Drei gebrauchte Büro-PCs, günstig ersteigert, sollen in einem kleinen Betrieb neue Arbeitsplätze bestücken. Der Systembetreuer steckt den ersten Rechner an und rechnet mit einem leeren Gerät zum Aufsetzen. Stattdessen begrüßt ihn ein fremder Anmeldebildschirm mit 31 unbekannten Benutzernamen. Er klickt sich weiter, und vor ihm öffnen sich Vorgänge, Aktenzeichen und personenbezogene Daten aus mehreren Jahren. Das Gerät stammt erkennbar von einer Behörde.
Was wie ein konstruiertes Schreckensszenario klingt, ist 2022 in Lübeck genau so geschehen. Über eine Auktionsplattform gelangte die interne Festplatte der dortigen Ausländerbehörde in fremde Hände, samt Betriebssystem, 31 Benutzerkonten und sensiblen Daten aus den Jahren 2016 bis 2021. Ein Einzelfall ist das nicht. Als das Datenrettungsunternehmen Attingo 100 gebrauchte Datenträger von Kleinanzeigenportalen ankaufte, fanden sich auf über 73 Prozent noch teils streng vertrauliche Daten. Eine Kaspersky-Untersuchung von 185 Medien kam auf rund 90 Prozent mit auslesbaren Resten. Darunter waren keine Privatverkäufe von Urlaubsfotos, sondern ein kompletter Mail-Server eines Logistikunternehmens und die Kundendaten eines Kabelnetzbetreibers.