Facebook: 277 Mio. Dollar DSGVO-Strafe wegen Scraping-Bots

Am 28. November verhängte die irische Datenschutzbehörde, die Data Protection Commission (DPC), gegen die Facebook-Muttergesellschaft Meta eine Geldstrafe in Höhe von 277 Millionen Dollar wegen zweier Verstöße gegen die Datenschutzgrundverordnung (DSGVO).

Angreifer konnten über einen längeren Zeitraum mittels einer Sicherheitslücke die Daten von mehr als 533 Millionen Usern abgreifen.

Dies ist die vierte Strafe, die die Behörde gegen Meta verhängt hat. Insgesamt hat die DPC dem Unternehmen eine Geldstrafe von mittlerweile knapp 1 Milliarde Dollar auferlegt.

Was ist passiert?

Im April 2021 wurde in einem Hackerforum ein Datensatz von mehr als 533 Millionen Facebook Usern veröffentlicht, der zahlreiche personenbezogene Daten beinhaltete.

Die offengelegten Daten umfassen die personenbezogenen Informationen von Facebook Usern aus 106 Ländern, darunter 32 Millionen aus den USA und 11 Millionen aus Großbritannien. Der Datensatz beinhaltete u.a. die Mobilfunknummer, die Facebook ID, Name, Geburtstag und in manchen Fällen auch die E-Mail-Adresse.

Böswillige Angreifer konnten über einen längeren Zeitraum in den Jahren 2018 und 2019 die User-Daten automatisiert über eine Schwachstelle im Kontaktimport-Tool abgreifen. Facebook gab an, die Sicherheitslücke behoben zu haben und möchte explizit betonen, dass es sich um keinen Hack der Plattform handelt, sondern um sog. “Scraping” öffentlich zugänglicher APIs.

Mit Inkrafttreten der DSGVO im Mai 2018 untersuchte die irische Datenschutzbehörde verschiedene Tools von Facebook, darunter die Facebook Suche und den Kontaktimport in Facebook und Instagram. Das Ergebnis der Untersuchung stellte Mängel in der Technikgestaltung (Privacy by design – Artikel 25 (1) DSGVO) und hinsichtlich datenschutzfreundlicher Voreinstellungen (Privacy by default – Artikel 25 (2) DSGVO) fest. Laut DPC hat Facebook es versäumt, seine Produkte so zu gestalten, dass sie Scraping-Angriffe verhindern.

Die DPC hat dem Mutterkonzern Meta zusätzlich zur Geldstrafe noch eine dreimonatige Frist auferlegt, innerhalb derer der Konzern eine Reihe von Maßnahmen ergreifen muss, um die Verarbeitung personenbezogener Daten mit den Vorschriften der DSGVO in Einklang zu bringen.