Datenpanne bei französischer Steuerbehörde betrifft 678.000 Personen

Frankreichs Finanzministerium bestätigt eine Datenschutzverletzung bei der Steuerbehörde DGFiP mit Daten zu 678.000 Personen und Firmen.

Entdeckt wurde der Vorfall, nachdem ein unter dem Namen ZeroBytes auftretender Angreifer am 12. August im Hackerforum PwnForums eine gestohlene Datenbank zum Verkauf anbot. Nach eigenen Ermittlungen des Finanzministeriums wurden über den betroffenen Zugang bis zu dessen Sperrung Steuerdaten wie das Referenzeinkommen, der Familienquotient sowie der Quellensteuersatz von insgesamt 678.000 Privatpersonen und Unternehmen abgerufen, bei Unternehmen zusätzlich Firmenname und SIREN-Nummer. Auch Katasterdaten zu Adressen und Grundstücksgrößen waren betroffen. Das Ministerium betonte, die Online-Konten von Privat- und Geschäftskunden seien nicht kompromittiert worden, Nutzernamen und Passwörter blieben demnach unberührt.

Der Angreifer erklärte im Hackerforum, über das Portal Serveur Professionnel de Données Cadastrales, das zentrale Grundbuch- und Eigentumsdaten für rund 20 Millionen französische Bürger bereitstellt, Zugriff erlangt zu haben. Nach eigener Aussage gelang es ihm, 252.149 Datensätze mit Informationen zu mehr als 2 Millionen Personen zu entwenden, bevor er den vollständigen Abzug aller Daten als zu aufwendig abbrach. Nach der Entdeckung des Angriffs sperrte die DGFiP den Zugriff auf die betroffenen sensiblen Systeme und informierte die französische Datenschutzbehörde CNIL sowie die nationale Cybersicherheitsbehörde ANSSI, die die weiteren Ermittlungen unterstützt.

Bereits vierte bekannt gewordene Datenpanne bei einer französischen Behörde

Das Finanzministerium kündigte an, ab der kommenden Woche sämtliche betroffenen Personen per E-Mail oder Brief zu kontaktieren und dabei über die konkret betroffenen Daten sowie notwendige Vorsichtsmaßnahmen zu informieren. Der Vorfall reiht sich in eine Serie von Cyberangriffen auf französische Behörden der vergangenen Monate ein. Bereits im Januar hatte die französische Datenschutzbehörde die nationale Arbeitsagentur France Travail mit 5 Millionen Euro belegt, nachdem Angreifer persönliche Daten von 43 Millionen Menschen entwendet hatten.

Einen Monat später meldete das Finanzministerium eine weitere Datenschutzverletzung mit mehr als 1,2 Millionen betroffenen Konten beim nationalen Bankkontenregister FICOBA. Zuletzt hatte zudem die für Ausweisdokumente zuständige Behörde France Titres eine Datenpanne bestätigt, nachdem ein Angreifer eine Datenbank mit mutmaßlich 19 Millionen Datensätzen aus dem System der nationalen Dokumentenbehörde ANTS zum Verkauf angeboten hatte.

(red)