Italiens Datenschutzbehörde hat Intesa Sanpaolo mit einem massiven DSGVO-Bußgeld von 31,8 Millionen Euro belegt, weil die Bank über zwei Jahre hinweg den unautorisierten Zugriff auf 3.573 Kundenkonten nicht erkannte. Zugleich wurde die Europäische Kommission selbst Opfer der Hackergruppe ShinyHunters, die behauptet, 350 GB aus Europa.eu-Cloud-Systemen gestohlen zu haben. Hier steht, was beide Vorfälle für die DSGVO-, DORA- und NIS2-Compliance bedeuten.
Die italienische Datenschutzbehörde (Garante per la Protezione dei Dati Personali) hat ein Bußgeld von 31,8 Millionen Euro (36 Millionen US-Dollar) gegen Intesa Sanpaolo SpA verhängt — eine der größten Banken Italiens und ein Finanzriese der Eurozone — wegen dessen, was sie als „schwerwiegende Mängel bei der Sicherheit personenbezogener Daten aufgrund der Unzulänglichkeit der ergriffenen technischen und organisatorischen Maßnahmen" bezeichnete.
Die Untersuchung, ausgelöst durch ein von der Bank im Juli 2024 gemeldetes Datenleck, ergab, dass ein einzelner Mitarbeiter zwischen Februar 2022 und April 2024 unautorisiert auf die Bankinformationen von 3.573 Kunden zugriff — über einen Zeitraum von mehr als zwei Jahren.
Die Garante merkte an, dass „diese unautorisierten Zugriffe von internen Kontrollsystemen nicht erkannt wurden, was erhebliche Schwächen in den Überwachungs- und Präventionsmechanismen offenlegt." Das Betriebsmodell der Bank erlaubte es Bearbeitern, den gesamten Kundenstamm vollständig zirkulär abzufragen, ohne angemessene Kontrollen zur Verhinderung oder Identifizierung unautorisierter Zugriffe.
Erschwerend kam hinzu, dass sich unter den betroffenen Kunden Personen des öffentlichen Lebens befanden, für die die Bank nach Auffassung des Regulierers verstärkte Zugriffskontrollen hätte einrichten müssen. Auch die Datenleck-Benachrichtigung der Bank an betroffene Kunden wurde als unvollständig und verspätet bewertet und verletzte die 72-Stunden-Meldepflicht der DSGVO.
Dieser Fall ist ein perfekter Sturm für die DORA-Compliance (Digital Operational Resilience Act). DORA, das seit dem 17. Januar 2025 vollständig anwendbar ist, verlangt von Finanzunternehmen ausdrücklich:
Das Bußgeld von 31,8 Mio. € ist eine der größten DSGVO-Strafen in der Geschichte Italiens und sendet ein klares Signal: Insider-Bedrohungserkennung ist nicht optional. Nach DORA würde eine Bank, die zwei Jahre unautorisierten Datenzugriffs nicht erkennt, zusätzliche regulatorische Maßnahmen der Finanzaufsicht erwarten, potenziell einschließlich Betriebsbeschränkungen oder Managementwechseln.
Zentrale Lehre: Zugriffskontrollen zu haben genügt nicht. Sie müssen nachweisen, dass sie tatsächlich funktionieren — und dass Anomalien in Echtzeit erkannt werden, nicht zwei Jahre später.
In einer zutiefst ironischen Wendung hat die Europäische Kommission — die Institution, die DSGVO, NIS2, DORA und die EU-KI-Verordnung verfasst hat — offengelegt, dass ihr Europa.eu-Webportal von der Hackergruppe ShinyHunters kompromittiert wurde.
ShinyHunters, eine bekannte Cybercrime-Gruppe, behauptet, über 350 Gigabyte an Daten gestohlen zu haben, darunter Datenbanken, E-Mails und interne Dokumente aus Cloud-Systemen der Europäischen Kommission, die auf Amazon Web Services (AWS) gehostet werden. Die Gruppe hat Datenproben auf ihrer Darknet-Leak-Site veröffentlicht.
Kommissionssprecher Thomas Regnier bestätigte den Vorfall, versuchte jedoch, seine Bedeutung zu relativieren, und erklärte:
Die Kommission lehnte es ab zu präzisieren, auf welche Daten zugegriffen wurde, wie viele Nutzer betroffen sein könnten oder ob personenbezogene Daten involviert waren.
Die Ironie entgeht der Cybersecurity-Gemeinschaft nicht. Die Europäische Kommission ist die Institution, die für die Durchsetzung von NIS2 in allen 27 Mitgliedstaaten verantwortlich ist. Nach NIS2 Artikel 23 müssen wesentliche Einrichtungen:
Wenn die EU-Kommission ihre eigene Infrastruktur nicht absichern kann, wie kann sie dann glaubwürdig die NIS2-Compliance von Mitgliedstaaten und privaten Organisationen durchsetzen? Dieses Datenleck untergräbt — unabhängig von seiner tatsächlichen Schwere — die regulatorische Glaubwürdigkeit in einem kritischen Moment, gerade während die NIS2-Durchsetzung ihr erstes Jahr der vollständigen Umsetzung in Europa erreicht.
Die Tatsache, dass Europa.eu auf AWS läuft, verdeutlicht eine anhaltende Compliance-Lücke: das Modell der geteilten Verantwortung. AWS sichert die Infrastruktur; der Kunde (in diesem Fall die Kommission) sichert Konfiguration, Zugriffskontrollen und Daten.
Häufige Cloud-Fehlkonfigurationen, die zu Datenlecks wie diesem führen:
Das Intesa-Sanpaolo-Bußgeld schafft einen klaren Durchsetzungspräzedenzfall:
Das Kommissions-Datenleck zeigt, dass keine Organisation immun ist:
Zusätzlich zum regulatorischen Druck dieser Woche hat das Gesundheits-IT-Unternehmen CareCloud ein Datenleck gegenüber der SEC offengelegt, das Patientendaten in einer seiner elektronischen Patientenakten-(EHR-)Umgebungen betrifft. Gesundheitseinrichtungen sind nach NIS2 als wesentliche Einrichtungen eingestuft, und Patientengesundheitsdaten genießen das höchste Schutzniveau nach DSGVO Artikel 9 (besondere Kategorien personenbezogener Daten).
Organisationen, die Gesundheitsdaten verarbeiten, sehen sich Folgendem gegenüber:
| Regulierung | Status | Nächster Meilenstein |
|---|---|---|
| NIS2 | Durchsetzung in den meisten Mitgliedstaaten aktiv | Erste Welle von BSI-/ANSSI-Audits läuft im Q2 2026 |
| DORA | Vollständig anwendbar seit 17. Jan. 2025 | Gemeinsamer ESA-Ausschuss prüft erste Vorfallmeldungen |
| DSGVO | Durchsetzung verschärft sich (siehe: 31,8 Mio. € Bußgeld) | EDSA-Leitlinien zur KI-Datenverarbeitung im Q2 2026 erwartet |
| EU-KI-Verordnung | Verbot verbotener Praktiken aktiv seit 2. Feb. 2025 | Anforderungen an hochriskante KI-Systeme gelten ab 2. Aug. 2026 |
| CRA | Cyber Resilience Act in Kraft seit Dez. 2024 | Schwachstellen-Meldepflichten beginnen im Sep. 2026 |
KENSAI überwacht Ihre Infrastruktur kontinuierlich gegen NIS2-, DORA- und DSGVO-Anforderungen. Erkennen Sie Compliance-Lücken, bevor Prüfer es tun — automatisiertes Scanning, Echtzeit-Alarme und BSI-fertige Berichte.
Kostenlosen Compliance-Scan starten →Wenn der Regulierer zum Regulierten wird — und alle aufmerksam werden.
KENSAI Security Research Team
31. März 2026 — 06:00 MEZ