Die PC-Ausstattung der Arbeitsplätze im Landratsamt Coburg erfolgt seit mehreren Jahren über Leasinggeräte.
Die letzte nach den Vorgaben des Vergaberechts durchgeführte Ausschreibung über rd. 250 Geräte erfolgte im Jahr 2017.
Aus dieser Marge traten im Laufe des Jahres 2018 vereinzelt und später im Jahr 2019 vermehrt Probleme mit den verbauten Festplatten auf.
Die Problembehebung (Austausch der Festplatten) fand über die Lieferfirma und die Herstellerfirma statt.
Bei den Austauscharbeiten von SSD-Platten im Juni 2019 ist es, wie sich nun herausstellte, zu einer Datenpanne gekommen.
Dies hat neben internen Maßnahmen unter anderem dazu geführt, dass die Kriminalpolizei nach sofortiger Anzeige durch das LRA Coburg, Ermittlungen aufgenommen hat und auch der Bayerische Landesbeauftragte für den Datenschutz eingeschaltet wurde. Beide Stellen wurden sofort am 18.11.2019 von uns aktiv verständigt. Auch der Datenschutzbeauftragte hat sofort Aufklärungsarbeiten in die Wege geleitet. Die Ermittlungen dauern an.

Was war geschehen?

Beim Auswechseln der defekten Festplatte im LRA Coburg, im Bereich des Zweckverbandes Zulassungsstelle, ist von der Herstellerfirma bzw. deren Mitarbeitern entgegen den vertraglichen Abmachungen, eine Löschung der auf der Platte befindlichen Daten offensichtlich nicht ordnungsgemäß erfolgt, obwohl uns ein Löschzertifikat vorgelegt wurde, das die ordnungsgemäße Löschung nach „Sicherheitsstufe 3 – geeignet für vertrauliches Material" bescheinigt. Im Zertifikat wird versichert, dass die Entsorgung und/oder Löschung der Daten durch eigenes Personal der Firma erfolgt und ein Zugriff Dritter auf die Daten bis zum Zeitpunkt der Löschung nicht möglich gewesen ist.
Einer Fachzeitschrift für Computertechnik ist von einem Privatmann, der eine SSD- Platte im Handel als neuwertig erworben hatte, diese übergeben worden, weil darauf Daten des LRA Coburg (überwiegend aus dem Bereich Zulassungswesen) entdeckt wurden. Wie sich herausstellte, war die SSD-Platte anhand der Seriennummer tatsächlich dem ehemaligen Bestand des LRA Coburg zuzuordnen. Die Platte gehörte dem Kontingent der defekten Platten an und war am 23.06.2019 ausgetauscht worden.
Wie die Platte in den Handel gelangte, ist ungewiss und Gegenstand polizeilicher Ermittlungen.

Aufgrund dieses Sachverhalts wurde unmittelbar nach dem Bekanntwerden (18.11.2019) die Kriminalpolizei Coburg eingeschaltet. Mittlerweile hat die Generalstaatsanwaltschaft Cyberkriminalität Bamberg und die KPI Bamberg den Fall übernommen. Konkrete Ergebnisse sind wegen des laufenden Verfahrens nicht bekannt.
Am gleichen Tag (18.11.2019) wurde der Bayer. Landesdatenschutzbeauftragte des Freistaates Bayern schriftlich informiert. Außerdem ist das Landesamt für Sicherheit in der Informationstechnik (LSI) Nürnberg beteiligt und um Beratung und Hilfestellung gebeten.
Zwischen den Behörden wird seither rege kommuniziert, welche Maßnahmen evtl. einzuleiten und welche Schlüsse aus den bekannt gewordenen Abläufen zu ziehen sind.

Nach momentaner Kenntnis ist davon auszugehen, dass die Daten der SSD nicht in die Öffentlichkeit gelangt sind, da der Käufer der Platte dankenswerterweise sehr umsichtig gehandelt hat und damit dazu beigetragen hat, dass die Daten wieder unter Verschluss bei der Kriminalpolizei Bamberg sind.

Sobald dem LRA Coburg die Daten der SSD-Platte durch die Polizei zugänglich sind, werden wir mögliche Betroffene kontaktieren und die weiteren Maßnahmen ergreifen.

Dies ist der aktuelle Stand der Dinge.

Das Landratsamt Coburg bedauert diesen Vorfall zutiefst. Wir bitten insbesondere die betroffenen Bürger*innen um Entschuldigung für entstandene Unbilden.