Eine gravierende Sicherheitslücke bei einer auf Künstliche Intelligenz spezialisierten Firma hat dazu geführt, dass persönliche Daten von Millionen Menschen, die sich weltweit bei McDonald’s beworben haben, ungeschützt zugänglich waren. Die betroffene Firma hatte Bewerbermanagement und automatisierte Recruiting-Prozesse für das Unternehmen abgewickelt – dabei jedoch offenbar grundlegende Datenschutzmaßnahmen außer Acht gelassen.
Weltweit Bewerber betroffen
Laut Sicherheitsexperten wurden vollständige Lebensläufe, Kontaktdaten, Bewerbungsunterlagen sowie Interview-Notizen offengelegt. In einigen Fällen waren auch sensible Informationen wie Geburtsdaten oder Angaben zu Vorbeschäftigungen frei abrufbar. Die Daten stammten aus verschiedenen Ländern, darunter auch Deutschland, die USA, Großbritannien und Australien.
Ursache: Fehlkonfiguration bei Cloud-Diensten
Ursache der Panne war eine offen zugängliche Datenbank, die über einen Cloud-Dienst betrieben wurde. Die KI-Firma hatte offenbar versäumt, entsprechende Zugriffsbeschränkungen einzurichten – ein vermeidbarer Fehler mit potenziell weitreichenden Folgen. Die Datenbank sei laut Sicherheitsforschern über Wochen hinweg online abrufbar gewesen, ohne dass eine Authentifizierung erforderlich war.
Reaktion der Unternehmen
Die betroffene KI-Firma bestätigte inzwischen den Vorfall und erklärte, dass man unverzüglich Maßnahmen zur Sicherung der Systeme ergriffen habe. Auch McDonald’s kündigte an, der Vorfall werde „mit höchster Dringlichkeit“ untersucht. Betroffene sollen über das Leck informiert werden – ob und wie viele deutsche Bewerber betroffen sind, ist bislang noch unklar.
Datenschutzbehörden eingeschaltet
Mehrere Datenschutzbehörden, unter anderem in der EU, wurden bereits über den Vorfall in Kenntnis gesetzt. Sollte sich bestätigen, dass personenbezogene Daten fahrlässig offengelegt wurden, drohen dem verantwortlichen Unternehmen erhebliche Bußgelder – insbesondere nach Maßgabe der Datenschutz-Grundverordnung (DSGVO).
Experten warnen vor möglichen Folgen
Datenschützer und IT-Experten sehen den Vorfall als Beispiel dafür, wie risikoreich der Einsatz von Drittanbietern im Personalwesen sein kann. Betroffene Bewerber könnten Opfer von Identitätsdiebstahl, Phishing oder Betrug werden, wenn die veröffentlichten Daten in falsche Hände geraten. Experten raten Betroffenen zur besonderen Wachsamkeit bei verdächtigen E-Mails oder unerwarteten Anfragen.
Fazit: Der Vorfall verdeutlicht, wie wichtig sorgfältiger Umgang mit Bewerberdaten im Zeitalter automatisierter HR-Prozesse ist – und wie gefährlich es werden kann, wenn Unternehmen Datenschutz und IT-Sicherheit nicht ernst genug nehmen.
