Die Klage wegen des Datenlecks im Casino in Philadelphia hat zu einer geteilten Entscheidung eines US-Bundesgerichts geführt. Ein Richter ließ einen Anspruch wegen Fahrlässigkeit gegen Rivers Casino Philadelphia weiterlaufen, während mehrere andere rechtliche Begründungen zurückgewiesen wurden.
Aktuelle und ehemalige Mitarbeiter sowie Casinobesucher reichten die Klage ein, nachdem das Casino mutmaßlich einen unbefugten Zugriff auf sein Netzwerk entdeckt hatte. Die Angreifer sollen Dateien mit hochsensiblen persönlichen und finanziellen Informationen entwendet haben.
Die Entscheidung zeigt, dass Verfahren wegen Datenlecks stark davon abhängen können, wie eng die offengelegten Informationen mit dem später entstandenen Schaden zusammenhängen.
Kläger werfen Diebstahl sensibler personenbezogener Daten vor
In der Klage wird behauptet, dass die Ransomware-Gruppe Cicada3301 rund 2,561 Terabyte Daten von Rivers Casino Philadelphia gestohlen habe. Die Gruppe soll das gestohlene Material später im Dark Web veröffentlicht haben.
Die betroffenen Dateien enthielten Berichten zufolge Namen, Geburtsdaten, Social-Security-Nummern sowie Führerschein- und Passdaten. Außerdem sollen darin Bankkontoinformationen enthalten gewesen sein, die für Direkteinzahlungen verwendet wurden.
Mehrere Kläger berichteten nach dem mutmaßlichen Datenleck von verdächtigen Aktivitäten. Dazu gehörten versuchte Kontozugriffe, eine Zunahme von Spam- und Phishing-Nachrichten sowie betrügerische Kreditanfragen.
Diese Vorwürfe waren von Bedeutung, weil sie dieselben Arten von Daten betrafen, die das Casino angeblich nicht ausreichend geschützt hatte.
Gericht lässt Fahrlässigkeitsanspruch weiterlaufen
Das Gericht ließ den Fahrlässigkeitsanspruch in diesem frühen Stadium des Verfahrens zu. Nach dem Recht von Pennsylvania müssen Organisationen, die sensible personenbezogene Daten sammeln und speichern, angemessene Maßnahmen ergreifen, um diese vor vorhersehbaren Risiken eines Datenlecks zu schützen.
Der Richter stellte fest, dass die Kläger einen plausiblen Zusammenhang zwischen den bei dem Vorfall offengelegten Daten und dem späteren Missbrauch dargelegt hatten. Dieser Zusammenhang verlieh dem Fahrlässigkeitsanspruch mehr Gewicht als Behauptungen, die lediglich auf allgemeinen Sorgen nach einem Datenleck beruhten.
Die Kläger beschrieben außerdem konkrete Kosten. Sie gaben an, Zeit für die Überwachung ihrer Konten, die Änderung von Passwörtern, die Einrichtung von Betrugswarnungen oder Kreditsperren, die Kontaktaufnahme mit Finanzinstituten und den Kauf von Kreditüberwachungsdiensten aufgewendet zu haben.
Das Gericht kam zu dem Schluss, dass diese Kosten zusammen mit den Behauptungen über einen tatsächlichen Missbrauch in diesem Stadium des Verfahrens ausreichend waren.
Andere rechtliche Begründungen erfüllten die Anforderungen nicht
Das Gericht wies den Anspruch wegen negligence per se zurück, da Pennsylvania diesen nicht als eigenständige rechtliche Anspruchsgrundlage anerkennt.
Auch der Anspruch wegen eines stillschweigenden Vertrags scheiterte. Die Kläger argumentierten, dass sie erwartet hätten, dass das Casino ihre Informationen schützt. Das Gericht stellte jedoch keine gegenseitige Vereinbarung fest, die ein konkretes vertragliches Versprechen zur Datensicherheit begründet hätte.
Die Datenschutzrichtlinie von Rivers Casino Philadelphia schwächte dieses Argument ebenfalls. Die Richtlinie garantierte nicht, dass personenbezogene Informationen jederzeit privat oder sicher bleiben würden.
Das Gericht wies außerdem Ansprüche wegen Verletzung treuhänderischer Pflichten, Vertrauensbruchs, Verletzung der Privatsphäre und ungerechtfertigter Bereicherung zurück. Nach Auffassung des Gerichts begründete die gewöhnliche Erhebung von Daten kein Treuhandverhältnis.
Das Gericht wertete den Diebstahl durch Dritte auch nicht als aktive Offenlegung durch das Unternehmen. Allgemeine Zahlungen für Casinodienstleistungen boten ebenfalls keine Grundlage für einen Anspruch wegen ungerechtfertigter Bereicherung.
Entscheidung zum Datenleck im Casino in Philadelphia setzt klaren Maßstab
Die Entscheidung zum Datenleck im Casino in Philadelphia verdeutlicht, was einen Fahrlässigkeitsanspruch nach einem Cyberangriff stärken kann. Kläger müssen die von den Angreifern gestohlenen Daten identifizieren, einen späteren Missbrauch derselben Informationen nachweisen und konkrete Kosten im Zusammenhang mit dem Vorfall darlegen.
Gleichzeitig begründet die bloße Behauptung eines Datenlecks nicht automatisch jeden denkbaren Anspruch. Gerichte können separate Nachweise für vertragliche Zusagen, Datenschutzverletzungen und treuhänderische Pflichten verlangen.
Fazit
Der Fall zum Datenleck im Casino in Philadelphia ermöglicht es den Klägern, ihren Fahrlässigkeitsanspruch weiterzuverfolgen, während die umfassendere Klage eingeschränkt wird. Die Entscheidung unterstreicht die Bedeutung detaillierter Vorwürfe, die kompromittierte Informationen mit konkretem Missbrauch und messbaren Folgekosten in Verbindung bringen.
0 Kommentare zu „Klage nach Datenleck in Casino in Philadelphia geht teilweise weiter“