Infogreffe speicherte 3,7 Mio. Passwörter 19 Jahre lang im Klartext – CNIL verhängte ein Bußgeld von 250.000 €

Infogreffe ist die wirtschaftliche Interessengemeinschaft der Kanzleien der französischen Handelsgerichte und verkauft seit 2001 über infogreffe.fr beglaubigte Unternehmensregisterauszüge (seit 1987 über Minitel) – eine öffentliche Aufgabe, ausgeübt von privaten Rechtspflegern. Im Dezember 2020 beschwerte sich ein Nutzer, er habe sein eigenes Passwort am Telefon erhalten, indem er nichts als seinen Namen nannte, und die Website speichere Passwörter im Klartext. Die Online-Prüfung der CNIL im März 2021 bestätigte weit Schlimmeres als die Beschwerde.

Zwei Verstöße. Aufbewahrung: Die eigene DSGVO-Charta von Infogreffe versprach die Löschung 36 Monate nach der letzten Bestellung eines Nutzers, doch am 1. Mai 2021 enthielt die Datenbank weiterhin Namen, Adressen, Telefonnummern, geheime Fragen und Antworten – und bei Abonnenten IBAN und BIC – von 946.023 Mitgliedern und 17.558 Abonnenten, die seit über drei Jahren inaktiv waren. Eine automatische Anonymisierung existierte überhaupt nicht; etwa ein Viertel der Konten lag über der Grenze.

Sicherheit: Unter einer seit 2002 unveränderten Passwortrichtlinie waren Passwörter auf 8 Zeichen begrenzt, ohne Komplexitätsregeln und ohne zweiten Faktor, wurden im Klartext als dauerhafte Zugangsdaten per E-Mail versandt, im Klartext gespeichert, und die Nutzer wurden nie benachrichtigt, wenn ihr Passwort geändert wurde – jedes der 3,7 Millionen Konten war exponiert.

Die Verteidigung verschlimmerte es. Infogreffe argumentierte, Sicherheit sei nur eine Mittelverpflichtung ohne nachzuweisenden tatsächlichen Verstoß, tat die Passwort-Leitlinien der CNIL als Soft Law ab und gab seinem Auftragsverarbeiter die Schuld – ohne diesen Auftragsverarbeiter jemals zu beaufsichtigen. Der Ausschuss nannte die Versäumnisse strukturell: Anonymisierungs- und Sicherheitsarbeit sei wegen fremder Compliance-Fristen ohne zusätzliche Ressourcen aufgeschoben worden, und als Amtsträger schuldeten die Kanzleien besondere Sorgfalt. Bußgeld: 250.000 €, Beratung veröffentlicht am 13. September 2022.

250.000 € Bußgeld der CNIL; alle 3,7 Mio. Konten liefen mit Passwörtern von maximal 8 Zeichen ohne zweiten Faktor; 963.581 ruhende Konten wurden über die eigene 36-Monats-Grenze der Website hinaus aufbewahrt

Die Aufbewahrungsregel existierte nur auf dem Papier: Die 36-Monats-Grenze war in der eigenen Charta von Infogreffe festgeschrieben, doch es wurde nie ein Lösch- oder Anonymisierungsverfahren aufgebaut, sodass sich die Datensätze unbegrenzt anhäuften.

Die Sicherheitsschuld aus dem Jahr 2002 wurde nie überprüft: Eine Obergrenze von 8 Zeichen für Passwörter lässt sich nur durch Klartextspeicherung umsetzen, und sie regierte stillschweigend alle 3,7 Mio. Konten bis Juni 2021.

Klartext-Versand per E-Mail plus fehlende Änderungsbenachrichtigungen bedeuteten, dass ein einziges phishing-anfälliges Postfach oder ein einziger überzeugender Telefonanruf die vollständige Kontoübernahme ermöglichte – genau das, was die Beschwerde vom Dezember 2020 zeigte.

Die Geschäftsleitung stufte das Risiko zurück: Anonymisierungs- und Sicherheitsprojekte wurden für nicht datenschutzbezogene Compliance-Arbeit ohne zusätzliche Ressourcen verschoben, und die Schuld wurde auf einen Auftragsverarbeiter abgewälzt, den niemand prüfte.

Eine Aufbewahrungsrichtlinie ist ein Versprechen, für dessen Bruch man ein Bußgeld erhalten kann: Infogreffe schrieb eine 36-Monats-Regel, baute dann aber nie den Löschvorgang. Und die Sicherheitsschuld aus dem Jahr 2002 verjährt nicht von selbst.

Infogreffe löschte die über 36 Monate ruhenden Konten, sobald die CNIL-Prüfung begann, doch der Ausschuss bewertete die strukturellen Verstöße für die Vergangenheit als gegeben. Das Bußgeld von 250.000 € und die veröffentlichte Entscheidung ergingen am 13. September 2022; nach den Veröffentlichungsregeln der CNIL wird das Unternehmen ab der Beratung nach zwei Jahren anonymisiert. Der Telefonanruf, mit dem alles begann – ein Helpdesk, der ein Passwort für nichts als einen Namen herausgab –, bleibt der klarste Beleg dafür, dass seine Authentifizierung die Identität als Formalität behandelte.