Das französische Amt für Einwanderung und Integration (Office français de l’immigration et de l’intégration, OFII) bestätigte am 5. Januar, dass ein Subunternehmer, der die Datenbank für den Integrationsvertrag (CIR) verwaltet, gehackt wurde und persönliche Daten von ausländischen Bewohnern online geleakt wurden. Der Hacker veröffentlichte am 1. Januar Musterdateien in einem kriminellen Forum und behauptet, Informationen von bis zu 2 Millionen Personen zu besitzen, obwohl das OFII angibt, dass der erste Datenabzug „weniger als 1.000“ Personen betrifft. Namen, Telefonnummern, Geburtsdaten, Nationalitäten und Aufenthaltsgründe – alles hochsensible Daten – waren in der geleakten Tabelle enthalten.
Der Generaldirektor des OFII, Didier Leschi, betont, dass die eigenen Informationssysteme der Behörde nicht kompromittiert wurden; die Sicherheitslücke entstand bei einem privaten Schulungsanbieter, der Sprach- und Staatsbürgerkundekurse für langfristige Aufenthalte verwaltet. Rechtsexperten weisen jedoch darauf hin, dass das OFII als Datenverantwortlicher haftet und bei unzureichender Kontrolle der Sicherheitsmaßnahmen Dritter erhebliche Strafen nach der EU-Datenschutzgrundverordnung (DSGVO) drohen.
![Cyberangriff auf französische Einwanderungsbehörde legt persönliche Daten ausländischer Bewohner offen]()
Für Arbeitgeber wirft der Vorfall sofortige Sorgfaltspflichten auf. Multinationale Unternehmen verlassen sich häufig auf OFII-Daten bei der Organisation von Aufenthaltsverlängerungen und Familienzusammenführungen. Personalabteilungen sollten Entsandte und lokale Mitarbeiter dazu anhalten, ihre Kreditberichte zu überwachen und E-Mail- sowie Telefonnummern zu ändern, die nun möglicherweise im Dark Web kursieren. Auch Fachanwälte für Einwanderungsrecht empfehlen, in Dienstleistungsverträgen mit Anbietern, die Mitarbeiterdokumente verwalten, eine Klausel zum Datenschutzvorfall sowie Nachweise über Verschlüsselungsstandards aufzunehmen.
Langfristig dürfte der Vorfall die digitale Souveränitätsstrategie Frankreichs beschleunigen. Das Innenministerium hat bereits 220 Millionen Euro für die Modernisierung des Online-Immigrationsportals ANEF bereitgestellt und plant, bis 2027 kritische Datensätze in einer souveränen Cloud zu hosten. Der Digitalausschuss des Parlaments hat sowohl das OFII als auch den Subunternehmer zu einer Anhörung in der kommenden Woche geladen, was auf eine verstärkte Kontrolle der öffentlichen Beschaffung im Mobilitätsbereich hinweist.
Letztlich zeigt die Sicherheitslücke, wie verwundbar Einwanderungsprozesse in Zeiten von Fernbearbeitung und ausgelagerten Integrationsdiensten geworden sind. Unternehmen sollten den OFII-Fall als Anlass nehmen, ihre eigenen Dokumentenaustauschpraktiken zu überprüfen und mobile Mitarbeiter über Maßnahmen zum Schutz ihrer Identitätsdaten in Frankreich zu informieren.
Der Generaldirektor des OFII, Didier Leschi, betont, dass die eigenen Informationssysteme der Behörde nicht kompromittiert wurden; die Sicherheitslücke entstand bei einem privaten Schulungsanbieter, der Sprach- und Staatsbürgerkundekurse für langfristige Aufenthalte verwaltet. Rechtsexperten weisen jedoch darauf hin, dass das OFII als Datenverantwortlicher haftet und bei unzureichender Kontrolle der Sicherheitsmaßnahmen Dritter erhebliche Strafen nach der EU-Datenschutzgrundverordnung (DSGVO) drohen.
Für Arbeitgeber wirft der Vorfall sofortige Sorgfaltspflichten auf. Multinationale Unternehmen verlassen sich häufig auf OFII-Daten bei der Organisation von Aufenthaltsverlängerungen und Familienzusammenführungen. Personalabteilungen sollten Entsandte und lokale Mitarbeiter dazu anhalten, ihre Kreditberichte zu überwachen und E-Mail- sowie Telefonnummern zu ändern, die nun möglicherweise im Dark Web kursieren. Auch Fachanwälte für Einwanderungsrecht empfehlen, in Dienstleistungsverträgen mit Anbietern, die Mitarbeiterdokumente verwalten, eine Klausel zum Datenschutzvorfall sowie Nachweise über Verschlüsselungsstandards aufzunehmen.
Langfristig dürfte der Vorfall die digitale Souveränitätsstrategie Frankreichs beschleunigen. Das Innenministerium hat bereits 220 Millionen Euro für die Modernisierung des Online-Immigrationsportals ANEF bereitgestellt und plant, bis 2027 kritische Datensätze in einer souveränen Cloud zu hosten. Der Digitalausschuss des Parlaments hat sowohl das OFII als auch den Subunternehmer zu einer Anhörung in der kommenden Woche geladen, was auf eine verstärkte Kontrolle der öffentlichen Beschaffung im Mobilitätsbereich hinweist.
Letztlich zeigt die Sicherheitslücke, wie verwundbar Einwanderungsprozesse in Zeiten von Fernbearbeitung und ausgelagerten Integrationsdiensten geworden sind. Unternehmen sollten den OFII-Fall als Anlass nehmen, ihre eigenen Dokumentenaustauschpraktiken zu überprüfen und mobile Mitarbeiter über Maßnahmen zum Schutz ihrer Identitätsdaten in Frankreich zu informieren.
Quelle: Le Monde / L’Usine Digitale
