Editorial: Inflation der Datenskandale

In letzter Zeit häufen sich die Datenskandale: Die Deutsche Telekom etwa bespitzelte ihre eigene Konzernspitze und deren Verbindung zu Journalisten. Lidl überwachte die eigenen Mitarbeiter mit Kameras und Detektiven bis in den Pausenraum und machte bei seinen Notizen selbst vor privaten Belangen nicht halt, etwa, wer Ebbe auf dem Konto oder Liebessorgen hatte. Vor einigen Wochen nun die Deutsche Bahn und Airbus: Es wurde abgeglichen, ob Mitarbeiter und Lieferanten des Konzerns dieselben Kontonummern haben.

Auffällig an dieser Reihung: Es muss immer weniger passieren, damit in den Medien ein handfester Datenskandal draus wird. Die Deutsche Telekom verstieß gegen ein Grundrecht (Fernmeldegeheimnis aus Artikel 10) und den ausdrücklichen gesetzlichen Auftrag im TKG zur Geheimhaltung der Telekommunikation. Lidl verstieß "nur" gegen allgemeine Datenschutzgesetzen. Und bei Airbus ist nicht einmal klar, ob überhaupt ein Verstoß vorliegt.

Denn illegal erschnüffelt oder abgehört wurden bei Airbus sicher keine Daten. Schließlich teilen Mitarbeiter und Lieferanten ihre Kontonummern freiwillig mit, damit das Unternehmen das Gehalt bzw. die Rechnung per Überweisung bezahlen kann. Auch die Speicherung der Kontonummern in den Buchhaltungssystemen ist üblich. Extern weitergegeben wurden die Daten ebenfalls nicht. Somit bleibt allenfalls der Abgleich als möglicherweise unzulässige Maßnahme, die Beantwortung der Frage: "Gibt es doppelte Kontonummern?"

Suchzweck

Warum stellt man eine solche Frage überhaupt? Nun, ein Unternehmen wie Airbus vergibt jedes Jahr in großem Umfang Beschaffungsaufträge an externe Unternehmen, ob nun Klopapierrollen fürs Büro oder Spezialnieten für die Flugzeugproduktion. Ein Mitarbeiter könnte auf die Idee kommen, einen Auftrag nicht nach Ausschreibung an das am leistungsfähigsten erscheinende externe Unternehmen zu vergeben, sondern an seine eigene Firma, die die Ware dann extern beschafft und mit Aufpreis weiterverkauft. So kommt der Einkäufer auf ein erkleckliches Zubrot und Airbus hat den Schaden.

Nun müsste ein Mitarbeiter schon sehr dumm sein, wenn er solche In-sich-Geschäft auffliegen lässt, indem er Privat- und Firmengelder über dasselbe Konto laufen lässt. Andererseits wäre es wirklich allerhöchste Zeit, einzugreifen, sollten Mitarbeiter tatsächlich so dreist sein. Denn haben solche Sitten erst einmal eingerissen, können sie sich schnell weiterverbreiten und am Schluss auch ein ehemals stolzes Unternehmen ruinieren.

Und so ist die Kontrolle der Buchhaltungsdaten das täglich Brot der Controller in jedem größeren Unternehmen. Mal sind es die Spesenabrechnungen, mal die Stückpreise externer Lieferanten, mal die eingekauften Mengen, die kontrolliert werden. Beliebt machen sich die Controller damit praktisch nie. Aber für ein Unternehmen ist deren Arbeit dennoch unerlässlich.

Und immer öfter durchsuchen die Controller die Buchhaltungsdaten zunächst automatisiert nach Auffälligkeiten, um die gefundenen Fälle dann von Hand weiterzuverfolgen. Wessen Spesenabrechnung wird sich ein Controller wohl näher ansehen: Die eines externen Mitarbeiters mit 2 000 Euro im Monat, oder die eines vergleichbaren anderen externen Mitarbeiters mit 6 000 Euro im Monat?

So hat Airbus mit dem Kontoabgleich am Ende wohl nichts gefunden, aber auch die Gewissheit erlangt, dass die Mitarbeiter zumindest nicht so dreist sind, Aufträge an sich selber auch noch über das Gehaltskonto laufen zu lassen.

Verstoßen hat Airbus somit wohl vor allem gegen eine Vereinbarung mit dem Betriebsrat, wonach dieser umgehend über Kontrollmaßnahmen zu informieren ist. Das ist aber nicht der Datenskandal, der die ganze Wirtschafts- und IT-Presse rauf und runter gemeldet werden muss.

Urteil

Und so löst sich mancher so genannte Datenskandal vor Gericht in Luft auf. Beispiel: "Operation Mikado". Die Staatsanwaltschaft Halle hatte eine kinderpornographische Seite im Internet ermittelt, die gegen Kreditkartenbezahlung Abos für den Download ihrer Inhalte anbot. Da schon der Besitz solcher Bilder verboten ist, versuchte die Staatsanwaltschaft Halle, die Kunden dieser Internetseite zu ermitteln, indem sie bei den Kreditkartenanbietern abfragte, welche derer Karteninhaber Zahlungen in Höhe der Abogebühr an den Betreiber der fraglichen Website leistete.

Den Angaben zufolge gab es 322 Treffer. Da die Kreditkartenfirmen aber die Zahlungsdaten aller 22 Millionen Kreditkarteninhaber durchsuchen mussten, um diese zu finden, sahen einige Karteninhaber darin eine unzulässige Rasterfahndung. "Nein, ist es nicht", sagten übereinstimmend das Amtsgericht Halle, das Landgericht Halle und das Bundesverfassungsgericht. Schließlich wurden die Daten der 21 999 678 nicht betroffenen Kreditkarteninhaber nicht an die Staatsanwaltschaft übermittelt, und so können diese auch nicht mit weiteren Datenquellen abgeglichen werden, was das Kennzeichen der Rasterfahndung wäre.

Die gezielte Suche nach Übeltätern ist somit auch in einem großen Datenbestand zulässig. Das ist auch gut so, denn andernfalls dürfte die Polizei nicht einmal mehr "google" benutzen, angesichts der Abermilliarden von Seiten, davon viele mit personenbezogenen oder personenbeziehbaren Daten, die diese in ihrem Index hat.

Echte Skandale gehen unter

Und so wünscht man sich in den Medien oder zumindest den Fachmedien mehr Feingefühl beim Umgang mit dem Thema Datenschutz. Denn andernfalls drohen die echten Dauerskandale, etwa der immer weiter zunehmende Adresshandel und der exponentiell wachsende Identitätsdiebstahl, im Rauschen der angeblichen Skandale unterzugehen. Und das wäre nicht gut.

Weitere Editorials