Die France-Travail-Datenpanne legt nahezu 37 Millionen Arbeitssuchende offen

Die France-Travail-Datenpanne legte personenbezogene Daten von nahezu 37 Millionen Arbeitssuchenden offen. Der Vorfall zählt zu den größten Sicherheitsversagen im öffentlichen Sektor, die jemals in Europa gemeldet wurden. Betroffen sind Personen, die sich über mehr als zwei Jahrzehnte bei der französischen Arbeitsagentur registriert haben, und er offenbart erhebliche Schwächen in staatlichen Datenschutzpraktiken.

Der Vorfall wurde Anfang 2024 öffentlich bekannt. Spätere Untersuchungen zeigten, dass Angreifer bereits lange vor der Entdeckung Zugriff auf interne Systeme hatten. Dieser verlängerte Zugriff ermöglichte es, große Mengen personenbezogener Daten zu extrahieren, ohne wirksame Sicherheitswarnungen auszulösen.

Wie die France-Travail-Datenpanne geschah

Ermittler führten die France-Travail-Datenpanne auf kompromittierte Konten zurück, die von Beratern im Zusammenhang mit CAP Emploi genutzt wurden. Dieser Dienst unterstützt Menschen mit Behinderungen bei der Arbeitssuche. Schwache Authentifizierungskontrollen ermöglichten es Angreifern, mit legitimen Zugangsdaten auf interne Systeme zuzugreifen.

Nach der anfänglichen Kompromittierung bewegten sich die Angreifer lateral innerhalb des Netzwerks. Eine eingeschränkte Zugriffsüberwachung konnte ihre Aktivitäten nicht stoppen. Zentralisierte Datenbanken mit historischen Datensätzen von Arbeitssuchenden blieben während der gesamten Eindringphase zugänglich.

Welche Daten offengelegt wurden

Zu den offengelegten Daten gehören Namen, Geburtsdaten, E-Mail-Adressen, Postanschriften und Telefonnummern. Ebenfalls enthalten sind France-Travail-Identifikationsnummern sowie nationale Sozialversicherungsnummern. Finanzinformationen und Kontopasswörter wurden nicht als kompromittiert gemeldet.

Trotz dieser Einschränkung bergen die offengelegten Daten erhebliche Risiken. Die Kombination von Identifikatoren ermöglicht Identitätsdiebstahl und gezielten Betrug. Die France-Travail-Datenpanne betrifft sowohl aktuelle als auch ehemalige Arbeitssuchende, darunter viele inaktive Nutzer.

Regulatorische Feststellungen und DSGVO-Verstöße

Die französische Datenschutzbehörde kam zu dem Schluss, dass France Travail die Anforderungen von Artikel 32 der Datenschutz-Grundverordnung (DSGVO) nicht erfüllte. Die Aufsichtsbehörde stellte schwache Zugriffskontrollen, unzureichende Authentifizierungssicherungen und mangelhafte Protokollierungspraktiken fest.

Die Behörde verhängte ein Bußgeld von 5 Millionen Euro. Zusätzlich ordnete sie Korrekturmaßnahmen innerhalb festgelegter Fristen an. Anhaltende Nichteinhaltung könnte weitere tägliche Strafzahlungen auslösen.

Warum die France-Travail-Datenpanne wichtig ist

Das Ausmaß der France-Travail-Datenpanne verdeutlicht anhaltende Risiken innerhalb öffentlicher Institutionen. Behörden, die große Mengen personenbezogener Daten verwalten, bleiben ohne moderne Sicherheitskontrollen verwundbar. Identitätsbezogene Informationen besitzen für Cyberkriminelle einen langfristigen Wert.

Der Vorfall wirft zudem Fragen zu Datenaufbewahrungsrichtlinien auf. Ältere Datensätze blieben trotz begrenzter operativer Notwendigkeit zugänglich. Dadurch erhöhte sich das Gesamtausmaß der Auswirkungen.

Fazit

Die France-Travail-Datenpanne legte systemische Sicherheitsmängel innerhalb einer kritischen öffentlichen Institution offen. Schwache Zugriffskontrollen, unzureichende Überwachung und übermäßige Datenspeicherung ermöglichten einen langanhaltenden Angreiferzugriff. Der Vorfall dient als Warnung für öffentliche Stellen, die sensible Bürgerdaten verarbeiten. Stärkere Schutzmaßnahmen und strengere Aufsicht sind nicht länger optional.