Facebook-Datenleck: Die irische Datenschutzbehörde verhängt eine 251 Millionen Euro Strafe gegen Meta wegen massiver Sicherheitsverstöße.
Die Datenschutz-Grundverordnung (DSGVO) zeigt einmal mehr ihre Durchsetzungskraft. Die irische Datenschutzbehörde (DPC) hat gegen Meta, das Unternehmen hinter Facebook, eine Geldstrafe in Höhe von immerhin 251 Millionen Euro verhängt. Grund war eine schwere Sicherheitslücke, die 2018 bekannt wurde und Millionen von Nutzerdaten betraf.
Nächste Strafe für Meta: Ein Sicherheitsvorfall mit gravierenden Folgen
Die Ursache der nächsten Strafe für Meta bzw. des eigentlichen Verstoßes geht auf das Jahr 2017 zurück. Facebook führte eine Videofunktion ein, die es Nutzern ermöglichte, ihr Profil aus der Sicht anderer zu betrachten. Ein Designfehler ermöglichte es Angreifern, Zugriffstoken zu erstellen und auf fremde Konten zuzugreifen. Im September 2018 nutzten Unbekannte diese Schwachstelle bei Meta aus und verschafften sich Zugang zu rund 29 Millionen Facebook-Konten, davon etwa drei Millionen in der EU.
Betroffen waren sensible personenbezogene Daten wie Namen, E-Mail-Adressen, Telefonnummern und sogar Angaben zu religiösen und politischen Überzeugungen. Das Ausmaß des Vorfalls und die Art der erbeuteten Daten führten schließlich zu der hohen Geldstrafe.
Verstöße gegen die Datenschutz-Grundverordnung: Zwei wichtige Beschlüsse
Die irische Datenschutzbehörde untersuchte den Vorfall in zwei getrennten Verfahren. Zunächst warf sie Meta vor, die Sicherheitsverletzung nicht rechtzeitig und unvollständig gemeldet zu haben. Dafür verhängte die Behörde ein Bußgeld in Höhe von 11 Millionen Euro.
Schwerer wog jedoch der mangelnde Datenschutz durch Technik und Voreinstellungen. Die DPC kritisierte, dass Meta keine ausreichenden technischen Maßnahmen zum Schutz der Nutzerdaten getroffen habe. Die nächste Strafe für Meta: 240 Millionen Euro.
Nächste Strafe für Meta – Reaktionen und Konsequenzen
Meta zeigte sich sehr enttäuscht über die Entscheidung. Das Unternehmen erklärte, es habe die Schwachstelle sofort nach ihrer Entdeckung behoben und die Betroffenen informiert.
Kritiker der DPC hatten in der Vergangenheit bemängelt, dass die irische Behörde zu zögerlich gegen Tech-Giganten vorgehe. Dieses Mal hat jedoch keine andere europäische Datenschutzbehörde Einspruch gegen das Urteil eingelegt. Dies berichtet TechCrunch in einem aktuellen Artikel.
