Sicherheitsvorfall Zählermontagedienstleister Enseco

Ein von uns mit Zählerwechseln beauftragter Dienstleister, die Enseco GmbH, wurde von Cyberkriminellen attackiert. Das IT-System der Stuttgart Netze ist nicht betroffen. Bei dem Angriff ist es den Kriminellen gelungen, auf Teile des IT-Systems unseres Dienstleisters zu kommen und dort auf Datensätze zuzugreifen. Darunter sind leider auch personenbezogene Datensätze von Kundinnen und Kunden der Stuttgart Netze. Wir bedauern diesen Vorfall und nehmen ihn sehr ernst. 

Wir wurden Ende Juni unverzüglich von unserem Dienstleister über den Datenabgriff informiert.  Wir haben den Sicherheitsvorfall fristgerecht der Landesdatenschutzbehörde gemeldet (Artikel 33 DSGVO) sowie dem Bundesamt für Sicherheit in der Informationstechnik (BSI).  

Der Schutz Ihrer Daten ist uns sehr wichtig. Deshalb achten wir bei der Wahl unserer Dienstleister grundsätzlich auf hohe Sicherheitsstandards. Der betroffene Dienstleister Enseco arbeitet unserer Erfahrung nach sehr verantwortungsbewusst. Er hat den Angriff auch sehr schnell bemerkt und dann sofort unterbunden und eingedämmt. Die betroffenen IT-Systeme wurden isoliert und die zuständigen Behörden sowie die Forensik eingeschaltet. Der Dienstleister hat uns und die Datenschutzbehörde ordnungsgemäß über den Vorfall informiert. 
Bei unserem Dienstleister sind alle Datensätze in getrennten Systemen redundant vorhanden. Es waren jederzeit alle Daten verfügbar.

Der betroffene Dienstleister übernimmt in unserem Auftrag Zählerwechsel bei Kundinnen und Kunden. Für diesen Zweck haben wir ihm die erforderlichen Daten zur Verfügung gestellt. Dieser Datenübermittlung haben Sie mit Abschluss Ihres Energieliefervertrags zugestimmt. Sie finden den entsprechenden Passus in unseren Datenschutzrichtlinien unter Punkt 5. 

Es handelt sich um Namen, Anschrift und teilweise auch um Ihre Telefonnummer und E-Mail-Adresse sowie die Zählernummer. Diese Daten verarbeiten wir ordnungsgemäß zur Durchführung unseres Auftrags und gesetzlicher Vorschriften (Eichgesetz). Geregelt ist das in der Datenschutzgrundverordnung (DSGVO) unter Artikel 6.  
Wir bedauern den Vorfall bei unserem Dienstleister. Es ist uns ein großes Anliegen, Cyberangriffe möglichst abzuwehren, ob bei Dienstleistern oder bei unseren eigenen Systemen. Dafür ergreifen wir alle Maßnahmen, die in unserer Hand liegen.So werden auch die Erkenntnisse der Forensik dieses Vorfalls dazu dienen, unsere eigenen Sicherheitsstandards und die unserer Dienstleister weiter zu erhöhen.
Datenschutzexperten haben den Vorfall bei unserem Dienstleister eigenständig und sorgfältig bewertet – bewusst auch unter der ungünstigsten Annahme, dass Daten veröffentlicht und missbraucht werden könnten. Sie sind zu dem Ergebnis gekommen, dass der Vorfall zwar sehr ernst zu nehmen ist, aber nach der Datenschutzgrundverordnung (DSGVO) kein hohes Risiko für die Rechte und Freiheiten der Betroffenen bedeutet. Eine Benachrichtigungspflicht besteht demnach nicht. Wir sind jedoch der Auffassung, dass Sie von dem Vorfall wissen sollten. Der Grund für die proaktive Information ist, dass uns Glaubwürdigkeit und Transparenz sehr wichtig sind. Deshalb haben wir Sie informiert.  

Die betroffenen Daten könnten genutzt werden, um Sie und unter Nennung echter Angaben zu kontaktieren – etwa mit Bezug auf Ihre Adresse oder Ihrem Zähler. Seien Sie daher in nächster Zeit aufmerksam bei unerwarteten E-Mails, Anrufen oder Nachrichten. Wir empfehlen daher, keine persönlichen Daten preiszugeben und nicht auf Links oder Anhänge unbekannter Herkunft zu klicken. Sollte jemand bei Ihnen klingeln und sich als Mitarbeitender der Stuttgart Netze oder einem von Stuttgart Netze beauftragten Unternehmen ausgeben, lassen Sie sich bitte grundsätzlich den Dienstausweis zeigen, bevor Sie die Tür öffnen und Zutritt gewähren. Wenn Sie unsicher sind, ob eine Kontaktaufnahme durch uns oder einen oder unserer Dienstleiter „echt“ ist, kontaktieren Sie uns bitte direkt und hinterfragen die Notwendigkeit (0800 4804-400). Im Zweifel und bei Unsicherheiten empfehlen wir, den Zutritt ins Gebäude zu verweigern. 

Weiter könnten mit den Daten ungewollte Energielieferverträge neu abgeschlossen werden. Sollte dies geschehen, erfahren Sie davon unmittelbar durch ein „Willkommensschreiben“ des abweichenden Lieferanten.

Nein. Der von uns beauftragte Dienstleister, die Enseco GmbH, ist ein auf Zählerwechsel spezialisierter bundesweit agierender Dienstleister. Deutschlandweit sind mehrere Netzbetreiber von dem Vorfall betroffen.

Diese bekommen Sie gerne. Bitte wenden Sie sich schriftlich an unsere zentrale Datenschutzadresse [email protected]. Um Ihre Identität zu schützen, behalten wir uns vor, bei Bedarf einen geeigneten Identitätsnachweis anzufordern.

Nein. Unser eigenen IT-Systeme sind von dem Vorfall nicht tangiert. Ihr Kundenkonto ist sicher.

Wir haben den Vorfall umfassend nach der Datenschutzverordnung geprüft und das Risiko für personenbezogene Daten unserer Kundinnen und Kunden unabhängig vom Dienstleister noch einmal sehr genau bewertet. Unsere Experten sind - wie die des Dienstleisters - zu dem Ergebnis gekommen, dass der Vorfall zwar sehr ernst zu nehmen ist, aber nach der Datenschutzgrundverordnung (DSGVO) kein hohes Risiko für die Rechte und Freiheiten der Betroffenen bedeutet. Eine Benachrichtigungspflicht besteht demnach nicht. Wir sind jedoch der Auffassung, dass Sie von dem Vorfall wissen sollten. Deshalb haben wir Sie informiert.  
Als betroffener Verteilnetzbetreiber haben wir ordnungsgemäß den Sicherheitsvorfall der Landesdatenschutzbehörde gemeldet. 

Unser Dienstleister hat die betroffenen Systeme sofort vom Netz getrennt und isoliert sowie eine umfassende Aufklärung des Vorfalls eingeleitet. IT-Experten und die zuständigen Behörden sind eingebunden. Der Dienstleister arbeitet unserer Erfahrung nach sehr verantwortungsbewusst. So sind beispielsweise auch alle Datensätze redundant in unterschiedlichen Systemen vorhanden. Alle Daten waren also zu jeder Zeit verfügbar. Die Erkenntnisse der Analyse wird unser Dienstleister entsprechend nutzen, den Sicherheitsstandard weiter zu erhöhen. Dies erfolgt in enger Abstimmung mit uns. 

Wir können Ihren Unmut über den Vorfall verstehen, auch Ihre Sorge über einen möglichen Missbrauch der Daten. Nach bisherigen Erkenntnissen sind die abgegriffenen Daten jedoch weder irgendwo veröffentlicht, noch missbräuchlich verwendet werden. Ganz davon abgesehen, stuft die Datenschutzgrundverordnung das Risiko bei den abgegriffenen Daten als relativ gering ein, da es sich nicht um sensible Daten wie Kontoverbindungen oder Gesundheitsdaten handelt. Bei der Auswahl unserer Dienstleister legen wir großen Wert auf Datenschutz und Datensicherheit. Der betroffene Dienstleister Enseco arbeitet unserer Erfahrung nach sehr verantwortungsbewusst und verfügt über ein hohes Sicherheitsniveau.

Der reine Wechsel einer Zählernummer ist nicht möglich. Eine neue Zählernnummer ist immer mit einem Gerätewechsel verbunden. Aktuell halten wir aufgrund des Sicherheitsvorfalls bei unserem Dienstleister einen Zählerwechsel für nicht erforderlich. Nach den vorliegenden Erkenntnissen und Analysen unseres Dienstleisters gibt es keine Hinweise darauf, dass die abgegriffenen Daten missbräuchlich verwendet werden. Gänzlich ausschließen können wir einen Missbrauch jedoch nicht.
Seien Sie also wachsam bei Haustürgeschäften, verdächtigen E-Mails oder Anrufen. Sollten Betrüger beispielsweise versuchen, Sie zu einem Wechsel des Energielieferanten zu bewegen, können wir Ihnen nur raten, die Echtheit des Angebots zu prüfen, bevor Sie sensible Daten wie Kontoinformationen herausgeben.  Es gibt auch die Möglichkeit, einen Vertragsabschluss rückgängig zu machen. Die Frist für den Widerspruch beträgt 14 Tage.  

Wichtig für Sie! Der vom Sicherheitsvorfall betroffene Dienstleister hatte keine sensiblen Daten von Ihnen – also auch keine Kontoinformationen. 

Zum aktuellen Zeitpunkt sehen wir durch den Sicherheitsvorfall kein erhöhtes Risiko für den Versuch, dass die abgegriffenen Daten für ungewollte Anbieterwechsel missbraucht werden. Ganz ausschließen oder unterbinden können wir das jedoch nicht. 
Bitte beachten Sie: Energielieferverträge werden zwischen Ihnen als Kunde und einem Lieferanten geschlossen, nicht mit dem Netzbetreiber. Bitte prüfen Sie also die Echtheit eines Angebots, wenn für Sie ein Lieferantenwechsel generell in Frage kommt. Die Lieferanten sorgen im Falle eines Vertragsabschlusses für eine Verifizierung, z.B. in Form eines “Willkommensschreibens”, und dokumentieren diese. Sollte ein Vertrag betrügerisch zustande gekommen sein, können Sie dem Abschluss innerhalb von 14 Tagen widersprechen.  
Ein wichtiger Vertragsbestandteil sind Kontoinformationen. Wichtig als Information für Sie: Unser Dienstleister, bei dem sich der Sicherheitsvorfall ereignet hat, hat keine Kontoinformationen von Ihnen. 
 

Nein, dieses liegt uns in unserer Rolle Netz und Messstellenbetreiber nicht vor.

Wir haben Sie vorsorglich freiwillig über den Datenabgriff informiert, weil uns Transparenz und Glaubwürdigkeit sehr wichtig sind. Nach der Datenschutzgrundverordnung wäre eine proaktive schriftliche Information nicht erforderlich gewesen, da bei der Art der abgegriffenen Daten das Risiko für Rechte und Freiheit der Betroffenen als gering eingestuft wird. Außerdem war es uns wichtig, vor dem Versand des Schreibens mit unserem Dienstleister und den hinzugezogenen Behörden das Ausmaß des Vorfalls möglichst genau zu kennen, um sie gut informieren zu können.