10.08.2026

Datenpanne bei AXA Spanien

Datenpanne bei AXA Spanien: Ex-Vermittler umging Sicherheitsabfrage und griff auf Kundenkonto zu

Die spanische Datenschutzbehörde AEPD (Agencia Española de Protección de Datos) hat den Versicherer AXA Seguros Generales S.A. mit einem Bußgeld von 200.000 Euro belegt. Grund: Das Verfahren zur Passwort-Wiederherstellung im Kundenportal „MYAXA“ war so gestaltet, dass ein ehemaliger Versicherungsvermittler Zugang zu einem Kundenkonto erlangen konnte. Die Entscheidung mit dem Aktenzeichen EXP202309453 wurde im Oktober 2025 als Beschluss festgestellt.

Was ist passiert?

Im Mai 2023 erhielt eine Kundin von AXA einen Anruf ihres früheren Versicherungsagenten. Das Mandat des Agenten war bereits im Dezember 2021 durch AXA fristlos gekündigt worden, nachdem er gegen das vertragliche Exklusivitätsgebot verstoßen hatte. Bei dem Anruf bot er an, ihre Verträge zum gleichen Preis weiterzuführen, und ließ dabei durchblicken, dass er die aktuellen Prämien kenne.

Noch am selben Tag erhielt die Kundin zwei SMS von AXA mit einem temporären Zugangscode sowie kurz darauf eine E-Mail, die eine erfolgreiche Passwortänderung bestätigte. Die Kundin hatte diese Änderung nicht selbst vorgenommen.

AXA bestätigte nach eigener Prüfung, dass am 22. Mai 2023 das Passwort des Kundenkontos geändert worden war. Auf das Konto wurden anschließend bis zum 27. Juni 2023 weitere Zugriffe registriert. AXA konnte nicht feststellen, von welcher IP-Adresse aus die Zugriffe erfolgten, weil die Zugriffsprotokolle bereits nach 30 Tagen gelöscht wurden.

Das Schwachstellenproblem im Passwort-Reset

Das Zurücksetzen des Passworts im Portal MYAXA lief zum Zeitpunkt des Vorfalls so ab: Wer angab, weder den SMS-Code noch den E-Mail-Code erhalten zu haben, wurde zu einer Sicherheitsabfrage weitergeleitet. Dort wurden nur zwei Informationen abgefragt: die Policennummer und die letzten vier Ziffern der Zahlungsweise des Kunden.

Beide Informationen waren dem früheren Agenten bekannt. Er hatte jahrelang die Verträge der Kundin betreut. AXA hatte zwar nach der Vertragskündigung seine Systemzugänge gesperrt. Ein Löschnachweis für die Kundendaten wurde aber nie erbracht. Das Verfahren ermöglichte damit jedem, der Polizeinummer und Zahlungsdaten einer Person kannte, das Passwort ohne weitere Identitätsprüfung zu ändern.

Rechtliche Einordnung durch die AEPD

Die AEPD sah einen Verstoß gegen Art. 5 Abs. 1 lit. f) DS-GVO, also das Gebot der Integrität und Vertraulichkeit. Danach sind personenbezogene Daten so zu behandeln, dass eine angemessene Sicherheit gewährleistet ist, einschließlich des Schutzes vor unbefugtem Zugang.

AXA hatte argumentiert, die Kundin sei Opfer eines Dritten geworden und das eigene System sei sicher genug gewesen. Die Behörde wies das zurück. Für eine Verletzung des Art. 5 Abs. 1 lit. f) DS-GVO sind zwei Elemente erforderlich: ein eingetretener Vertraulichkeitsverlust und eine Mitursächlichkeit durch unzureichende technische oder organisatorische Maßnahmen. Beide lagen nach Ansicht der AEPD vor.

Konkret: AXA hatte beim Passwort-Reset auf Informationen gesetzt, von denen sie wissen musste, dass ein früherer Agent darüber verfügte. Die Kündigung des Agenturvertrags war kein einvernehmlicher Vorgang gewesen. AXA hatte selbst intern über Kundenabwerbungen und Vertragsverstoße des Ex-Agenten gesprochen. Das Risiko eines Missbrauchs war damit vorhersehbar und hätte bei der Gestaltung des Reset-Verfahrens berücksichtigt werden müssen.

Die zunächst ebenfalls geprüfte Verletzung von Art. 32 DS-GVO (technische und organisatorische Maßnahmen) wurde im weiteren Verfahren nicht gesondert weiterverfolgt, da die Verletzungen vollständig im Tatbestand des Art. 5 Abs. 1 lit. f) DS-GVO aufgingen.

Warum AXA als Verantwortliche haftet

AXA hatte in ihren Stellungnahmen immer wieder darauf hingewiesen, dass der Zugriff durch den Ex-Agenten erfolgt sei und dieser für die Konsequenzen hafte. Die AEPD erkannte an, dass der Agent möglicherweise eigene Verstöße begangen hat. Das entlastet AXA aber nicht.

Als Verantwortliche im Sinne von Art. 4 Nr. 7 DS-GVO ist AXA für die Sicherheit der von ihr verarbeiteten Daten zuständig. Das schließt das Zugangssystem zum Kundenportal ein. Ob ein Dritter das System angreift oder ein früherer Auftragsverarbeiter die Daten missbraucht, ändert nichts an der Pflicht des Verantwortlichen, das System gegen solche Angriffe abzusichern.

AXA hatte zwar nach dem Vorfall das Sicherheitsabfrageverfahren abgeschafft und stattdessen eine Umleitung zum Kundendienst eingerichtet. Dieser nachträgliche Schritt bestätigte für die AEPD gerade, dass das vorherige Verfahren unzureichend war.

Bußgeldbemessung: 200.000 Euro

Die AEPD legte ihren Berechnungen einen Jahresumsatz von AXA Seguros von 553 Millionen Euro zugrunde. Der mögliche Bußgeldrahmen nach Art. 83 Abs. 5 DS-GVO lag damit theoretisch bei bis zu 22,12 Millionen Euro.

Strafmildernd wirkte, dass AXA nach dem Bekanntwerden des Vorfalls aktiv Maßnahmen umgesetzt hatte. Als verschärfend wurde gewertet, dass AXA als Versicherungsunternehmen strukturell mit personenbezogenen Daten arbeitet und deshalb erhöhte Sorgfaltspflichten hat. Die Zahl der tatsächlich betroffenen Personen beschränkte die AEPD auf eine, nachdem AXA dem widersprach, den gesamten Kundenstamm als potenziell betroffen zu werten. Das Bußgeld wurde auf 200.000 Euro festgesetzt.

AXA wurde außerdem verpflichtet, innerhalb von sechs Monaten nach Bestandskraft der Entscheidung nachzuweisen, dass angemessene technische und organisatorische Sicherheitsmaßnahmen tatsächlich umgesetzt wurden.

Unsere Empfehlungen

Unternehmen und KMU

Wer Kunden- oder Mitarbeiterportale betreibt, sollte das Verfahren zur Passwort-Wiederherstellung konkret prüfen. Die zentrale Frage lautet: Können die Sicherheitsabfragen von Personen beantwortet werden, die früher mit dem Kunden oder den Daten zu tun hatten? Policennummern, Kundennummern, Rechnungsbeträge oder Zahlungsdaten sind typische Beispiele für Informationen, die Mitarbeiter oder Ex-Vertragspartner kennen. Sie taugen deshalb nicht als alleinige Identitätsprüfung. Besser geeignet sind Einmal-Codes auf verifizierte Mobilnummern in Kombination mit einem zusätzlichen Faktor, den nur der Kunde selbst kennt. Bei der Trennung von Dienstleistern, Agenten oder Vertriebspartnern sollte das Risiko von Datenmissbrauch ausdrücklich in die Übergabeprüfung einbezogen werden. Vertragsklauseln zur Datenlöschung sind gut, aber kein Ersatz für einen dokumentierten Löschnachweis.

Behörden und öffentliche Stellen

Bürgerzugangsportale und interne Self-Service-Anwendungen unterliegen denselben Anforderungen. Wo Bürger oder Mitarbeiter Passwörter zurücksetzen können, muss das Verfahren gegen Dritte absichern, die Teilinformationen kennen könnten. Das betrifft besonders Szenarien, in denen ehemalige Mitarbeiter mit Datenzugang ausgeschieden sind. Nach Ausscheiden einer Person sollte geprüft werden, welche Informationen diese Person kannte und ob diese als Antwort auf Sicherheitsabfragen ausreichen würden, um Zugang zu erlangen. Ist das der Fall, müssen die Abfragen geändert werden.

Gesundheitseinrichtungen

Patientenportale und digitale Zugänge zu Behandlungsdaten sind besonders schutzwürdig. Hier gilt dasselbe Prinzip: Sicherheitsabfragen, die auf bekannten Verwaltungsdaten basieren (Versichertennummer, Fallnummer, Geburtsdatum), sind für sich allein kein ausreichender Schutz. Das gilt erst recht, wenn Praxispersonal oder externe Dienstleister früher Zugang zu diesen Informationen hatten. Eine Zwei-Faktor-Authentifizierung sollte nicht als optionale Funktion angeboten werden, sondern als Standard.

Kanzleien und Freiberufler

Mandantenportale und geteilte Dokumentenräume werden in Kanzleien häufig mit einfachen Passwort-Reset-Prozessen betrieben. Auch hier sollte geprüft werden, ob frühere Mitarbeiter, Co-Counsel oder externe Berater die notwendigen Informationen für einen erfolgreichen Reset kennen. Besonders relevant ist das nach der Trennung von Mitarbeitern mit Mandantenkontakt. Ein dokumentiertes Offboarding, das explizit die Datenzugänge und das Wissensprofil ausscheidender Personen erfasst, ist empfehlenswert.

Quelle: Agencia Española de Protección de Datos (AEPD), Resolución EXP202309453, Oktober 2025

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks