Das Profil des modernen Datendiebs

In Deutschland hat sich definitiv ein neuer Berufsstand etabliert: der staatlich geprüfte Datendieb. Sein Profil: Bankmitarbeiter, oftmals in der IT-Abteilung, stets von zweifelhaftem Charakter und geldgierig aus Prinzip. Im jüngsten Fall will einer aus dieser Zunft 2,5 Millionen Euro dafür kassieren, dass er den deutschen Steuerfahndern eine CD mit Bankdaten von 1500 angeblichen deutschen Steuersündern aushändigt. Hundert Millionen Euro Steuergelder, rechnet der Fiskus, könnten aus diesen Steuerdaten herausgepresst werden. Angesichts dieser Grössenordnung erscheint Fahndern und Politikern nördlich des Rheins ein Preis von 2,5 Prozent des zu erwartenden Jackpots wohl ein gutes Geschäft.

Mehr zum Thema: Dossier «Bankgeheimnis / Steuerstreit»

«Im Prinzip», meinte Deutschlands Finanzminister Wolfgang Schäuble denn auch vergangenen Montag, «ist die Entscheidung gefallen.» Und die sonst so zögerliche Kanzlerin meinte vor der Presse in Berlin: «Wir wollen diese Daten.» Datendiebe, so viel scheint klar, haben in Zukunft Konjunktur, und es ist nur zu hoffen, dass der so leicht verdiente Batzen ordentlich versteuert wird.

Mit dem Kauf, lässt sich folgern, macht sich Deutschland zum Hehler. Unter Hehlerei ist eine sogenannte Anschluss-Straftat an ein bereits zuvor begangenes Vermögensdelikt, etwa einen Diebstahl, zu verstehen. In Deutschland ist bereits der Versuch der Hehlerei strafbar, wie auch die Hehlerei selbst.

Wie aber, ist die Frage, kann sich das Opfer – in diesem Fall eine Schweizer Bank – gegen den von ausländischen Regierungen hofierten Berufsstand der Datenklauer zur Wehr setzen? Die beunruhigende Nachricht ist: Gar nicht. Das zeigt der Fall des Heinrich Kieber. Der Liechtensteiner hatte im Jahre 2008 dem deutschen Fiskus die geklauten Daten von 1400 Steuersündern übergeben und dafür knapp fünf Millionen Euro kassiert, abzüglich einer zehnprozentigen Pauschalsteuer für sogenannte Informantenhonorare. Der Fall Kieber hatte damals in Deutschland zu einer landesweiten Debatte über die Verwendung von gestohlenen Bankdaten geführt, und Bundeskanzlerin Merkel fand die Situation «schwierig und bedrückend». Heute hat sie jegliche Skrupel gegenüber der Verwendung von Diebesgut abgelegt und beruft sich im aktuellen Fall gar auf die Rechtmässigkeit des damaligen Vorgehens. Vielleicht auch, weil der Kauf illegal erworbener Daten dem deutschen Fiskus damals nicht nur einige Millionen Euro in die klammen Kassen gespült, sondern auch zur mediengerecht inszenierten Verhaftung von Klaus Zumwinkel, dem damaligen Chef der Deutschen Post, geführt hatte – er war der Steuerhinterziehung im grossen Stil überführt worden. Auslöser war ebendieser Kieber gewesen, «ein hochintelligenter, herausragender Computerspezialist», wie das Nachrichtenmagazin Spiegel schrieb, «ein unauffälliger Mensch», bei der Fürstenbank LGT damit betraut, Papierdokumente zu digitalisieren. Das ist das Profil des modernen Datenklauers: unauffällig, intelligent, oft IT-Spezialist, mit einem privilegierten Zugang zu Bankdaten ausgestattet, und nach getaner Arbeit verschwindet er so lautlos, wie er aufgetaucht war. Kieber kopierte die Datensammlung auf einen elektronischen Träger und verkaufte diesen dem deutschen Staat, dieser revanchierte sich neben einem ansehnlichen Honorar mit einer Aufnahme in das Zeugenschutzprogramm des Bundeskriminalamtes (BKA). Dem Täter verhalf dies zu einer neuen Identität, dem Opfer nahm es jede Chance auf Wiedergutmachung. Seit 2008 fahndet die Liechtensteiner Polizei per internationalen Haftbefehl nach Kieber – bislang ohne Erfolg.

Dies ist die Blaupause für Nachahmungstäter. Etwa der Franzose Hervé Falciani, Informatiker auch er, 37 Jahre jung, und auch er hatte bei seinem Arbeitgeber einen privilegierten Zugang zu Bankdaten. Bei der Genfer Filiale der HSBC Private Bank kopierte der Mann 130 000 Daten auf seinen Laptop. Im Dezember 2008 machte er sich mit seinem Schatz aus dem Staub und versuchte diesen gewinnbringend zu verhökern. Strafverfolgung muss er in seinem Heimatland keine fürchten. Die französische Polizei hat Falciani längst mit einer neuen Identität ausgestattet.

Gegen diese von Regierungen wie der deutschen angeheizte Datenkriminalität sind Banken nahezu machtlos. Zwar unterhalten sie ausgeklügelte Sicherheitssysteme mit Zugangssperren für Unbefugte oder Kopierschutz bei Bankdaten oder gar Gesichtsscannern bei den fortschrittlichsten Geldinstituten. Jeder Banker beeilt sich, zu sagen, bei seiner Bank sei die Datensicherheit gewährleistet. Die Realität ist eine andere. Die Angst vor Datenlecks ist immer da, und sie hat zugenommen in der Branche, seit Steuerfahnder Datenklauer mit schnell verdienten Millionen locken.
Gegen die kriminelle Energie ist kein Geldinstitut gefeit, und auch die Finanzmarktaufsicht (Finma) ist an diesem Punkt ein zahnloser Tiger. Die Berner Beamten prüfen zwar nach jedem Vorfall, ob Sicherheitsmängel bestehen. Doch das Resultat ist meist das gleiche: Keine Mängel, und das ist nicht einmal weiter erstaunlich. Die Aufsicht beurteilt in Form eines Checks lediglich, ob nach einem Vorfall – etwa einem Datenklau – Vorschriften im Organisationsreglement einer Bank verletzt worden sind. Die eigentliche Verantwortung für die Datensicherheit liegt bei der Bank.
So bleibt der Datenklauer oft unentdeckt, bis er sein Diebesgut auf dem globalen Markt der Steuerwettbewerber feilbietet. Der Faktor Mensch ist, wie so oft, das eigentliche Sicherheitsrisiko.

Bankgeheimnis gegen Datenklauer

Das ist keineswegs eine moderne Erkenntnis. Sie stand bereits Pate bei der Erfindung des Schweizer Bankgeheimnisses, welches am 1. März 1935 in Kraft getreten war. Im damals formulierten Artikel 47 des «Schweizer Bundesgesetzes über die Banken und Sparkassen» hiess es: «Wer ein Geheimnis offenbart, das ihm in seiner Eigenschaft als Angestellter einer Bank anvertraut worden ist, wer zu einer solchen Verletzung des Berufsgeheimnisses zu verleiten sucht, wird mit Gefängnis oder Busse bestraft.» Anlass für diese Gesetzesnovelle waren damals 2000 Datensätze gewesen, die französische Steuerfahnder Schweizer Bankiers abgeknöpft hatten. Ein Skandal war das damals gewesen in der Hautevolee von Paris, fanden sich doch unter den Sündern Bischöfe, Generäle, Grossindustrielle, Politiker, sogar ein ehemaliger Innenminister. Das Schweizer Bankgeheimnis – wurde nach diesem Vorfall installiert, um einen Datenmissbrauch durch Bankangestellte in Zukunft zu verhindern.

Den Datenklauer gibt es immer noch, und er ist aktiver denn je. Dies lässt den Schluss zu, dass das Bankgeheimnis in seiner ursprünglichen Form und Absicht aktueller ist denn je. Und als Reminiszenz an die Geschichte gilt es festzuhalten, dass das Gesetzeswerk aus der Vorkriegszeit auch die Anstiftung zur Verletzung des Bankgeheimnisses unter Buss- oder Gefängnisstrafe stellt. Man kann argumentieren: Wer Datenklauern ihre Ware abkauft, macht sich nach Schweizer Recht strafbar.