Diehl + Nickel

Benachrichtigung über eine potenzielle Verletzung des Schutzes personenbezogener Daten

Sehr geehrte Damen und Herren,

mit diesem Schreiben informieren wie Sie offiziell und schriftlich darüber, dass es bei der Diehl + Nickel GmbH zwischen Februar 2022 und Februar 2024 zu einem möglichen Datenschutzvorfall gekommen ist. Ausgangspunkt war ein offener FTP-Server, der ohne unsere Kenntnis im Zeitraum von März 2013 bis Februar 2024 über das Internet erreichbar war. Aufgrund dieser Fehlkonfiguration waren die auf diesem IT-System gespeicherten personenbezogenen Daten ungeschützt gegen den Zugriff Dritter. Dieser FTP-Server wurde u.a. dazu genutzt, Lieferbelege und Rechnungen zu verarbeiten. Im Zuge der internen, mit Hochdruck laufenden IT-forensischen Aufarbeitung ist ferner festzustellen, dass es im Zeitraum von März 2013 bis Februar 2022 nicht zu unberechtigten Anmeldungen einschließlich Transfers gekommen ist. Bedauerlicherweise fehlen die System- und Transferlogs von Februar 2022 bis Februar 2024. Aufgrund dessen ist nicht auszuschließen, dass es in diesem Zeitraum zu unberechtigten Transfers gekommen ist und dabei personenbezogene Daten abgeflossen sind.
Wir verarbeiten von unseren Firmenkunden und Lieferanten nur die notwendigen personenbezogenen Daten (z.B. Vor- und Nachname einer Ansprechperson, dienstliche Kontaktdaten, Firmenanschriften, Auftragsnummer, Bestelldatum, Kaufobjekt). Es handelt sich insofern nur um wenige, überwiegend nicht mehr aktuelle und keine besonderen Kategorien von personenbezogenen Daten. Die personenbezogenen Daten sind mehrheitlich öffentlich, soweit es sich z.B. um eine info@-Adresse handelt. Ein Angreifer erfährt in diesem Kontext, dass Sie Kunde oder Lieferant der Diehl + Nickel GmbH waren bzw. sind, was Sie wann bestellt haben, usw.
Sofern uns neue Erkenntnisse vorliegen, informieren wir Sie gemäß den gesetzlichen Vorgaben. Folgendes können wir Ihnen ergänzend mitteilen: Unmittelbar nach Kenntnis dieses Vorfalls und der Verifizierung der Sicherheitslücke wurde dieses IT-System gesichert, um eine Auswertung vorzunehmen. Ferner wurden unverzüglich externe IT-Forensiker hinzugezogen, um den Vorfall sachgerecht zu untersuchen.
Mit Ausnahme dieses FTP-Servers verwendet die Diehl + Nickel GmbH sichere externe Rechenzentren. Die Diehl + Nickel GmbH wird diesen Vorfall zum Anlass nehmen, mit sofortiger Wirkung zusätzliche Sicherheitsstandards zu etablieren, einschließlich regelmäßiger Penetrationstests der eigenen IT-Systeme und der Umsetzung eines Löschkonzepts. Zudem haben wir bereits die Meldung beim HBDI vorgenommen.
Beachten Sie:
Da es sich um Firmendaten wie Vor- und Nachname der Ansprechperson, Dienstnummer, Firmenanschrift und Bestellverlauf handelt, die nicht mehr aktuell sind, und Sie bisher keine Phishing-Angriffe oder ähnliche Social-Engineering-Angriffe bemerkt haben, ist es unwahrscheinlich, dass Sie noch angegriffen werden. Dennoch kann dies nicht vollständig ausgeschlossen werden. Sollten Sie im Rahmen eines Angriffsversuchs im Kontext der Diehl + Nickel GmbH kontaktiert werden, sei es per E-Mail, SMS oder Telefon, kontaktieren Sie uns bitte zur Verifizierung der Echtheit. Achten Sie auf die üblichen Anzeichen von Phishing, z.B. suspekte Domains oder Aufforderungen, eine externe Webseite zu besuchen.

Wir empfehlen Ihnen, sich mit unserem Datenschutzbeauftragten in Verbindung zu setzen, um genauere Informationen über die Sie betreffenden Daten und Datenkategorien zu erhalten:

Riske IT GmbH, Tel.: 02236-3310745, E-Mail: datenschutz@riske-it.de

Für evtl. Rückfragen stehen wir gerne zur Verfügung.