ist, wann es abläuft und wie es geprüft wird? Die Mitteilung berichtet weder von einem Dienstausfall noch nennt sie betroffene Kinder oder beziffert Folgeschäden.

Quellen: Mitteilung der ICO; Vollzugsakte zu Ogi Networks