Datenleck Twitter| Dr. Stoll & Sauer

Kanzlei für IT-Recht

Datenleck bei Twitter: Wir sichern Ihren Schadensersatz

Die Liste der Unternehmen, die Opfer eines Hackerangriffs geworden sind, ist über die Weihnachtstage 2022 nochmals länger geworden. In einem Hackerforum werden 400 Millionen hochsensible Daten von Twitter-Nutzern zum Verkauf angeboten. Der Kurznachrichten-Dienst Twitter wird regelrecht erpresst. Twitter-Eigentümer Elon Musk wird aufgefordert, die Daten selbst zu kaufen. Auf diese Weise, so der Hacker, könnte Musk einer möglichen Strafe wegen Verstoßes gegen datenschutzrechtliche Bestimmungen entgehen. Facebook hat gerade eine Geldbuße in Höhe von 265 Millionen Euro aufgebrummt bekommen, weil das Unternehmen Nutzerdaten nicht effektiv geschützt hat und Kriminelle Daten erbeuten konnten.

Gigantisches Datenleck bei Twitter

Nach Medienberichten hat Twitter-Eigner Elon Musk zu Weihnachten 2022 ganz besondere Post bekommen. In einem Hacker-Forum hat Musk indirekt ein Kaufangebot erhalten. Mehr als 400 Millionen Datensätze von Twitter-Nutzern – darunter E-Mail-Adressen und Telefonnummern - stehen zum Verkauf an. Das Online-Magazin "Bleeping Computer" berichtet, dass die Datensätze für 200.000 US-Dollar zum Verkauf stünden. Viele Kontakte von Prominenten sollen sich darunter befinden. In einem ersten Auszug veröffentlichte der Hacker Daten von Politiker-Sohn Donald Trump Junior, Model Cara Delevigne, Sänger Shawn Mendes und Basketball-Star Stephen Curry.

Nach Angaben des Hackers – der sich den Internet-Namen Ryushi gegeben hat – sollen die Daten aus einem Datenleck aus dem Jahr 2021 stammen. Ryushis Angebot richtet sich zwar an jeden potenziellen Käufer, aber auch direkt an Twitter-Eigner Elon Musk: "Um zu vermeiden, dass Sie in der EU 276 Millionen US-Dollar Strafe zahlen müssen, wie Facebook es getan hat, ist Ihre beste Option der exklusive Kauf dieser Daten." Der Hacker spielt auf eine Geldbuße an, die Facebook-Mutterkonzern Meta Ende November von der irischen Datenschutzbehörde aufgebrummt bekommen hat. Meta soll 265 Millionen Euro bezahlen, weil bei einem Datenleck aufgrund von eigenen Versäumnissen 533 Millionen Datensätze an die Öffentlichkeit gelangt waren. Facebook hat allerdings die Strafe noch nicht bezahlt und geht gegen die Geldbuße gerichtlich vor.

Hacker „Ryushi“ empfiehlt Elon Musk süffisant, falls er sich nicht entscheiden könne, ob er die Datensätze kaufen möchte, eine Twitter-Umfrage.

Twitter im Visier der irischen Datenschützer

Twitter ist bereits ins Visier der irischen Datenschützer geraten. Daraus versucht der Hacker für sich Kapital herauszuschlagen. Einen Tag vor Heiligabend meldete die irische Datenschutzbehörde DPC, dass man damit begonnen habe, einen Vorfall bei Twitter zu untersuchen, bei dem 5,4 Millionen Datensätze gestohlen worden sind. Offensichtlich ist das die gleiche Quelle, aus der auch "Ryushi" seine Daten hat. Die Behörde ermittelt, ob die Daten aufgrund von Verstößen gegen die europäische Datenschutzgrundverordnung (DSGVO) gestohlen worden sind. Bei Facebook stellte die irische Behörde fest, dass Meta die Daten besser hätte schützen müssen und verhängt eine Geldbuße.

Das gigantische Datenleck kommt für Twitter daher zum schlechtesten Zeitpunkt. Das ist auch dem Hacker bewusst. Wenn Musk die Daten kaufe, verspricht der Hacker, werde er nach Geldeingang die Spuren im Netz löschen und niemandem sonst die Datenbank anbieten. Die irische Datenschutzbehörde ist für die Internet-Giganten wie Meta, Instagram, Facebook, WhatsApp, Google und Twitter zuständig, weil aus steuerrechtlichen Gründen die Unternehmen ihren Europasitz in Irland haben.

Das Datenleck bei Twitter entwickelt sich so zu einem echten Kriminalfall. Für die betroffenen Verbrauchern stellt das Leck jedoch eine Datenkatastrophe und klaren Verstoß gegen den Datenschutz dar.

Mit welchen Folgen müssen Betroffene des Datenlecks bei Twitter rechnen?

Wie bei den meisten Datenlecks lassen sich die Folgen nicht sofort erkennen. Derzeit muss noch geprüft werden, ob der Datenklau bei Twitter tatsächlich passiert ist. Letztlich spricht viel dafür, dass durch die Datenpanne bei Twitter Millionen Datensätze an die Öffentlichkeit geraten und die Kunden geschädigt worden sein. Deshalb ist damit zu rechnen, dass auch Ihre Twitter-Daten für kriminelle Machenschaften missbraucht werden. Die nächste Spam- und Phishing-Welle rollt auf Sie zu. Das kann erstmal nur nervig sein. Die Gefahr ist jedoch groß, dass es mit Hilfe von SMS, E-Mail oder Malware zu Betrugsversuchen kommt. Doch eine weitaus größere Gefahr braut sich für Verbraucher nach und nach zusammen. Hacker klauen sich Daten von den unterschiedlichsten Social-Media-Kanälen wie Facebook, Instagram, WhatsApp und jetzt Twitter zusammen. Natürlich kommen noch andere Internet-Firmen hinzu, die über Ihre Daten verfügen und Opfer eines Datenlecks werden können. Diese Flut an Daten wird miteinander kombiniert. Und damit wächst das Risiko, dass Kriminelle Ihre Identität übernehmen und in Ihrem Namen Geschäfte abschließen, für die Sie dann die Rechnung bezahlen müssen.

Was können Sie als Betroffener des Twitter-Datenlecks unternehmen?

Als Twitter-Nutzer haben Sie ein Recht darauf zu erfahren, ob Sie vom Datenleck betroffen sind. Das Unternehmen muss Ihnen nach Artikel 15 der europäischen Datenschutzgrundverordnung (DSGVO) darüber Auskunft erteilen. Innerhalb eines Monats muss das Unternehmen Auskunft erteilen. So sieht es Artikel 12 DSGVO vor. Letztlich ist aus unserer Sicht den Betroffenen ein sogenannter immaterieller Schaden entstanden. Die Gefahr, Opfer von Kriminellen zu werden, ist enorm gestiegen. Auch ein Identitätsdiebstahl ist im Bereich des Möglichen. Erste Gerichte haben beispielsweise Facebook zur Zahlung von Schmerzensgeld in erster Instanz verurteilt, weil der Social-Media-Riese die Daten seiner Kunden besser hätte schützen müssen. Grundlage dafür ist Artikel 82 DSGVO. Die Verordnung sieht bei schuldhaften Verstößen bei den Geschädigten einen Anspruch auf ein „angemessene Schmerzensgeld“.

Unsere Kanzlei kann für Sie derzeit nicht prüfen, ob Sie vom Datenleck betroffen sind. Dazu ist die Datenpanne noch zu frisch und die Datensätze nicht frei einsehbar. Besteht die Möglichkeit, die Betroffenheit zu überprüfen, werden wir das selbstverständlich für Sie übernehmen. Bis dahin kann jedoch bei Twitter eine individuelle Abfrage gestartet werden, ob Sie Opfer eines Datenlecks geworden sind. Falls Twitter Ihre Anfrage nicht beantwortet, steht Ihnen Schadensersatz zu – so will es die europäische Datenschutzgrundverordnung (DSGVO). Deutsche Gerichte haben gegen Facebook bereits eine Schadensersatz in Höhe von 1000 Euro ausgeurteilt.

Frau hält ein Handy in der Hand auf dem Display ist ein Social Media Kanal zu sehen

Fragen und Antworten zum Thema Datenleck

Mittlerweile ist die Anzahl bekannt gewordener Datenlecks gestiegen. Millionen von hochsensiblen Daten sind im Darknet frei zugänglich. Das ist eine Einladung für Kriminelle. Hier die wichtigsten Fragen und Antworten.

Unternehmen müssen laut DSGVO immer Auskunft darüber erteilen, ob jemand von einem Datenleck betroffen ist. Hier lassen sich Unternehmen wie Facebook, Twitter oder auch LinkedIn schriftlich darauf hinweisen. Aber ob eine Antwort kommt, ist nie sicher. Wie empfehlen unsere kostenlose Erstberatung. Dabei überprüfen wir die Betroffenheit von einem Datenleck, zeigen die juristischen Möglichkeiten und Chancen auf. Wir nehmen Ihren Fall individuell in die Hand. Derzeit ist eine Überprüfung bei Twitter noch nicht möglich. Die zum Verkauf stehenden Daten sind noch nicht für jedermann einsehbar.

Da Hacker ihre Daten-Ware verkaufen wollen, müssen sie die Echtheit der Daten prüfen lassen. Im Twitter-Fall bietet der Hacker „Ryushi“ weitere Daten von 1000 bekannten Twitter-Nutzern an. In einer Tabelle finden sich Prominente wie etwa Schauspielerin Whoopi Goldberg, Verkehrsminister Volker Wissing, Schauspieler William Shatner, Erotik-Darstellerin Asa Akira oder Fußball-Kommentator Wolff Fuss – mal nur mit der privaten E-Mail-Adresse, mal inklusive Rufnummer. Daher ist schon davon auszugehen, dass die Daten echt sind. Für den Fall, dass Twitter-Eigner Elon Musk kein Interesse an den Daten hat, hinterließ der Hacker seine Kontaktdaten, damit sich Interessenten via Telegram bei ihm melden können.

Wie ist die Datenschutzgrundverordnung (DSGVO) tatsächlich auszulegen? Wann ist der so genannte immaterielle Schaden entstanden? Zwar urteilen die meisten deutschen Gerichte derzeit sehr großzügig und sprechen oft hohe Schadensersatzsummen den klagenden Verbrauchern zu. Trotzdem herrscht eine gewisse Rechtsunsicherheit. Am Europäischen Gerichtshof (EuGH) sind mehrere Vorabentscheidungsverfahren anhängig. Am 6. Oktober 2022 hat sich der Generalanwalt Campos Sánches-Bordona in einem Verfahren dahingehend geäußert, dass der reine „Ärger“ über einen Datenschutz-Verstoß nicht zwangsläufig zu Schadensersatz führen muss. Sollte es Klägern gelingen, etwa spürbare anhaltende negative Gefühle oder negative Konsequenzen aufgrund der Pflichtverletzung nachzuweisen, könnten Gerichte weiterhin immateriellen Schadensersatz zusprechen. Letztlich bahnt sich hier eine verbraucherfreundliche Rechtsprechung an. Denn wer hat schon ein gutes Gefühl dabei, wenn sich die eigenen hochsensiblen Daten wie E-Mail-Adresse oder Kontodaten möglicherweise im Besitz von kriminellen Hackern befinden?

Passwörter für Online-Accounts sollten regelmäßig geändert werden. Dabei ist es ratsam, die Regeln für ein starkes Passwort zu beachten.
Auch das Passwort für den E-Mail-Account sollte geändert werden. Es macht generell Sinn, Passwörter häufig zu ändern. Das gilt auch vor allem fürs Online-Banking.
Mehrere E-Mail-Accounts für unterschiedliche Internet-Aktivitäten sind auch sinnvoll also beispielsweise fürs Einkaufen, für die sozialen Medien oder für Familie und Freunde. Wenn ein Konto geknackt wurde, hält sich der Schaden in Grenzen.
Finger weg von E-Mails und SMS von unbekannter Herkunft. Links oder Anhänge in solchen Nachrichten niemals öffnen. Die E-Mails sollten auch nicht beantwortet werden.
Auch wenn es mühselig ist: Hin und wieder sollte die mobile Rufnummer geändert werden.

Ihre Anwälte im IT-Recht

Michael Pflaumer
- Geschäftsführer
- Rechtsanwalt
Fatma Bezginsoy
- Fachanwältin für IT-Recht
Florian Hitzler
- Fachanwalt für IT-Recht
Mehtap Kutlar
- Fachanwältin für IT-Recht

Was unsere Mandanten sagen

Pia Sielaff

5/5

Frau Martina Eller hat sich sehr viel Zeit genommen für die telefonische Beratung. Sie hat mir zugehört und wertvolle Tips gegeben. Ich kann sie 100% weiterempfehlen. Vielen Dank.
Manfred Maier

5/5

Ich kann die Kanzlei Dr. Stoll & Sauer uneingeschränkt weiterempfehlen. Mein Verfahren zur Rückabwicklung meines PHEV-Fahrzeugs wurde innerhalb von nur ca. 8 Wochen erfolgreich beendet. Ein ganz besonderer Dank geht an Frau Rechtsanwältin Brar für die kompetente Unterstützung und die extrem zügige Begleitung durch das gesamte Verfahren. Die Kommunikation war professionell und das Ergebnis ist …
P L

5/5

Ich hatte mit Herrn Malleis nur schriftlich Kontakt, bin aber von seiner Ehrlichkeit beeindruckt. Er gab mir den klaren Hinweis, dass mein Fall wenig Aussicht auf Erfolg hat, anstatt mir ein unnötiges Verfahren zu verkaufen. Damit hat er mir viel Geld erspart. Sehr fair, freundlich und absolut seriös – vielen Dank!