Aber nicht so!
Ehrlicherweise gibt es aber auch Vorgänge, die mich in BOFH-Stimmung versetzen. Folgendes etwa: Kurz nach einer größeren Transaktion mit einer Bank erhalte ich per Mail mit korrekter Anrede und Kontext im Namen dieser Bank die Bitte, an einer Umfrage teilzunehmen – allerdings ist weder die Absender-Domain noch die Umfrage-Website im Besitz der Bank.
Ich kontaktiere also die Bank, um auf den potenziellen Scamming/Phishing-Versuch samt potenziellem internen Datenleck hinzuweisen. Ich werde ein wenig herumgereicht und eskaliert, aber selbst auf höheren Support-Rängen ist diese Umfrage unbekannt (obwohl einige laufende Umfragen bekannt sind). Die Gesprächspartner haben aber keine Möglichkeit, mich an die IT-Security oder den Datenschutz zu eskalieren oder bei diesen selbst Meldung zu machen. IMHO ein massiver Organisationsfehler: Was, wenn ich keine Lust dazu habe, noch mal und schriftlich an die IT-Security zu eskalieren? Aber gut, dann mach' ich das auch noch ...
Nach mehr als einer Woche bequemte sich dann mal die Datenschutz-Abteilung, sich mit meiner Meldung zu befassen. Im Wesentlichen: Ich sei der Erste, der so pingelig sei. Ja, es sei eine valide Umfrage, man werde den Support hinsichtlich der Validität der Umfrage nachschulen, und aus Datenschutzgründen könne man eine Umfrage gar nicht anders gestalten.
BOFH-Anfall! Nicht nur, dass ein Scam jetzt schon mindestens eine Woche gelaufen wäre: Die vorgetragenen "Datenschutzgründe" für die gewählte Gestaltung der Umfrage sind kompletter Bullshit!
Statt einem Dienstleister unnötig meine Mail-Adresse, meinen Namen und den Transaktionskontext zu offenbaren, damit er mich anmailt, hätte man sich vom Dienstleister die Noncen-gesicherten URLs für die Umfrage geben lassen und aus der bankeigenen Domain die Kunden anmailen können.
In der – idealerweise von der Bank digital signierten – Mail hätte man die externe URL erklären und autorisieren können. Dieses Vorgehen wäre hinsichtlich des Dienstleisters wesentlich datensparsamer und ich hätte genauso (viel oder wenig) Gewissheit, dass die Bank die Antworten nicht meiner Person zuordnen kann.
Die Anekdote ist leider kein Einzelfall, sondern reiht sich in eine lange Reihe ähnlicher Vorgänge ein.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.