British Airways plc

Was passiert ist

Die britische Aufsichtsbehörde ICO verhängte gegen eine Fluggesellschaft eine Buße von 20 Millionen Pfund wegen unzureichender Sicherheitsmaßnahmen, die einem Angreifer zwischen dem 22. Juni und dem 5. September 2018 den Zugang zu ihrem Netzwerk über ein unsicher konfiguriertes Remote-Access-Gateway ermöglichten. Der Angreifer verschaffte sich mit kompromittierten Zugangsdaten eines Mitarbeiters eines Dienstleisters Zugriff, gelangte an Administrator-Konten mit Klartext-Passwörtern und schlich Skript-Code in die Website ein, der Zahlungsdaten von rund 429.000 Kunden an eine Angreifer-Domain weiterleitete; auch unverschlüsselt protokollierte Kartendaten einschließlich CVV waren exponiert. Die Behörde stellte Verstöße gegen Art. 5 Abs. 1 lit. f und Art. 32 DSGVO fest, bejahte fahrlässiges Handeln und berücksichtigte Kooperation, Schadensminderung sowie die Auswirkungen der Covid-19-Pandemie bei der Bemessung. Gegenüber der ursprünglich angekündigten Buße von 183,39 Millionen Pfund wurde der Betrag erheblich gesenkt.

Verfahrensgang

1. 16.10.2020 — Behörde
   festgesetzt · 21.998.570,09 € (20.000.000,00 € GBP, Kurs 1.099928504647 vom 16.10.2020)
   Art. 5Art. 32

   SCAN-FALL: Die pdftotext-Textdatei ist leer; das PDF ist bildbasiert. Das gesamte Dokument (114 Seiten) wurde visuell aus dem PDF gelesen; die Qualitätskontrolle (Suche nach weiteren Beträgen) erbrachte keine übersehenen Summen. Umfangreiche Schwärzungen in den Sachverhalts- und Prüfabschnitten (technische Details des Angriffs und der Mängel). Verhängte Buße: 20.000.000 GBP (Tenor S. 1 Abs. 1.7 und Berechnung 7.36-7.55: GBP 30m abzüglich 20% Milderung = GBP 24m, abzüglich GBP 4m Covid-19-Abschlag = GBP 20m). Festgestellte Verstöße ausschließlich Art. 5 Abs. 1 lit. f und Art. 32 DSGVO (Abs. 6.101: 'only to make findings of infringement in respect of Articles 5(1)(f) and 32'); Art. 25 wurde im Notice of Intent noch geprüft, aber fallengelassen; eine Pflichtverletzung nach Art. 33/34 wurde im Gegenteil ausdrücklich bejaht (fristgerechte Meldung) - das Register nennt Artikel 32/33/34 und weicht damit vom Dokument ab. Art. 32: Absatz/Buchstabe im Dokument nicht konkretisiert (Verstoß gegen die Pflicht insgesamt). Rechtsgrundlage: s. 155 DPA 2018; lead authority nach Art. 56 DSGVO. NOI vom 04.07.2019 mit GBP 183,39m; dieser Bescheid ersetzt nicht einen früheren Bescheid, sondern ist der endgültige Bußgeldbescheid. Name der Information Commissioner (unterzeichnende Behördenleiterin) im Dokument genannt; keine Personennamen in den Zusammenfassungen wiedergegeben.

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/article-60-final-decisions/uk_2010-10_data_breach_security_of_processing_decisionpublic_final.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:GB:OSS:D:2020:147 vorschlagen.