Englische Behörde verliert 100.000 Datensätze*

Die englische Rural Payments Agency (RPA) hat zwei Backup-Speicher verloren, auf denen sich Kontodaten von beinahe allen britischen Landwirten befanden. Danach hat sie gemeinsam mit einigen weiteren Beteiligten versucht, den Fall zu vertuschen.

Die RPA wickelt die Auszahlung von EU-Subventionen für das englische Unwelt- und Landwirtschaftsministerium DEFRA (Department of Environment, Food and Rural Affairs) ab. Betroffen von dem Datenschutzskandal sind alle englischen Landwirte, die jemals EU-Subventionen erhalten haben.

Die Backup-Festplatten enthalten Bankdaten, Adressen, Passwörter und Sicherheitsabfragen der Farmer. Trotzdem versuchten die verantwortlichen Behörden, den Verlust zu vertuschen. Der Fall wurde erst bekannt, als sich Mitarbeiter und ein externer Berater der RPA an das Magazin Farmers Weekly wandten, weil sie Schäden für die Betroffenen befürchteten.

Die Datenspeicher gingen offensichtlich verloren, als sie von IBM an den IT-Dienstleister Accenture geschickt wurden. Die letzten Belege für die Festplatten stammen von Juni 2008. Allerdings fiel der Verlust der Backups erst im Mai 2009 bei IBM auf. Das Unternehmen informierte daraufhin das DEFRA. Dort versuchte man, den Fehler zu vertuschen. Die RPA realisierte erst bei einer jährlichen Überprüfung der Datenbestände im September, dass die Festplatten nicht mehr vorhanden waren.

Über den genauen Ablauf des Verlustes herrscht Uneinigkeit unter den Beteiligten. Den Whistleblowern zufolge gingen insgesamt 39 Backup-Speicher auf dem Weg zwischen zwei RPA-Büros verloren. 37 davon wurden inzwischen wieder aufgefunden, zwei allerdings bleiben verschwunden. Das DEFRA gab zu, dass man zwei Festplatten vermisst. Eine Sprecherin erklärte allerdings, sie seien nicht bei der Übersendung verloren gegangen, sondern „im falschen Regal“ abgestellt worde. Es handele sich um einen Fall „schlechter Buchhaltung“ des Dienstleisters IBM, der das Datencenter der RPA betreibt. Die selbe Behörde nimmt zudem an, dass die beiden unauffindbaren Speicher zerstört worden sein müssen.

Das DEFRA hat außerdem zugegeben, dass die Festplatten nicht verschlüsselt waren. Die Behörde behauptet aber, dass auf die Informationen nicht ohne spezielle technische Ausrüstung und Kenntnisse zugegriffen werden könne.

Offensichtlich hat man beim DEFRA aktiv versucht, den Fall zu vertuschen. Farmers Weekly zitiert eine Quelle:

I know people at the middle management level tried to advise senior civil servants to do the right thing and tell farmers, but they’re not listening.

(via)

* Die Überschrift hieß zuerst „Englische Bank verliert 100.000 Kontodatensätze“. Das war falsch, es handelt sich um eine Behörde. Den Begriff „Kontodatensätze“ habe ich ersetzt, weil er missverständlich ist. Es handelt sich um Datensätze u.a. mit Kontodaten.