Die Datenfresser

Präferenzen, Sonderwünsche, Essensbestellungen und Vorkommnisse werden vermerkt. Welche Tageszeitung gewünscht ist, welches Essen zu welcher Tageszeit aufs Zimmer bestellt wurde, welche Videos im Pay- TV ausgewählt worden sind, ob Nähzeug oder Zahnbürste gewünscht waren, ob eine besondere Kopfkissensorte gewählt wurde – alles wird verzeichnet, um dem Gast beim nächsten Mal besser zu Diensten zu sein.
    Die Informationen, die durchaus intime Einblicke in die Lebensgewohnheiten, Krankheiten und Allergien des Gastes bieten, werden über viele Jahre aufbewahrt. Der Hotelkunde hat sie nicht einmal explizit abgegeben, sie werden meist ohne sein Wissen aufgezeichnet. Vielleicht wundert er sich, daß bei der nächsten Übernachtung schon das bevorzugte antiallergische Kopfkissen auf dem Bett liegt oder der Zimmerservice schon weiß, daß er die Pizza um kurz vor Mitternacht lieber ohne Anchovis möchte – auch wenn er in einem Hotel der gleichen Kette auf einem anderen Kontinent absteigt. Kritisch wurde es allerdings, als einer größeren Kette dieser Datenbestand zusammen mit den Kreditkartendaten aller Kunden, die eines ihrer Häuser besucht hatten, abhanden kam. Erhebliche dieser ungewollten Datenabflüsse aus Unternehmen wurden in den letzten Jahren bekannt, doch auch bei Übernahmen sind die Kundendaten ein Faustpfand.
    Datenhortung hat neben der Nutzung der Informationen durch den ursprünglichen Dateneintreiber immer eine zweite Seite: Die technische Sicherheit gerade in weitverteilten Netzen mit vielen Zugriffsberechtigten – wie sie etwa beim System von Hotelketten üblich sind – reicht in der Regel nur von gerade noch ausreichend bis äußerst mangelhaft. Hier muß man also nicht nur das Risiko des Mißbrauchs der Daten durch das Unternehmen in Betracht ziehen, sondern auch die nicht unwahrscheinliche Möglichkeit eines kriminellen Angriffs, der die Profildaten in gänzlich skrupellose Hände bringt.
    Insbesondere solche Daten, die mit Zahlungsinformationen verknüpft sind, wie etwa bei Hotels, Ladenketten oder Internet-Shops, unterliegen einer besonderen Gefährdung. Denn auch Online-Kriminelle betreiben eine durchaus intensive Datenhaltung und -verarbeitung, nur unterliegt die Beschaffung anderen Mechanismen. Bei verschiedenen Fällen von organisierten Strukturen, die mit geklauten Kreditkartendaten handelten, fanden die Ermittler Hinweise auf umfangreiche Datenbankabgleiche sowie auf Anreicherung durch Kombination von Datensätzen aus verschiedenen Quellen. Manche Datendiebe schaffen es sogar, eine regelmäßige Aktualisierung ihrer Datenbestände zu ergaunern, falls bestehende Sicherheitslücken nicht entdeckt und daher nicht geschlossen werden.
    Was aber fangen die Kriminellen mit den geklauten Informationen an? Durch Einblick in die mit den Kreditkarten bei verschiedenen Läden getätigten Umsätze ist es möglich, Hinweise auf die vermutlichen Kreditkartenlimits zu erhalten, die dann maximal ausgereizt, aber nicht überzogen werden. Außerdem läßt sich mit den Daten ein Einkaufsprofil erstellen, um herauszubekommen, wie der Betroffene seine Karte normalerweise einsetzt. Denn auch die algorithmische Betrugsabwehr der Kreditkartenunternehmen arbeitet zum großen Teil auf der Basis von Profilen des Einkaufsverhaltens der Kunden.
    Für eine Karte, dessen Besitzer aus Buxtehude sie typischerweise nur zum Tanken, zusätzlich vielleicht mal zum Wochenendeinkauf im Supermarkt und ansonsten nur Weihnachten und einmal jährlich im Tunesienurlaub einsetzt, wird von der Betrugserkennung Alarm ausgelöst, wenn mit einem Duplikat plötzlich Flachbildschirm-Fernseher in Hongkong gekauft werden. Bei der Karte eines vielfliegenden Geschäftsmannes wäre dies nicht zwingend eine Auffälligkeit. Durch die Nachbildung der Einkaufsprofile auf Basis der mit den Kartennummern gestohlenen Einkaufsdaten können die Kriminellen sich nun aber ein Bild machen, wie sie möglichst effizient und ohne Aufmerksamkeit zu erregen die gestohlenen Kreditkartenkonten benutzen können.
    Sie folgen damit einem Muster, das zum Mantra der Datenhaltung geworden ist: dauerhaft speichern, abgleichen, anreichern, verfeinern, weiter aufheben. Selbst wenn die Gewinne durch die Speicherung minimal sind, so ist doch allein die Möglichkeit zu verführerisch. Das deutsche und europäische Datenschutzrecht geht demgegenüber von den Grundsätzen der Datensparsamkeit und Datenvermeidung und insbesondere der Zweckbindung aus. Es soll also