Datenleck bei Bonify-App

Anmeldungen bei der Bonify-App sind entweder über den Personalausweis oder das eigene Bankkonto möglich. Laut Bonify war es durch das Bankident-Verfahren, das die Verifizierung über das eigene Bankkonto ermöglicht, möglich, Namen und Adresse zu manipulieren. Dadurch konnte der Bonitätsscore von fremden Personen abgelesen werden. Unter anderem sei es ohne größere Schwierigkeiten möglich gewesen, an die Bonitätsdaten des ehemaligen Bundesgesundheitsministers Jens Spahn zu gelangen. Das Gleiche gelte auch für viele andere Personen, die im Handelsregister eingetragen sind – und das alles ohne jegliche Hacking-Aktivitäten, so die Sicherheitsexpertin.

Sie machte gegenüber der SZ deutlich, dass die Sicherheitslücke eklatant ist und selbst niedrigste Sicherheitsstandards nicht eingehalten werden. Die Schufa hat das Datenleck eingestanden, ihre eigenen Daten seien aber nicht betroffen. Nach Bekanntwerden des Datenlecks ging die Bonify-App zunächst vom Netz.

Ende 2022 wurde das Start-up Bonify von der Auskunftei Schufa übernommen. Die App ermöglicht es Kunden, kostenlos ihre Bonität zu überprüfen und ihren Schufa-Score einzusehen. Zusätzlich informiert sie die Nutzer über negative Einträge zu ihrer Kreditwürdigkeit. Kurz nach dem Start der App vor wenigen Tagen wurde sie in großer Zahl heruntergeladen. Die Entdeckung der offenbar erheblichen Sicherheitslücken hat für massive Aufregung gesorgt.

Die betreffen nicht nur die Schufa, sondern auch die Auskunftei Creditreform Boniversum. Auch deren Bonitätsscores sind seit dem Start von Bonify über die App einzusehen und das auch noch nach der Übernahme durch die Schufa.

In welchem Umfang Daten abgeflossen sind, ist noch nicht bekannt. „Da solche sensiblen Daten natürlich streng vertraulich sind, liegt ein massiver Verstoß gegen den Datenschutz und gegen die Datenschutzgrundverordnung vor“, sagt Rechtsanwalt István Cocron, CLLB Rechtsanwälte. Nach Angaben der Berliner Datenschutzbeauftragten gegenüber der SZ könne ein Verstoß gegen Art. 32 DSGVO vorliegen, also gegen die Anforderungen an die Sicherheit bei der Verarbeitung von Daten.

„Bei Verstößen gegen die DSGVO haben die Betroffenen Anspruch auf Schadenersatz. Auch wenn kein materieller Schaden eingetreten ist, so besteht in der Regel ein Anspruch auf immateriellen Schadenersatz“, so Rechtsanwalt Cocron. Bezüglich des Datenlecks bei Facebook haben schon zahlreiche Gerichte Schadenersatz zugesprochen.