Spaniens Steuerbehörde leakt Finanz- und Bankdaten

Agencia Tributaria versendet falsche Steuer- und Bankdaten

Was passiert, wenn Ihre Steuerdaten, Ihr Bankkonto und Ihr Vermögen im Postfach eines Fremden landen? Dann sind sie nicht mehr privat. Die spanische Steuerbehörde (Agencia Tributaria) hat verschiedenen Steuerpflichtigen telematische Mitteilungen mit Dateien geschickt, die Informationen über andere Personen enthielten – darunter Adressen und Bankkontonummern. Die Behörde hat den Vorfall als „geringfügigen Fehler“ abgetan. Die Sendung erreichte nicht den eigentlichen Empfänger, sondern einen anderen.

Es hilft wenig zu wissen, dass kein externer Angriff stattgefunden hat, wenn das Ergebnis dasselbe ist: Steuer- und Vermögensdaten zirkulieren in den Händen von Menschen, die sie nicht haben sollten. Wer Bitcoin, Gold oder registrierte Vermögenswerte deklariert hat, steht nun vor einem neuen Problem.

War es ein Hack oder ein Versandfehler?

Es gab keine digitale Einbruchsspur. Es war eine Kombination aus fehlerhafter Korrespondenz: Den telematischen Sendungen wurden Dateien mit Daten Dritter beigefügt. Das Design der Datei erschwerte die Lesbarkeit auf den ersten Blick – reiner Text ohne Formatierung –, doch öffnet man sie mit einem anderen Editor als dem Windows-Notepad, erscheinen die Daten geordnet und perfekt lesbar. Sie waren nicht verschlüsselt. Nur unübersichtlich angehäuft.

Die beste Analogie ist analog. Es ist so, als würde man Kopien von Briefen an Ihre Nachbarn verteilen, weil die Textverarbeitung die Zuordnung falsch gemacht hat. Es ist kein Diebstahl im Postlager: Das Material kam aus dem Inneren, geschützt durch ein System, das niemand überprüft hat. Wie ein Teilnehmer zusammenfasste, ist das Kriterium einfach: Ein IT-Fehler ist entweder schwerwiegend oder nicht, und das hängt von der Natur der offengelegten Daten ab. Eine Liste von Adressen und Konten ist kein kleiner Zwischenfall.

Der Fall des Rathauses von Sevilla: Die DNI als Master-Key

Der staatliche Leak reiht sich in einen weiteren Vorfall ein, der auf dieselbe Sicherheitslücke hinwies. Im virtuellen Büro der lokalen Steuerbehörde von Sevilla (nicht der nationalen Agencia Tributaria) reichte es, die Ausweisnummer (DNI) eines beliebigen Bürgers einzugeben, ohne weitere Sicherheitsprüfung wie ein digitales Zertifikat, um Adresse, Bankkontonummer und offene Bußgelder einzusehen. Kein Passwort. Kein zweiter Faktor. Ein öffentlicher Identifikator funktionierte als Systemschlüssel.

Hier liegt die Paradoxie, die viele betonten: Das digitale Zertifikat, dessen Installation für Bürger manchmal umständlich ist, ist genau die Barriere, die verhindert, dass jeder die Akte jedes anderen einsehen kann. Wenn es durch die DNI ersetzt wird, verschwindet der Schutz.

Warum sind deklarierte Bitcoin-Daten am besorgniserregendsten?

Weil ein Kontostand oder Gehalt nachverfolgbar sind, aber Bitcoin eine andere Eigenschaft hat: Er identifiziert einen konkreten Inhaber und sein Vermögen. Wer ihn bei der Hacienda deklariert hat, ist nicht mehr anonym. Die Daten zeigen, wer ihn besitzt, wie viel und – da die Adresse im selben Paket enthalten war – wo der Eigentümer lebt. Mit Gold verhält es sich ähnlich: Wenn es deklariert ist, ist es lokalisierbar, und ein physischer Vermögenswert kann aufgesucht werden.

Die Diskussion wandte sich schnell der Zukunft zu. Wenn ein solcher Fehler mit den aktuellen Datenbanken passiert, was wäre, wenn das zentrale digitale Geld der Banken eingeführt wird? Der Vorfall wurde als Warnung vor der Infrastruktur gelesen, die dieses System schützen würde, ohne abschließende Schlussfolgerung.

Von 1977 bis 1981: Als die Einkommen der Spanier öffentlich waren

Das ist bereits passiert, wie im Thread erinnert wurde. Zwischen 1977 und 1978 waren die Steuererklärungen aller Spanier öffentlich. In 1979 und 1980 veröffentlichte die Hacienda den Prozentsatz der Einkommensteuer (IRPF), den jeder Bürger zahlte: Mit dreißig Stufen und fast 70 % im Höchststeuersatz identifizierte der Prozentsatz ziemlich gut, was jeder verdiente. Sehr nützlich, laut einem Teilnehmer, für jeden, der Verhandlungsziele für Lösegeldforderungen auswählen wollte.

Die Intransparenz setzte sich nach der Entführung von Luis Suñer, dem Besitzer von Helados Avidesa, im Januar 1980 durch, begangen von ETA. Damals regierte Adolfo Suárez, im Amt zwischen 1977 und 1982. Im Thread kreuzten sich zwei Versionen über den Grund für die Änderung: Eine beschuldigte die PSOE, die Veröffentlichung der Daten 1981 eingestellt zu haben, während eine andere daran erinnerte, dass die PSOE erst 1982 an die Macht kam und die Rückkehr zur Intransparenz der UCD nach der Entführung zuschrieb. Vermögen und Einkommen sollten geheim sein, argumentiert diese Strömung, und zwar nicht nur gegenüber neugierigen Nachbarn.

Kann man gegen die Hacienda wegen des Leaks klagen?

Die Frage bleibt offen: Kann man Schadensersatz von der Hacienda fordern, weil persönliche Daten, die durch das Datenschutzgesetz geschützt sind, preisgegeben wurden? Im Thread gab es keine abschließende Antwort.

Der wiederkehrende Kontrast besteht darin, dass bei privaten Unternehmen ein Datenleck mit hohen Geldstrafen geahndet wird. Bei der Verwaltung sahen die Teilnehmer keine einzige Strafe, Kündigung oder Rücktritt und fassten es als vollständige Straflosigkeit zusammen. Währenddessen versucht die offizielle Erzählung weiterhin, den Umfang herunterzuspielen: Ein geringer Fehler, sagen sie, obwohl das Paket Adressen und Bankkonten von Personen enthielt, die deren Weitergabe nie autorisiert hatten.

Wenn Sie also Bitcoin deklariert haben, Gold besitzen oder einfach ein Konto mit Guthaben haben, überprüfen Sie Ihre E-Mails. Vielleicht ist der Empfänger Ihrer Bankakte nicht Sie selbst. Aber jemand hat sie, und die Adresse war im selben Paket.