TGI, Mauritius und die Datei namens „AlleKunden.csv“

Manchmal soll ein Umzug ja Wunder wirken.

Neue Wohnung, neue Nachbarn, neues Lebensgefühl.

Im Fall des umstrittenen Liechtensteiner Goldhändlers TGI fiel die Wahl allerdings nicht auf die nächste Gemeinde, sondern gleich auf Mauritius. Dort firmiert das Geschäft inzwischen unter dem Namen Trust Gold International Ltd.

Das klingt nach Sonne, Palmen und Neuanfang.

Dummerweise haben Ermittlungsverfahren die lästige Angewohnheit, sich von tropischem Klima nur begrenzt beeindrucken zu lassen.

Die gegen TGI erhobenen Betrugs- und Geldwäschevorwürfe sind durch den Umzug jedenfalls nicht automatisch verschwunden. Und nun kommt womöglich noch ein Problem hinzu, das selbst mit Blick auf den Indischen Ozean nicht schöner wird: Ein umfangreicher Bestand sensibler Unternehmens- und Kundendaten ist offenbar außerhalb des Unternehmens gelandet.

Uns wurden diese Daten übrigens ebenfalls angeboten.

Die spontane Frage lautete dabei weniger: „Was kostet der Spaß?“

Sondern eher: „Wer um alles in der Welt möchte so etwas besitzen?“

Denn eine Datei mit Zehntausenden Namen, Adressen, Geburtsdaten, Telefonnummern und Kontonummern ist für einen normalen Menschen ungefähr so attraktiv wie ein herrenloser Koffer am Flughafen mit blinkender roter Lampe.

Man schaut kurz hin.

Und geht dann besser weiter.

„AlleKunden.csv“ – immerhin ehrlich benannt

Eine der Dateien trägt den Namen „AlleKunden“.

Man kann den Verantwortlichen vieles vorwerfen. Mangelnde Klarheit bei der Dateibenennung gehört offenbar nicht dazu.

News liegt ein mehrere Gigabyte großer Datenbestand vor. Darin befinden sich unter anderem umfangreiche Tabellen.

„AlleKunden“ umfasst 45.557 Zeilen.

Enthalten sind Namen, Anschriften, Geburtsdaten, Telefonnummern und Kontonummern von Kundinnen und Kunden der TGI beziehungsweise des Vorgängerunternehmens GGMT aus dem Zeitraum September 2018 bis Februar 2026.

Kurz gesagt: ziemlich genau jene Informationen, die man nicht unbedingt in einem herumgereichten Datenpaket sehen möchte.

Gut 23.000 der betroffenen Personen leben laut Datensatz in Deutschland. Mehr als 11.000 haben einen Wohnsitz in Österreich angegeben, weitere gut 6.000 in der Schweiz.

Das ist also nicht die versehentlich exportierte Teilnehmerliste des TGI-Sommerfests.

Weitere Dateien enthalten Informationen zum Zahlungsverkehr sowie Einblicke in Vertriebsstrukturen und Bonusstufen des Multilevel-Marketing-Systems.

Auch verschlüsselte Passwörter finden sich in dem Material.

Weitere Recherchen dazu werden folgen.

Stichprobenartige Überprüfungen und Abgleiche mit News vorliegenden Ermittlungsakten der Staatsanwaltschaft Liechtenstein sprechen dafür, dass wesentliche Teile des Datenbestandes authentisch sind.

Nicht geklärt ist, wer die Daten abgezogen hat, wie sie das Unternehmen verlassen haben und wer sie heute besitzt.

Ebenso offen ist, ob sie bereits auf einschlägigen Handelsplätzen angeboten werden.

Dass zumindest versucht wurde, sie weiterzureichen, können wir aus eigener Erfahrung bestätigen.

Auch uns wurden sie angeboten.

Wir haben dankend darauf verzichtet.

Man muss schließlich nicht alles besitzen, nur weil es mehrere Gigabyte groß ist.

Wer möchte solche Kunden?

An dieser Stelle drängt sich ohnehin eine ganz praktische Frage auf.

Was soll man mit diesen Daten anfangen?

Mehr als 45.000 Datensätze. Kontonummern. Telefonnummern. Adressen. Geburtsdaten.

Für seriöse Werbezwecke eher schwierig.

Für die Weihnachtskartenkartei etwas überdimensioniert.

Für dubiose Zwecke hingegen potenziell interessant.

Und genau deshalb ist ein solcher Datenbestand für die Betroffenen unangenehm.

Nicht weil jeder Datensatz zwangsläufig missbraucht wird.

Sondern weil niemand kontrollieren kann, wer ihn morgen besitzt.

Daten haben schließlich gegenüber Gold einen entscheidenden Nachteil: Wenn man sie einmal verloren hat, kann man sie nicht einfach wieder einschmelzen.

Hat TGI irgendjemandem Bescheid gesagt?

Eine weitere interessante Frage lautet, ob TGI beziehungsweise Trust Gold International überhaupt von dem möglichen Datenabfluss wusste.

Falls ja, wäre anschließend zu klären, seit wann.

Falls nein, wäre das auf eine andere Art bemerkenswert.

Weder TGI noch Robert Weik beantworteten entsprechende Fragen von News. Weik hatte das Unternehmen in der Vergangenheit anwaltlich vertreten und wird auch auf der Website des neuen Unternehmens in Mauritius als Anwalt genannt.

Mehrere von News kontaktierte Kunden erklärten wiederum, ihnen sei kein Datenleck bekannt.

Auch öffentlich fanden sich bis Redaktionsschluss keine Hinweise darauf, dass das Unternehmen seine Kunden über einen entsprechenden Vorfall informiert hätte.

Das muss noch nichts bedeuten.

Es macht die Angelegenheit aber nicht weniger interessant.

Datenschutz: jene Sache mit den 72 Stunden

Bei Datenschutzpannen dieser Größenordnung beginnt normalerweise eine eher unentspannte Phase.

Der Linzer Rechtsanwalt Philipp L. Leitner von der Kanzlei Saxinger weist darauf hin, dass Unternehmen bei Verletzungen des Schutzes personenbezogener Daten umfangreiche Pflichten treffen können.

Wird einem Unternehmen eine entsprechende Datenschutzverletzung bekannt, muss diese grundsätzlich unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden, sofern voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen besteht.

Besteht voraussichtlich ein hohes Risiko, müssen grundsätzlich auch die Betroffenen informiert werden.

Die DSGVO gilt dabei auch in Liechtenstein.

Für Unternehmen bedeutet das vereinfacht gesagt:

Kennt man ein relevantes Datenleck, sollte man es nicht einfach unter „Sonstiges“ abheften und hoffen, dass niemand danach fragt.

Bei schuldhaften Verstößen gegen Melde- und Informationspflichten können in Liechtenstein empfindliche Geldbußen verhängt werden. Leitner verweist auf mögliche Strafen von bis zu 11 Millionen Schweizer Franken oder zwei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.

Hinzu können Schadenersatzansprüche Betroffener kommen.

Ob im konkreten Fall tatsächlich gegen gesetzliche Pflichten verstoßen wurde, ist derzeit nicht festgestellt.

Ebenso wenig lässt sich gegenwärtig seriös sagen, ob sich aus dem Datenabfluss strafrechtliche Konsequenzen für bestimmte Personen ergeben.

Das werden gegebenenfalls Behörden und Gerichte klären.

Ein Zeitungsartikel ersetzt bekanntlich noch kein Strafverfahren.

Und Helmut Kaltenegger?

Natürlich stellt sich die Frage, wie sehr all das Unternehmensgründer Helmut Kaltenegger persönlich beschäftigt.

Die Antwort lautet:

Wir wissen es nicht.

Vielleicht sehr.

Vielleicht überhaupt nicht.

Vielleicht sitzt er auf Mauritius, schaut aufs Meer und betrachtet CSV-Dateien als kontinentaleuropäisches Problem.

Das wäre zumindest landschaftlich angenehmer.

Für die betroffenen Kunden ist die Sache allerdings weniger exotisch.

Denn Kontonummern, Telefonnummern und Ausweisdaten bekommen durch einen Firmenumzug leider keinen automatischen Sonnenschutz.

Entscheidend ist daher nicht, ob Helmut Kaltenegger persönlich schlechte Laune bekommt.

Entscheidend ist, wer die Daten besitzt, wie sie nach außen gelangt sind, seit wann Verantwortliche davon wissen und ob gesetzliche Pflichten erfüllt wurden.

Der Rest ist Stoff für Postkarten.

Ein Datenpaket, bei dem Betrüger genauer hinschauen könnten

Besonders problematisch ist die Kombination verschiedener Informationen.

Wer lediglich einen Namen kennt, kann damit wenig anfangen.

Wer Namen, Adresse, Geburtsdatum, Telefonnummer, Bankverbindung und womöglich noch eine Ausweiskopie besitzt, hat deutlich mehr Möglichkeiten.

Datenschutzanwalt Leitner weist darauf hin, dass solche Kombinationen grundsätzlich für Identitätsdiebstahl oder Betrugsversuche attraktiv sein können.

Kriminelle könnten beispielsweise versuchen, im Namen fremder Personen Verträge abzuschließen, Konten zu eröffnen oder Kredite zu beantragen.

Ob das mit den hier beschriebenen Daten bereits geschehen ist, ist nicht bekannt.

Aber auch das ist eine dieser Nachrichten, bei denen „bisher nichts passiert“ nur begrenzt beruhigend klingt.

Was Betroffene jetzt besser nicht tun sollten

Wer Kunde von TGI oder GGMT war, sollte zunächst eine einfache Regel beherzigen:

Misstrauen ist derzeit kein Charakterfehler.

Ungewöhnliche Zahlungsaufforderungen, verdächtige Abbuchungen sowie Anrufe, E-Mails, SMS oder Messenger-Nachrichten sollten besonders kritisch geprüft werden.

Vor allem dann, wenn der Absender erstaunlich viele persönliche Informationen kennt.

Denn genau das ist der Trick.

Ein Anrufer nennt Ihren vollständigen Namen.

Ihre Adresse.

Vielleicht Ihre Kontonummer.

Und plötzlich wirkt er seriös.

Das Problem ist nur: Wenn solche Daten zirkulieren, beweisen sie gar nichts mehr.

Bankdaten, Passwörter, PINs, TANs oder Bestätigungscodes sollten deshalb grundsätzlich nicht weitergegeben werden.

Auch dann nicht, wenn der Anrufer angeblich aus Mauritius kommt und sehr wichtig klingt.

Vertrag abgeschlossen? Nein? Dann widersprechen.

Tauchen Forderungen aus Verträgen auf, die Betroffene nie abgeschlossen haben, sollten diese unverzüglich schriftlich bestritten werden.

Verdächtige Kontobewegungen sollten sofort mit der eigenen Bank geklärt werden.

Je nach Situation kommen Rückbuchungen, Kontosperren oder weitere Sicherungsmaßnahmen infrage.

Wer vermutet, dass Ausweiskopien in unbefugte Hände gelangt sind, sollte außerdem erwägen, den Sachverhalt bei der Polizei zu dokumentieren und entsprechende Unterlagen aufzubewahren.

Das mag im ersten Moment etwas übervorsichtig wirken.

Es wirkt deutlich weniger übervorsichtig, wenn sechs Monate später jemand auf den eigenen Namen einen Mobilfunkvertrag, einen Kredit oder zwölf Küchenmaschinen bestellt.

Die Passwörter gibt es als Zugabe

Im Datenbestand befinden sich auch verschlüsselte Passwörter.

Ob und mit welchem Aufwand diese entschlüsselt beziehungsweise geknackt werden könnten, lässt sich pauschal nicht sagen.

Betroffene sollten sich darauf allerdings nicht verlassen.

Passwörter betroffener Konten sollten vorsorglich geändert werden.

Und wer dasselbe Passwort gleichzeitig bei TGI, beim E-Mail-Anbieter, beim Onlinebanking, beim Versandhändler und beim Fußballforum verwendet hat, darf diesen Moment als freundliche Einladung verstehen, seine Passwortstrategie grundsätzlich zu überdenken.

Zwei-Faktor-Authentifizierung ist ebenfalls empfehlenswert.

Sie ist zwar weniger bequem.

Identitätsdiebstahl allerdings auch.

Die strafrechtliche Frage bleibt offen

Spannend dürfte auch werden, ob und für wen der Datenabfluss strafrechtliche Relevanz entfaltet.

Derzeit ist allerdings weder abschließend geklärt, wie die Daten nach außen gelangt sind, noch wer dafür verantwortlich war oder wer sie anschließend weitergegeben hat.

Deshalb wäre es unseriös, jetzt bereits Schuldige zu benennen.

Die zuständigen Behörden werden gegebenenfalls zu klären haben, ob Straftatbestände erfüllt sind.

Bis dahin bleibt es bei einem bemerkenswerten Sachverhalt:

Ein riesiger Bestand hochsensibler Kundeninformationen ist offenbar außerhalb der vorgesehenen Systeme unterwegs.

Und offenbar nicht nur theoretisch.

Denn irgendjemand hielt es für eine gute Idee, diese Daten auch Redaktionen anzubieten.

Mauritius ist weit weg. Eine CSV-Datei leider nicht.

Für Trust Gold International sollte der Umzug nach Mauritius womöglich einen Neustart markieren.

Doch Firmen lassen sich leichter verlegen als Vergangenheit.

Man kann einen neuen Namen wählen.

Eine neue Gesellschaft gründen.

Eine neue Website aufsetzen.

Man kann sogar die Adresse gegen eine Insel im Indischen Ozean tauschen.

Was deutlich schwieriger ist:

45.557 Datensätze wieder einzusammeln, wenn sie einmal in fremden Händen sind.

Vielleicht ist genau das die eigentliche Pointe dieser Geschichte.

Gold lässt sich einschließen.

Daten nicht immer.

Und eine Datei namens „AlleKunden.csv“ entwickelt, sobald sie den falschen Rechner erreicht, eine erstaunliche Reisefreude.

Ganz ohne Flugticket nach Mauritius.