Bußgeld gegen Equifax Ltd.

Nachdem die US-amerikanische Federal Trade Commission (FTC) bereits 2019 ein Bußgeld von über 500 Millionen USD gegen Equifax verhängt hatte, folgte die britische Financial Conduct Authority (FCA) im Jahr 2023 mit einer eigenen Sanktion gegen die britische Tochtergesellschaft. Dieser Fall verdeutlicht die langfristigen Konsequenzen, die ein schwerwiegender Equifax Datenschutzvorfall für Unternehmen nach sich ziehen kann.

Ursachen des Angriffs

Bereits im Jahr 2017 verschafften sich Hacker Zugriff auf die Server von Equifax. Ursächlich hierfür waren bekannte, aber ungepatchte IT-Sicherheitsmängel sowie das Fehlen grundlegender Sicherheitsmaßnahmen. In der Folge stahlen die Angreifer personenbezogene Daten von 147 Millionen Menschen, darunter 13,8 Millionen britische Bürger. Zudem versäumte es die Muttergesellschaft, angemessene Schutzmaßnahmen für die Datenspeicherung zu implementieren und Daten nach Abschluss der Verarbeitung ordnungsgemäß zu löschen.

Der Datenschutzvorfall und die Folgen

Die FCA kritisierte scharf, dass Equifax Ltd. britische Kunden weder transparent noch wahrheitsgemäß über das Ausmaß informierte. Anfänglich deklarierte das Unternehmen den Vorfall als reines US-Ereignis, obwohl der Diebstahl britischer Daten bereits bekannt war. Erst auf massiven Druck der Aufsichtsbehörde im Oktober 2018 korrigierte Equifax die Zahlen: Nicht wenige hunderttausend, sondern rund 12,3 Millionen britische Kunden waren unmittelbar betroffen.

Ein weiterer Kritikpunkt betraf das Krisenmanagement: Equifax lagerte die Bearbeitung von Betroffenenbeschwerden an einen externen Dienstleister aus, der jedoch völlig unzuverlässig agierte. Dass dieser Partner keine belastbaren Zahlen über Art und Umfang der Beschwerden liefern konnte, deckte das Unternehmen erst im Dezember 2020 auf. Aufgrund dieser massiven Versäumnisse belegte die FCA das Unternehmen mit einem Bußgeld, das nach einer Einigung von ursprünglich 16 Millionen Pfund auf rund 11 Millionen Pfund reduziert wurde.

Quelle:
FCA Bußgeldbescheid gegen Equifax Ltd. (17.10.2023)