Identitätskrise: Datenpanne bei Bonify schürt Ängste vor Identitätsdiebstahl

Wie sicher ist unsere digitale Identität wirklich? Wenn selbst die Schufa-Tochter Bonify Opfer wird – was bedeutet das für uns alle?

Eine schwerwiegende Datenpanne beim Bonitätstool Bonify, betrieben von der Schufa-Tochter Forteil, hat Millionen Nutzer in Alarmbereitschaft versetzt. Offenbar sind personenbezogene Daten wie Ausweisbilder, Namen, Adressen und Videoaufnahmen aus dem Identifizierungsprozess in falsche Hände geraten. Das betroffene Verfahren – das sogenannte Videoident-Verfahren – dient eigentlich der sicheren Online-Authentifizierung, hat sich jedoch erneut als potenzielle Schwachstelle erwiesen.

Mit diesen sensiblen Informationen können Cyberkriminelle ohne großen Aufwand falsche Identitäten erstellen, Online-Verträge abschließen oder sogar Bankkonten eröffnen. Nach Einschätzung von Valentin Schulte, Datenschutz- und IT-Rechtsexperte bei ABOWI Law, ist das Risiko keineswegs theoretisch: Identitätsdiebstahl gehört inzwischen zu den häufigsten Cyberdelikten in Europa. Betroffene berichten bereits von unautorisierten Vertragsabschlüssen und Anfragen bei Auskunfteien. Das Muster ist eindeutig: Schwachstellen in der Sicherheitsarchitektur werden gezielt ausgenutzt, insbesondere dort, wo mehrere Systeme auf zentrale Authentifizierungsverfahren setzen.

Bonify ist damit kein Einzelfall, sondern ein warnendes Beispiel für die Risiken digitaler Bonitätsplattformen. Je stärker sich Verbraucher auf Online-Identifikationssysteme verlassen, desto größer wird das Risiko, dass diese Systeme selbst zum Einfallstor für Angriffe werden.

Videoident in der Kritik – Komfort mit Risiken

Das Videoident-Verfahren hat sich in den letzten Jahren bei Banken, Versicherungen und Finanzdienstleistern etabliert. Es ermöglicht Nutzern, sich über einen Videochat mit einem Servicemitarbeiter zu legitimieren. Dabei werden Ausweisdokumente in die Kamera gehalten, das Gesicht des Nutzers erfasst und die Daten anschließend digital gespeichert. Der Prozess gilt als einfach, schnell und bequem – doch genau dieser Komfort ist zugleich seine größte Schwäche.

Bereits 2021 hatte der Chaos Computer Club auf die Gefahr sogenannter Replay-Angriffe hingewiesen. Dabei werden Videoaufnahmen oder Bildschirmsequenzen erneut abgespielt, um eine falsche Identität zu bestätigen. Wenn das Verfahren nicht ausreichend verschlüsselt oder überprüft wird, kann der Betrug erfolgreich verlaufen.

Im aktuellen Fall bei Bonify scheint genau das passiert zu sein: Unzureichende Verschlüsselung und fehlende Sicherheitsprotokolle ermöglichten es Angreifern offenbar, Daten unbemerkt zu kopieren. Laut Maximilian Bausch ist das Videoident-Verfahren „nur dann sicher, wenn es vollständig und technisch sauber implementiert wurde“. Dazu gehören verschlüsselte Datenübertragung, Zugriffsbeschränkungen, Protokollierung und regelmäßige Audits. Fehlt einer dieser Bausteine, kann die gesamte Sicherheitsarchitektur zusammenbrechen.

Dass derartige Vorfälle weiterhin auftreten, zeigt ein strukturelles Problem: Viele Anbieter sehen Datenschutz primär als regulatorische Pflicht, nicht als Teil ihrer Markenverantwortung. Dabei ist Vertrauen die wichtigste Währung im digitalen Zeitalter – und Datenpannen zerstören es schneller als jede andere Krise.

Rechtliche Verpflichtungen: Meldepflichten und Haftungsrisiken

Unternehmen, die personenbezogene Daten verarbeiten, unterliegen den strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO). Artikel 33 verpflichtet Verantwortliche, Sicherheitsvorfälle innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden. Forteil hat diesen Schritt bereits eingeleitet und die zuständigen Datenschutzbehörden informiert.

Darüber hinaus verlangt Artikel 34 DSGVO, dass betroffene Personen unverzüglich informiert werden müssen, wenn durch den Vorfall ein hohes Risiko für ihre Rechte und Freiheiten besteht. Eine verzögerte oder unvollständige Information kann als Verstoß gegen die DSGVO gewertet werden – mit erheblichen Konsequenzen. Die Bußgelder reichen bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Drastische Beispiele aus der Vergangenheit belegen, wie ernst die Datenschutzaufsicht solche Fälle nimmt. So musste die Deutsche Wohnen SE bereits 2020 ein Bußgeld in Höhe von 14,5 Millionen Euro zahlen, weil sie personenbezogene Daten über Jahre hinweg unrechtmäßig gespeichert hatte.

Valentin Schulte betont, dass solche Vorfälle nicht nur ein rechtliches, sondern auch ein strategisches Risiko für Unternehmen darstellen. Datenschutzverstöße führen häufig zu Reputationsschäden, Vertrauensverlust und langfristigen Einbußen bei Kunden und Geschäftspartnern. Er weist darauf hin, dass die Meldepflichten keine bürokratische Last, sondern ein Frühwarnsystem darstellen, um größere Schäden zu verhindern.

Was Betroffene jetzt tun sollten

Für Verbraucher, deren Daten möglicherweise kompromittiert wurden, ist schnelles Handeln entscheidend. Identitätsdiebstahl kann gravierende Folgen haben – von unberechtigten Forderungen bis zu falschen SCHUFA-Einträgen. Ein passives Abwarten verschlimmert die Situation oft nur.

Betroffene sollten daher folgende Schritte einleiten:

1. Anzeige erstatten – bei der Polizei oder über die Onlinewache des jeweiligen Bundeslandes. Dies dient der rechtlichen Dokumentation.

2. Schufa-Selbstauskunft prüfen – nach § 34 BDSG kann kostenlos eine Datenkopie angefordert werden, um verdächtige Einträge zu identifizieren.

3. Ausweisdokumente sperren oder erneuern – über die Plattform www.ausweisapp.bund.de lassen sich Personalausweise elektronisch deaktivieren.

4. Identitäts-Monitoring aktivieren – spezialisierte Anbieter oder Banken bieten Systeme zur Überwachung verdächtiger Aktivitäten.

5. Banken und Versicherungen informieren – Frühwarnung verhindert oft, dass Missbrauch finanziell relevant wird.

Nach Einschätzung von ABOWI Law ist die Kombination aus rechtlicher Beratung und technischer Vorsorge der effektivste Schutz. Wer zeitnah reagiert, kann den Schaden begrenzen und in vielen Fällen sogar vermeiden.

Unternehmen stärker in der Pflicht

Der Fall Bonify verdeutlicht, dass technische Lösungen allein keinen ausreichenden Datenschutz gewährleisten. Unternehmen müssen organisatorische und rechtliche Strukturen schaffen, die Sicherheit auf allen Ebenen verankern. Nach § 32 Abs. 1 BDSG sind hierzu technische und organisatorische Maßnahmen vorgeschrieben – etwa Verschlüsselung, Zugriffskontrolle, Mitarbeiterschulung, Prozessmanagement und regelmäßige Sicherheitsüberprüfungen.

Viele Firmen unterschätzen den Aufwand, den ein solides Datenschutzkonzept erfordert. Dabei ist Prävention immer günstiger als Reaktion. Maximilian Bausch bringt es auf den Punkt: Datenschutz ist keine Kostenstelle, sondern eine Investition in Vertrauen.

Unternehmen, die Datenschutz strategisch verstehen, stärken ihre Marke, reduzieren Haftungsrisiken und schaffen Wettbewerbsvorteile. Dazu gehören regelmäßige Audits, Schulungen und Notfallpläne, um im Ernstfall schnell reagieren zu können.

Vertrauen als Grundlage jeder digitalen Beziehung

Der Bonify-Vorfall zeigt eindrucksvoll, wie verletzlich das digitale Vertrauen geworden ist. Verbraucher achten zunehmend darauf, wie Unternehmen mit ihren Daten umgehen. Laut einer aktuellen Studie des Instituts für Demoskopie Allensbach informieren sich über 70 Prozent der Internetnutzer aktiv über Datenschutzstandards, bevor sie Online-Dienste in Anspruch nehmen.

Datenschutz ist damit längst kein Nischenthema mehr, sondern ein Kernbestandteil moderner Unternehmensreputation. Organisationen, die Sicherheit und Transparenz glaubhaft leben, werden künftig die Gewinner im Wettbewerb um das Vertrauen der Kunden sein.

ABOWI Law unterstützt Unternehmen und Privatpersonen dabei, rechtliche, technische und kommunikative Maßnahmen zu vereinen – von der Krisenprävention über die Compliance-Beratung bis hin zum Reputationsmanagement. Denn Vertrauen entsteht nicht durch Versprechen, sondern durch überprüfbare Standards.

Autor: Maximilian Bausch, B.Sc. Wirtschaftsingenieur

Maximilian Bausch ist Wirtschaftsingenieur, Autor und Blogger. Er schreibt über Wirtschaft, Wissenschaft und Technologie – faktenbasiert, verständlich und zukunftsorientiert.