Der Staat, die Daten und die Post

Wer noch immer glaubt, das Einsammeln von gewaltigen Datenmengen durch den Staat sei kein Problem, der möge bitte einen Blick nach England werfen. Denn die verschwundenen CDs mit den Informationen von über 25 Millionen Bürgern sind auch ein Lehrstück für Deutschland. Die vergangenen zwei Tage verbrachte ich im Norden Englands auf Dienstreise. Und so war es mir vergönnt, die Berichterstattung über jene Datenverlust-Affäre in voller Breite zu erleben.

Wer es noch nicht gehört hat: Das Finanzministerium hat zwei CDs mit den Daten von 25 Millionen britischer Bürger (vom Geburtsdatum bis zu Kontonummern), die Kindergeld beantragt haben, über einen Post-Kurierdienst verschickt. Empfänger sollte die NAO sein, eine Art öffentlicher Buchprüfer. Und diese Sendung ist dem Dienstleister TNT verloren gegangen.

Es sind die Details, die jene Geschichte noch unglaublicher machen:

– Eigentlich ist der Versand solcher sensibler Daten per CD nicht erlaubt. Trotzdem hat die NAO danach gefragt. Nach einer ersten Lieferung im März wurde dann festgelegt, wie ein Versand per CD erfolgen soll. Allerdings: Sensitive Daten wie Kontonummern sollten entfernt werden.
– Die Daten wurden nicht verschlüsselt, die CDs sind nur per Passwort geschützt.
– Verantwortlich für den Versand war ein junger Mitarbeiter. Wohlgemerkt: jung und allein handelnd. Ein junger und allein handelnder Mitarbeiter ist in der Lage solche Daten einfach mal auf CD zu brennen und einzutüten.
– Der Versand folgte nicht per Einschreiben, sondern schlicht unregistriert. Die Sendung ist somit nicht mehr nachvollziehbar. Die Vorschriften sehen aber eigentlich einen bewachten Kurier-Transport vor.
– Erst drei Wochen, nachdem die CDs verschickt wurden, fragte die NAO an, wo sie denn blieben. Daraufhin wurden sie noch einmal (!) verschickt, diesmal aber als Einschreiben. Immerhin kam die Lieferung dann auch an.
– Auch danach brauchte es noch Tage, bis der Finanzminister informiert wurde und weitere 10 Tage, bis er an die Öffentlichkeit ging.
– Anscheinend gab es im Finanzministerium im vergangenen Jahr über 2.000 Datenschutz-Verstöße. Mehrmals schon wurde bekannt, dass gehörige Mengen Laptops verschwanden.
– Im Herbst 2005 waren dem Finanzministerium schon einmal Daten verloren gegangen, damals die Kontodaten von Kunden der Schweizer UBS-Bank.
– Offensichtlich hat Premier Gordon Brown in seiner Zeit als Finanzminister Warnungen über Datenschutz-Probleme in den Wind geschlagen.

Eine Schlamperei sondergleichen, sicher. Aber was hat sie mit Deutschland zu tun?

Sehr viel. Denn England ist keine Bananenrepublik. Es ist ein Staat, in dem der Staatsschutz eine sehr viel größere Rolle spielt als in Deutschland. In der weit mehr Bürger als in Deutschland der Meinung sind, dass wer nichts zu verbergen habe, auch nichts zu fürchten habe.

Gerade erst hat Premier Brown eine Vision enthüllt, die unter dem Stichwort „Fortress Britain“ diskutiert wird und die Wolfgang Schäuble aussehen lassen, als sei er ein Freund liberaler Bürgerfreiheiten. Es beginnt mit Flughafen-artigen Sicherheitsmaßnahmen an Bahnhöfen, geht weiter mit dem Verbot jemand vor Einkaufszentren abzusetzen, und endet bei einer Flut persönlicher Daten. Künftig sollen Personen, die ins Königreich einreisen, Daten abliefern wie Kreditkarten- und Handy-Nummer, E-Mail-Adresse und detaillierte Reisepläne.

Nochmal zum Mitschreiben: Jeder England-Reisende soll einem Behördenapparat seine Kreditkartennummer geben, der die Daten seiner Mitbürger per unverschlüsselter CD und per Post verschickt.

Dahinter steckt eine Kultur der Technik-Unwissenheit. Behörden glauben, sie könnten die Datenflut bewältigen, weil ihnen der Computer ganz andere Möglichkeiten eröffnet als Aktenordner und Pappmappen. Ein trügerisches Wissen: Denn gleichzeitig sind öffentliche Institutionen quer durch Europa technisch desaströs ausgestattet.

Kürzlich fragte mich solch eine öffentliche Institution, ob ich mir ein anstehendes Projekt anschauen könnte. Ich sah mir ein Demo auf dem Laptop des zuständigen Herren an. Die geplante Investition ist von einiger Größe, entsprechend das Projekt von einiger Wichtigkeit. Das Demo aber war ein überkandideltes und von einer Multimediaagentur entworfenes Teil. Als ich existierende Dienste auf privater Basis nannte, die in ähnlichen Bereich unterwegs sind, sagte mir der Entscheider, dass er ein Problem habe, das zu beurteilen: Denn die Behörden-Firewall blocke ja so gut wie alles. Der Entscheider also kann nicht das beurteilen, worüber er zu entscheiden hat.

So sehen Verwaltungen immer nur die eine Seite. Es fehlt ihnen das Gefühl der Dringlichkeit, geht eine CD mit Daten verloren. Das Gefühl der Bedeutung dieser Informationen für Betrüger, Kinderpornographen (unter den verschwundenen Daten sind sämtliche Geburtsdaten und Wohnorte des englischen Nachwuchses bestimmter Jahrgänge) und Erpresser. Wunderbar verwaltet ihnen ihr Computer die Daten, doch dass es Gefahren wie auch Chancen gibt, das sehen sie nicht. Es fehlt das Wissen, es fehlt das Gespür.

Und die Politiker? Noch schlimmer. Da meint der britische Finanzminister zehn Tage lange nicht informieren zu müssen, obwohl in dieser Zeit schon Kontenzugänge gehackt werden könnten. Wie schnell sich aus persönlichen Daten potenzielle Passwörter generieren lassen – nämlich in Bruchteilen von Sekunden – ist ihm wahrscheinlich nur schwer vorstellbar.

Es braucht keinen Wissenschaftler um vorherzusagen, dass wir uns mit der Datensammelwut der Regierungen, egal ob mit Fragebögen oder biometrischem Pass, in eine gefährliche Situation begeben. Denn je größer die Datenmenge, desto höher die Wahrscheinlichkeit, dass irgendein junger Angestellter (oder Beamter) auf Anfrage einer anderen Organisation sensible Daten auf eine leicht zu knackende CD kopiert und sie in einen Briefumschlag steckt.

Oder noch schlimmer: Dass die Verlockung des Geldes zu einem systematischen Vorgehen führt. Schon jetzt sagt ein Experte:
„If I had to bet I’d say someone internal had been paid to allow that information to be stolen. They knew it was extremely sensitive.“

Nachtrag: Dazu passend eine neue Meldung aus dem Königreich… Ein terrorverdächtiger Arbeitsloser darf sich nicht mit Chemie-Schulwissen weiterbilden. Folgerichtig müsste also jeder englische Schüler ein potenzieller Terrorist sein. Oder vielleicht ein Entführungsziel? Werden islamistische Terrorgruppen bald englische Privatschüler von Internaten rauben, um sie zum Bombenbau zu missbrauchen?