Instock ueber net.IPO (24.3.) - 500 Beiträge pro Seite

[fief]

"Ein Bearbeitungsfehler eines Mitarbeiters bei einer Lieferungsliste. Die Liste war für wenige Minuten an einem Ort, wo sie nicht hingehört hat." So kommentierte das Emissionshaus net.IPO am Freitag, 24. März, gegenüber Instock die Vorgänge, die Ende vergangener Woche einigen Staub aufwirbelten in der Börsenwelt. Man sei der Sache nachgegangen und habe inzwischen feststellen können, was tatsächlich passiert sei und wie es dazu kam. Diese zweite Stellungsnahme ließ eine Woche auf sich warten. Erst auf mehrmaliges Nachfassen von Instock sah sich net.IPO dazu veranlasst.

Freitag, 17. März, früher Nachmittag: Helle Aufregung in den Online-Chat-Boards. Ein Internet-User will beim Surfen auf der Web-Site von net.IPO auf vertrauliche Kundendaten gestoßen sein. Er veröffentlicht das sofort via Internet, gibt bekannt, dass er einen Teil der Daten heruntergeladen hat. Nur wenige Minuten sollen sie einsehbar gewesen sein.

Der Chatter spricht von Kundennamen, Kontonummern, Zuteilungsdaten von mehreren Neuemissionen, die für jedermann einsehbar waren. "Nix mit Datenschutz - Pustekuchen!" Empörte Kommentare in den Boards lassen nicht lange auf sich warten. Von sofortiger Kontenkündigung bei net.IPO ist die Rede; Klagen gegen das Emissionshaus werden angedroht; ein desaströser Image-Schaden prognostiziert.
Stellungnahmen
Mit einer ersten, widersprüchlichen Stellungnahme war net.IPO bereits am Freitag zur Hand. Darin heißt es, dass "zu keinem Zeitpunkt eine unberechtigte Zugriffsmöglichkeit auf vertraulichen Daten der net.IPO-Kunden" bestand. Zugegeben wurde andererseits, dass es "während eines wenige Minuten dauernden Übermittlungsvorganges zu einer unberechtigten Zugriffsmöglichkeit auf ein offiziell nicht zugängliches Rechner-System" gekommen sei. Bei diesem "unautorisierten Zugriff" hätten "nicht-identifizierte Personen die Lieferungsdateien aus einer laufenden Emission" entwendet.

Diese Liste, heißt es nun ergänzend, sei durch besagten Bearbeitungsfehler eines Mitarbeiters über das Internet einsehbar gewesen. Und zwar, indem "ein falsches System genutzt wurde". Inzwischen habe man die Kontrollmechanismen so verschärft, dass so etwas nicht mehr passieren könne. "Das Sicherheitssystem von net.IPO war zu keinem Zeitpunkt betroffen gewesen." Unautorisierte Zugriffe auf Depots, Konten oder Kunden-Accounts seien nicht möglich. Bei den kurzzeitig einsehbaren Daten habe es sich lediglich um ein "Avis zur Aktienlieferung an die Banken" gehandelt. Die Angaben darauf hätten nicht anders ausgesehen als auf einem "normalen Überweisungsträger".

Auch einen Image-Schaden befürchtet das Emissionshaus nicht. Am Wochenende nach dem fraglichen Freitag habe es etwa 3700 Neuanmeldungen gegeben, heißt es. Dem stünden rund 25 Abmeldungen gegenüber. "Das ist die normale Fluktuation und nichts Bemerkenswertes." Und was ist mit der Liste, die heruntergeladen wurde? "Die Personen, die behaupten, dass sie diese Liste haben, sind uns bekannt. Das ist ein sehr, sehr kleiner Kreis. Wir haben mit diesen Leuten Kontakt, setzen uns mit ihnen auseinander." Detaillierter wollte sich net.IPO dazu nicht äußern.
Aufsichtsämter prüfen
Wie Instock recherchierte, beschäftigen sich inzwischen die Aufsichtsämter mit dem Fall. Das Bundesaufsichtsamt für den Wertpapierhandel (BaWe) hat "eine Reihe von Beschwerden zu net.IPO vorliegen", so ein Sprecher. Der größere Teil beziehe sich auf die Erreichbarkeit der Emissionsbank, der Rest auf den Vorfall vom Freitag.

Beim Bawe läuft nun die Sachverhaltsermittlung. Zu prüfen ist, ob das Unternehmen "im Einklang mit den Verhaltensregeln und Organisationspflichten" agiere, die das Wertpapierhandelsgesetz festlegt, erklärte der Sprecher. Bei Verdacht eines Verstoßes könnten die Prüfer unangemeldet bei net.IPO vorstellig werden und sich alle nötigen Unterlagen vorlegen lassen. Erhärte sich daraufhin der Verdacht, würden die Ermittlungsergebnisse an das zuständige Bundesaufsichtamt für das Kreditwesen (BAKred) weitergeleitet.

Auch dort laufe bereits die "Bewertung des Sachverhaltes", sagte eine Sprecherin. Dabei könne man sich weder auf die Äußerungen in den Chat-Rooms noch auf die erste Pressemitteilung von net.IPO verlassen, betonte sie. Bei der laufenden Prüfung habe das betroffene Unternehmen eine "weitgehende Auskunftspflicht". Die Ergebnisse dürfe das BAKred der Öffentlichkeit jedoch nicht mitteilen. Schweigepflicht beim Einzelfall.

Das prinzipielle Vorgehen des BAKred bei Fällen dieser Art beschrieb die Sprecherin so: Zunächst müssten alle Aussagen verifiziert werden, und zwar im Hinblick auf die Frage, inwieweit ein Verstoß gegen die "Grundsätze ordungsgemäßer Geschäftsführung" vorliege. Wichtig in diesem Zusammenhang: Was war zu sehen? Warum war es zu sehen? War es ein Organisationsverschulden, oder hat ein einzelner Mitarbeiter einen Fehler gemacht? Und wie stellt das Unternehmen sicher, dass so etwas nicht noch einmal passiert? Letztere Frage verfolgt das BAKred weiter und läßt sich die getroffenen Maßnahmen später von einem Wirtschaftsprüfer bestätigen.
Mögliche Konsequenzen
Mögliche aufsichtsrechtliche Folgen für das Unternehmen müssten der Schwere des Verstoßes angemessen sein, erläuterte die Sprecherin. Die Spanne reiche dabei vom Gebot der Mängelbeseitigung über Mahnung und Verwarnung bis hin zur Abberufung der Geschäftsleitung. "Ultima ratio" sei der Entzug der Geschäftserlaubnis. "Bei dem noch nicht voll geklärten Sachverhalt steht eine derartige Maßnahme zur Zeit jedoch nicht zur Debatte", betonte sie.

Zu etwaigen zivil- oder strafrechtlichen Konsequenzen für net.IPO nahm weder das BaWe noch das BaKred Stellung. Beide Ämter sind nur aufsichtsrechtlich zuständig.

[isaaacc]

hallo, lawyer, hat dich jemand kontaktiert?
mich nicht. mich wundert immer noch, wie schnell das ganze versandet ist. die drohgebärden von netipo waren jedenfalls völlig fehl am platz.
finde dein vorgehen immer noch richtig!!!
wenn auf sicherheitslücken nicht öffentlich hingewiesen wird, aendert sich auch nichts.
bin auch immer noch und gerne netipo kunde, obwohl auch meine daten "veröffentlicht" wurden.
die sache mit dem hacker-angriff war dagegen ein echter witz-mich wundert nur, dass nicht mehr an presseecho erfolgte.
wie seht ihr das?