Firmen-E-Mail auf Porno- und Datingseiten: Was Beschäftigte wissen müssen

Die Wiener Cybersicherheitsfirma Risikomonitor hat laut einem Bericht des Kurier mehr als 1.000 Datenlecks aus den vergangenen 20 Jahren untersucht. Darin fanden sich rund 1,1 Millionen betriebliche E-Mail-Adressen aus Österreich. 93.308 davon – rund 8,4 Prozent oder etwa jede zwölfte – wurden demnach zur Anmeldung bei Porno- oder Datingplattformen verwendet.

Wichtig: Dass eine E-Mail-Adresse in einem solchen Datensatz auftaucht, sagt noch nichts darüber aus, wer sie tatsächlich verwendet hat. Ebenso wenig lässt sich daraus ableiten, ob die betreffende Seite während der Arbeitszeit oder auf einem Firmengerät besucht wurde.

Firmenadressen bei Stripchat und Co.

Besonders viele österreichische Firmenadressen fanden sich laut Risikomonitor in einem Datenleck der Sexkontakt-Plattform AdultFriendFinder. Dahinter folgen weitere Dating-Dienste. Aber auch klassische Pornoplattformen finden sich in der Auswertung.

Bei manchen blieb es nicht nur bei einer Registrierung: 17 Prozent der betroffenen Firmenadressen waren bei mehreren Dating- oder Adult-Angeboten registriert.

Auch beim Geschlechterverhältnis gibt es deutliche Unterschiede. Bei pornografischen Websites kamen laut Auswertung 33 Männer auf eine Frau. Auf klassischen Datingplattformen lag das Verhältnis bei 57 zu 43.

Unter den mehr als 1,1 Millionen gefundenen Firmenadressen waren außerdem etwas mehr als 1.800 Adressen von Vorständen, Geschäftsführer:innen und Aufsichtsrät:innen, die im österreichischen Firmenbuch eingetragen sind. Drei davon tauchten laut Kurier in Leaks von Dating- oder Adultseiten auf.

Warum ein Porno-Leak zum Sicherheitsproblem werden kann

Die mögliche Peinlichkeit ist dabei nicht das größte Problem.

Eine berufliche E-Mail-Adresse lässt sich meist direkt einem Unternehmen zuordnen. Laut Risikomonitor-Geschäftsführer Manuel Löw-Beer enthalten geleakte Datensätze häufig nicht nur E-Mail-Adressen, sondern auch Passwörter oder andere Zugangsdaten.

Deshalb gilt: Für jeden wichtigen Account ein eigenes Passwort verwenden und, wenn möglich, Zwei-Faktor-Authentifizierung einschalten.

Mehr zum Thema Datenschutz auf Arbeitsgeräten: Datenschutz auf Diensthandys.

Warum solche Daten für Erpresser interessant sind

Name, Arbeitgeber und eine Registrierung bei einer Porno- oder Datingplattform: Diese Kombination eignet sich auch für Erpressungsversuche.

Kriminelle drohen etwa damit, angeblich besuchte Pornoseiten oder intime Aufnahmen öffentlich zu machen. Um glaubwürdig zu wirken, nennen sie mitunter echte persönliche Daten oder alte Passwörter aus früheren Datenlecks.

Ein echtes Passwort in einer solchen Mail bedeutet aber noch lange nicht, dass Computer oder Webcam gehackt wurden. Das Bundeskriminalamt warnt vor massenhaft verschickten Erpressermails, bei denen die behaupteten Videos oder Bilder häufig gar nicht existieren.

Darf ich meine Firmen-E-Mail privat nutzen?

Das hängt von den Regeln im Betrieb ab.

Der Arbeitgeber kann die private Nutzung von Firmen-E-Mail und Internet verbieten oder einschränken. Das kann im Arbeitsvertrag, in internen Richtlinien oder in einer Betriebsvereinbarung geregelt sein.

Gibt es keine betriebliche Regelung, ist eine private Nutzung grundsätzlich möglich. Die Arbeitsleistung und betriebliche Interessen dürfen darunter aber nicht leiden.

Die Arbeiterkammer unterscheidet dabei ausdrücklich zwischen verbotener, erlaubter und nicht geregelter Privatnutzung.

Für Datingseiten, Pornoseiten, private Newsletter, Onlineshops oder andere persönliche Accounts ist eine private E-Mail-Adresse deshalb die bessere Wahl.

Kann eine Anmeldung auf einer Pornoseite zur Entlassung führen?

Nicht allein deshalb, weil eine Firmenadresse in einem Datenleck auftaucht.

Ein solcher Eintrag sagt zunächst nicht, wer die Adresse angegeben hat, wann die Anmeldung erfolgte oder ob überhaupt gegen arbeitsrechtliche Pflichten verstoßen wurde.

Entscheidend ist, was tatsächlich passiert ist und welche Regeln im Betrieb gelten.

Eine gelegentliche private E-Mail oder maßvolle private Internetnutzung ist nicht automatisch ein Entlassungsgrund. Anders kann die Lage sein, wenn Beschäftigte etwa

• ein ausdrückliches Verbot beharrlich missachten,
• über längere Zeit während der Arbeitszeit privat surfen,
• deshalb ihre Arbeit vernachlässigen,
• betriebliche IT-Systeme gefährden oder
• dem Unternehmen einen konkreten Schaden zufügen.

Ob eine Entlassung zulässig wäre, hängt vom Einzelfall ab. Eine allgemeine Regel „Pornoseite = fristlose Entlassung“ gibt es nicht.

Darf mein Arbeitgeber sehen, welche Websites ich besucht habe?

Nicht nach Belieben.

Technische Kontrollen der E-Mail- und Internetnutzung können tief in die Privatsphäre der Beschäftigten eingreifen. Kontroll- und Auswertungssysteme müssen klar begrenzt werden. Maßnahmen, die die Menschenwürde berühren, brauchen in Betrieben mit Betriebsrat dessen Zustimmung.

Eine Betriebsvereinbarung sollte deshalb klar regeln,

• welche Daten erfasst werden,
• warum sie erfasst werden,
• wer sie einsehen darf und
• wie lange sie gespeichert werden.

Cybersicherheit ist kein Freibrief für lückenlose Überwachung.

Darf mein Arbeitgeber private E-Mails lesen?

Auch dafür gibt es klare Grenzen.

Private Nachrichten dürfen nicht einfach wie betriebliche Korrespondenz behandelt werden. Ob und wie ein Arbeitgeber ein betriebliches Postfach kontrollieren darf, hängt unter anderem von den geltenden Regeln und der Art der Kontrolle ab.

Ist eine Nachricht als privat erkennbar, genießt sie besonderen Schutz.

Mehr dazu: Wenn der Chef deine E-Mails mitlesen will

Warum verwenden Menschen überhaupt die Firmenadresse?

Risikomonitor-Geschäftsführer Löw-Beer nennt im Kurier eine mögliche Erklärung: Private E-Mail-Konten würden teilweise auf gemeinsam genutzten Familiengeräten geöffnet. Der Firmenaccount sei für manche der einzige Posteingang, auf den Partner:in oder Familie keinen Zugriff haben.

Ob das tatsächlich für einen größeren Teil der Betroffenen der Grund war, lässt sich aus der Auswertung nicht ableiten.

Aus Sicherheits- und arbeitsrechtlicher Sicht ist die einfachste Lösung ohnehin: Berufliches und Privates trennen.

Meine Firmen-E-Mail ist in einem Datenleck: Was soll ich tun?

Zunächst: Nicht in Panik geraten. Ein Leak bedeutet weder automatisch, dass jemand Zugriff auf das Firmenkonto hat, noch dass ein arbeitsrechtlicher Verstoß vorliegt.

Sinnvoll sind diese Schritte:

• Passwort ändern, wenn das betroffene Passwort noch verwendet wird.
• Dasselbe Passwort nicht für mehrere Dienste verwenden.
• Sind möglicherweise berufliche Zugangsdaten betroffen, IT-Abteilung oder zuständige Sicherheitsstelle informieren.
• Mit einem seriösen Leak-Checker wie Have I Been Pwned prüfen, ob die eigene Adresse in bekannten Datenlecks auftaucht.
• Für private Registrierungen künftig eine private E-Mail-Adresse verwenden.

Was tun bei einer Erpressermail?

Droht jemand damit, angebliche Pornoseiten-Besuche, intime Videos oder andere private Informationen zu veröffentlichen, gilt zuerst:

Nicht zahlen. Nicht antworten.

Steht in der Mail ein echtes Passwort, sollte es überall geändert werden, wo es noch in Verwendung ist. Nachricht und Zahlungsaufforderung am besten als Beweis aufbewahren.

Bei einem konkreten Betrugs- oder Erpressungsversuch kann man sich an die Polizei wenden. Verdächtige Nachrichten können außerdem bei der Watchlist Internet überprüft oder gemeldet werden. Bei Verdacht auf Internetkriminalität informiert außerdem die Cybercrime-Meldestelle des Bundeskriminalamts. Eine Meldung dort ersetzt eine Strafanzeige bei der Polizei nicht.

Was können Betriebsräte tun?

Klare Regeln verhindern viele Probleme, bevor sie entstehen.

Eine Betriebsvereinbarung kann festhalten,

• ob Firmen-E-Mail, Internet und Dienstgeräte privat verwendet werden dürfen,
• welche Grenzen gelten,
• welche Sicherheitsmaßnahmen notwendig sind und
• was der Arbeitgeber kontrollieren darf.

Gerade beim letzten Punkt ist der Betriebsrat entscheidend. Cybersicherheit darf nicht zum Vorwand für eine umfassende Überwachung der Beschäftigten werden.

Der ÖGB betont dabei: Mehr Sicherheit darf nicht zulasten von Datenschutz und Mitbestimmung gehen.

Beschäftigte dürfen mit Cyberrisiken nicht allein gelassen werden.

Der ÖGB fordert mehr digitale Weiterbildung in den Betrieben. Auch die EU-Richtlinie NIS2 verlangt von betroffenen Unternehmen stärkere Cybersicherheitsmaßnahmen und sieht Schulungen vor.

Wo bekomme ich Hilfe?

Wer wegen privater E-Mail- oder Internetnutzung bereits eine Verwarnung erhalten hat, mit einer Entlassung konfrontiert ist oder Fragen zu Kontrollen im Betrieb hat, sollte den konkreten Fall prüfen lassen.

ÖGB-Mitglieder können sich an ihre Gewerkschaft wenden. Gibt es einen Betriebsrat, ist auch er eine wichtige erste Anlaufstelle.

Denn ein Eintrag in einem Datenleck ist eine Sache. Ob daraus arbeitsrechtliche Konsequenzen entstehen dürfen, eine ganz andere.