Metropolitan Police muss Datensicherheit nach Datenlecks mit Opferinformationen verbessern

Das britische Information Commissioner’s Office (ICO) hat die Metropolitan Police nach zwei separaten Vorfällen, bei denen hochsensible personenbezogene Daten offengelegt wurden, offiziell gerügt.

Nach Angaben der Datenschutzbehörde waren die Datenlecks bei der Metropolitan Police vorhersehbar und vermeidbar. Das ICO hat deshalb sowohl eine Rüge als auch eine Anordnung erlassen, die die Polizei verpflichtet, ihre Datenschutzmaßnahmen zu verbessern.

Die Vorfälle betrafen Informationen über schutzbedürftige Opfer und Zeugen. Nach Ansicht des ICO offenbaren sie grundlegende Mängel bei Schulungen, Verfahren, Aufsicht und Kontrollmechanismen der Polizei im Umgang mit personenbezogenen Daten.

Ungeschwärzte Dokumente enthüllten neue Adresse eines Stalking-Opfers

Im ersten Vorfall versäumte es ein Beamter der Metropolitan Police, Dokumente im Zusammenhang mit einer Schutzanordnung gegen Stalking ordnungsgemäß zu schwärzen.

Die Unterlagen wurden dem Angeklagten übergeben und enthielten die neue Adresse sowie die Telefonnummer des Opfers. Außerdem wurden die Namen und Kontaktdaten von drei Zeugen offengelegt.

Der Angeklagte kontaktierte das Opfer später unter der neuen Telefonnummer und erklärte, er habe die Informationen von der Metropolitan Police erhalten.

Für Menschen, die von Stalking oder Belästigung bedroht sind, kann die Offenlegung einer neuen Adresse oder Telefonnummer erhebliche Sicherheitsrisiken mit sich bringen. Gleichzeitig kann dadurch das Vertrauen in die Polizei erschüttert werden, gerade wenn Betroffene sich ohnehin in einer besonders verletzlichen Lage befinden.

E-Mail-Fehler legte Daten von 18 Empfängern offen

Der zweite Vorfall betraf eine separate E-Mail der Polizei an Personen, die über WhatsApp von einer Person kontaktiert worden waren, die kompromittierende Informationen beschaffen wollte.

Ein Polizeibeamter setzte alle Empfänger in das „An“-Feld, anstatt eine Methode zu verwenden, die ihre Daten verborgen hätte. Dadurch konnten sämtliche Empfänger die Namen und E-Mail-Adressen der anderen angeschriebenen Personen sehen.

Insgesamt waren 18 Personen betroffen.

Obwohl das Datenleck kleiner ausfiel, wurden dadurch die Identitäten von Personen offengelegt, die mit einer sensiblen Ermittlung in Verbindung standen. Das ICO betonte, dass Polizeibehörden beim Umgang mit Informationen, die Rückschlüsse auf die persönliche Situation, Risiken oder die Beteiligung einer Person an einem Verfahren zulassen, besondere Sorgfalt walten lassen müssen.

ICO stellte grundlegende Datenschutzmängel fest

Die Datenschutzbehörde kam zu dem Schluss, dass die Datenlecks bei der Metropolitan Police keine Einzelfälle waren.

Stattdessen stellte das ICO weitreichende Schwächen in den Richtlinien, Verfahren und Kontrollmechanismen der Polizei für den Umgang mit sensiblen personenbezogenen Daten fest. Zudem wurden anhaltende Defizite bei den Datenschutzschulungen identifiziert.

Jo Stones, Gruppenleiterin für Civil and Cyber Investigations beim ICO, erklärte, dass Richtlinien und Erinnerungen allein nicht ausreichen, wenn Organisationen deren Einhaltung nicht überwachen und konsequent durchsetzen.

Die Behörde betonte, dass Bürger darauf vertrauen können müssen, dass die Polizei ihre sensibelsten Daten schützt – insbesondere dann, wenn sie gefährdet sind oder Hilfe suchen.

Anordnung verpflichtet zu konkreten Maßnahmen

Aufgrund der Schwere der Vorfälle erließ das ICO zusätzlich zur Rüge eine formelle Anordnung.

Eine solche Anordnung gehört zu den stärksten Befugnissen der Datenschutzbehörde. Sie verpflichtet eine Organisation zur Umsetzung konkreter Verbesserungsmaßnahmen. Bei Nichtbefolgung können weitere rechtliche Schritte folgen.

Die Metropolitan Police muss nun den Schutz personenbezogener Daten verbessern. Dazu dürften unter anderem bessere Schulungen, strengere Kontrollen bei der Schwärzung von Dokumenten, klarere Vorgaben für den Umgang mit E-Mails sowie eine stärkere Aufsicht durch das Management gehören.

Der Fall zeigt, dass Datensicherheit nicht nur von technischen Schutzmaßnahmen gegen Cyberangriffe abhängt. Auch alltägliche Fehler – etwa das Versenden einer E-Mail mit sichtbaren Empfängern oder das Versäumnis, sensible Informationen in Dokumenten zu schwärzen – können Menschen erheblichen Risiken aussetzen.