TGI: Leak legt Daten zehntausender Kunden offen

Der Umzug nach Mauritius und die Neugründung als Trust Gold International Ltd. sollte wohl ein Befreiungsschlag für den umstrittenen Liechtensteiner Goldhändler TGI werden. Das Verfahren wegen Betrugs- und Geldwäschevorwürfen ist dadurch jedoch nicht plötzlich verschwunden. Nun dürfte die TGI- bzw. "Trust Gold International"-Führung um Unternehmensgründer Helmut Kaltenegger noch ein weiteres Problem beschäftigen: Ein massiver Abfluss von besonders sensiblen Unternehmens- und Kundendaten an Unbekannte.

News liegt ein mehrere Gigabyte großer Ordner vor. Der Großteil davon sind Tabellen. "AlleKunden" heißt eine davon. Ihr Inhalt ist der Albtraum eines jeden Datenschutzbeauftragten: 45.557 Zeilen mit Namen, Adressen, Geburtsdaten, Telefonnummern und Kontonummern. Die sensiblen Daten gehören Kundinnen und Kunden der TGI und ihres Vorgängers GGMT aus dem Zeitraum September 2018 bis Februar 2026.

Der Großteil der Betroffenen, gut 23.000 Personen, lebt in Deutschland. Mehr als 11.000 Personen aus dem Leak gaben einen Wohnsitz in Österreich an, dazu kommen gut 6.000 Schweizer Kundinnen und Kunden.

Weitere Dateien enthalten Details zum Zahlungsverkehr der TGI und geben Einblicke in Vertriebsstruktur und Bonusstufen des Multilevel-Marketing-Systems. Sie werden Gegenstand weiterer News-Artikel sein. Auch verschlüsselte Passwörter sind Teil der Datensammlung.

Stichprobenhafte Überprüfungen und Abgleiche mit News vorliegenden Ermittlungsakten der Staatsanwaltschaft Liechtenstein bestärken den Eindruck, dass die Daten echt sind. Es ist nicht auszuschließen, dass die Daten auch anderen Akteuren vorliegen bzw. auf Online-Marktplätzen im Darknet gehandelt werden.

Ob der TGI bzw. dem Nachfolgeunternehmen Trust Gold International das Datenleck bereits bekannt war, ist unklar. Weder die TGI noch Robert Weik, der das Unternehmen in der Vergangenheit anwaltlich vertrat und auch auf der Website des neuen Unternehmens in Mauritius als Anwalt aufscheint ist, antworteten auf entsprechende News-Anfragen dazu.

News hat mit einzelnen TGI-Kundinnen und -Kunden gesprochen, die angaben, nichts von einem Datenleck zu wissen. Auch online fanden sich bis Redaktionsschluss keine Hinweise auf entsprechende Veröffentlichungen durch das Unternehmen.

Bei derartigen Datenpannen sei üblicherweise Feuer am Dach, erklärt Anwalt Philipp L. Leitner von der Linzer Kanzlei Saxinger. „Wenn dem verantwortlichen Unternehmen eine Verletzung des Schutzes personenbezogener Daten bekannt wird, hat es diese unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden, es sei denn, es besteht voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen.“ Besteht durch die Datenpanne voraussichtlich ein hohes Risiko, müsse das Unternehmen grundsätzlich auch die Betroffenen unverzüglich informieren, sagt Leitner. So regelt es die DSGVO, die im gesamten Europäischen Wirtschaftsraum (EWR) gilt – also auch im Nicht-EU-Land Liechtenstein, wo die TGI ihren Sitz hat.

Verstößt ein Unternehmen schuldhaft gegen diese Melde- bzw. Informationspflichten, drohen in Liechtenstein Geldbußen von bis zu 11 Millionen Schweizer Franken oder zwei Prozent des gesamten weltweiten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr – je nachdem, welcher Betrag höher ist. Zusätzlich könnten geschädigte Betroffene Schadenersatz verlangen, sagt Leitner.

Die hohen Strafen haben gute Gründe. Denn die Kombination aus Telefonnummern, Kontonummern und Reisepasskopien sei für Betrüger allgemein sehr attraktiv, sagt Leitner. Solche Daten können für Identitätsdiebstahl und Betrugsversuche missbraucht werden. Täter könnten versuchen, unter fremdem Namen Konten zu eröffnen oder Kredite zu erschleichen.

Betroffene sollten bei nicht zuordenbaren Zahlungsaufforderungen oder Kontobewegungen sowie verdächtigen Anrufen oder Nachrichten per E-Mail, SMS oder Messenger-Diensten besonders wachsam sein – vor allem, wenn sich Unbekannte als Mitarbeiter von TGI, Trust Gold International Ltd. oder GGMT ausgeben. Nur weil ein Anrufer persönliche Daten kennt, beweist das nicht, dass er tatsächlich für das Unternehmen arbeitet. Bei Anrufen sollten keine vertraulichen Bankdaten, Passwörter, PINs oder Bestätigungscodes weitergegeben werden.

Forderungen aus Verträgen, die vom Betroffenen nicht abgeschlossen wurden, sollten sofort schriftlich bestritten werden. Verdächtige Abbuchungen sollten Betroffene sofort ihrer Bank melden und eine mögliche Rückbuchung und erforderliche Sperrmaßnahmen klären. Betroffene sollten auch längerfristig wachsam bleiben, da die Daten noch längere Zeit nach der Datenpanne missbraucht werden können.

Sollte der Verdacht bestehen, dass Ausweiskopien in unbefugte Hände gelangt sind, sollten Betroffene den Sachverhalt bei der Polizei anzeigen und alle relevanten Unterlagen sowie die Anzeigebestätigung aufbewahren. Damit wird der gemeldete Sachverhalt frühzeitig dokumentiert. Das kann hilfreich sein, sollten Betrüger später Konten im Namen der Betroffenen eröffnen oder Käufe auf Rechnung tätigen.

Teil der News vorliegenden Daten sind auch verschlüsselte Passwörter. Es ist deshalb nicht auszuschließen, dass auch Zugangsdaten von Kundinnen und Kunden betroffen sind. Sie sollten deshalb Passwörter der betroffenen Benutzerkonten ändern. Dasselbe gilt für andere Benutzerkonten, bei denen sie das gleiche Passwort verwendet haben. Nach Möglichkeit sollte außerdem eine Zwei-Faktor-Authentifizierung aktiviert werden.