Bonify Datenleck: Anspruch auf Schadensersatz möglich

Bei der Schufa-Tochter Bonify können Nutzer*innen mittels App kostenfrei und einfach ihre Schufa-Einträge einsehen und ihren Kreditscore abrufen. Aber schon kurz nach dem Start wurde in der Bonify-App eine eklatante Sicherheitslücke entdeckt. Tausende Menschen könnten betroffen sein und jetzt einen Anspruch auf Schadensersatz haben.

Schwerwiegendes Datenleck in der Bonify App

Nur wenige Tagen nach Veröffentlichung gab es für die Bonify App den ersten Datenskandal. Das Schufa-Tochterunternehmen ermöglicht mit einer eigenen App die kostenfreie Einsicht von Schufa-Einträgen und dem eigenen Kreditscore. Zusätzlich soll sie die Nutzer*innen über negative Einträge zu ihrer Kreditwürdigkeit informieren. Der Start der App verlief durchaus erfolgreich – wurde sie doch massenhaft heruntergeladen und belegte zeitweise Platz 2 der Download-App-Charts.

Doch eine immense Sicherheitslücke ermöglichte die Einsicht von Bonitätsauskünften von Fremden. Die IT-Sicherheitsexpertin Lilith Wittmann konnte somit z. B. an die Bonitätsdaten des ehemaligen Bundesgesundheitsministers Jens Spahn gelangen.

Bonify: Mangelhaftes Verifizierungsverfahren

Grund für das Datenleck ist das mangelhafte und leicht manipulierbare Verifizierungsverfahren der Bonify App. Für die Verifizierung wird entweder der Personalausweis oder das eigene Bankkonto benötigt. Bei der Verifizierung über das Bankkonto wird das Bankident-Verfahren genutzt, welches sich in der Vergangenheit schon häufiger als unsicher herausstellte und stellenweise auch schon verboten wurde.

Durch die einfache Möglichkeit, Namen, Geburtsdatum und Adresse innerhalb des Verifizierungsverfahren zu manipulieren, war es möglich, Nutzerprofile von fremden Personen anzulegen. Diese offenbarten dann sensible Bonitätsdaten und deren Kreditscore inklusive der Informationen, auf welcher Datenbasis dieser berechnet wurde. Das sei auch mit vielen anderen Personen möglich, die im Handelsregister stehen – und das, ohne irgendwelche Daten zu hacken.

Zudem war es möglich, den Profilen einen anderen Bonitätsscore zuzuordnen und so die Bonitätsnachweise zu fälschen, die für künftige Verträge und Kredite häufig notwendig sind.

„Da solche sensiblen Daten natürlich streng vertraulich sind, liegt ein massiver Verstoß gegen den Datenschutz und gegen Artikel 32 der Datenschutzgrundverordnung vor, welcher die Sicherheit der Datenverarbeitung zum Gegenstand hat.“

István Cocron

Rechtsanwalt und Partner

Was die Schufa mit Bonify zu tun hat

• Bonify ist die App eines in Berlin ansässigen Startups, der Forteil GmbH, welches Ende 2022 von der Schufa aufgekauft wurde..
• Mit der App will die Schufa einen kostenfreien und einfachen Zugang zum eigenen Kreditscore ermöglichen.
• Die transparente Erläuterung der Score-Berechnung innerhalb der Bonify App wird als weiterer Pluspunkt angesehen, da die Schufa selbst aufgrund ihrer nicht nachvollziehbaren Berechnung schon seit Jahren in der Kritik steht.

Bevor Bonify von der größten Auskunftei in Deutschland aufgekauft wurde, bekam die App ihre Daten über andere Unternehmen, die das gleiche Angebot haben. Ein Unternehmen ist hier die Creditreform Boniversum GmbH – eine Wirtschaftsauskunftei mit Sitz im nordrhein-westfälischen Neuss – mit der bis heute auch noch ein Vertrag mit Bonify besteht.

Von der Bonify Sicherheitslücke sind laut Schufa-Angaben die direkten Schufa-Daten nicht betroffen. Durch die gezielte Manipulation im Verifizierungsverfahren konnten also nur die Daten des Schufa-Konkurrenten Boniversum abgegriffen werden.

Möglicher Verstoß gegen die DSGVO

Die Sicherheitslücke in der Bonify App könnte noch weitreichende Folgen für das Unternehmen haben. Unzureichende IT-Sicherheitssysteme und die damit verbundene Möglichkeit zur Einsicht von hochsensiblen Personendaten, ist nämlich ein Verstoß gegen die Datenschutzgrundverordnung.

Ansprüche auf Schadensersatz möglich

Durch die einfache Möglichkeit zur Datenmanipulation ist das Ausmaß der Sicherheitslücke noch ungewiss. Mehrere tausend Menschen könnten betroffen sein, deren sensible Personendaten ohne ihr Wissen eingesehen werden konnten. Auch ist noch nicht endgültig geklärt, ob weitere Datenflüsse stattgefunden haben, die ohne Einwilligung der Nutzer*innen erfolgten. Betroffene könnten daher Anspruch auf Schadenersatz haben. Die Erfolgsaussichten stehen dabei gut, da bezüglich des Datenlecks bei Facebook schon zahlreiche Gerichte Schadenersatz den Betroffenen zugesprochen haben.

„Bei Verstößen gegen die DSGVO haben die Betroffenen Anspruch auf Schadenersatz. Auch wenn kein materieller Schaden eingetreten ist, so besteht in der Regel ein Anspruch auf immateriellen Schadenersatz.“

István Cocron

Rechtsanwalt und Partner

So prüfen wir auch Ihre Ansprüche auf Schadensersatz von Bonify

Füllen Sie das unten­stehen­de Kontakt­formular aus, um unsere kostenfreie Erstberatung in Anspruch zu nehmen.

Kein Kostenrisiko dank Recht­schutz­versicherung: Sie haben eine Rechtsschutzversicherung? Diese übernimmt im Falle einer Klage in der Regel alle anstehenden Kosten. Gerne prüfen wir kostenfrei die Eintrittspflicht Ihrer Rechtsschutzversicherung.