Sensible Geräte von Morgan Stanley wurden online versteigert
SEC verhängt Geldstrafe in Höhe von 35 Mio. Dollar gegen Vermögensverwaltungssparte des Kreditgebers wegen mangelnden Schutzes von Kundendaten
Die US-Aufsichtsbehörden haben Morgan Stanley wegen eines "erstaunlichen" Versäumnisses beim Schutz von Kundendaten mit einer Geldstrafe in Höhe von 35 Mio. Dollar belegt.
Die US-Börsenaufsichtsbehörde erklärte am Dienstag, dass die Vermögensverwaltungssparte der Wall Street Bank es versäumt hat, die Daten von rund 15 Millionen Kunden über einen Zeitraum von fünf Jahren zu schützen.
Mindestens seit 2015 hat die Bank, die einem Vergleich zugestimmt hat, ohne die Vorwürfe zuzugeben oder zu bestreiten, nach Angaben der SEC Geräte, auf denen persönliche Daten von Kunden gespeichert waren, nicht ordnungsgemäß entsorgt.
Morgan Stanley beauftragte ein Umzugsunternehmen, das nicht auf die Entsorgung von Daten spezialisiert war, und beauftragte es mit der Deaktivierung Tausender Server und Festplatten, so die Behörde.
Das Umzugsunternehmen verkaufte anschließend Tausende von Geräten der Bank, von denen einige Kundendaten enthielten, an einen Dritten, bevor sie schließlich auf einer Online-Auktionsseite weiterverkauft wurden. Die Bank hat einige, aber nicht die meisten Geräte zurückerhalten, so die SEC.
Die Behörden stellten außerdem fest, dass Morgan Stanley es versäumt hatte, Kundendaten zu schützen, als es einige Server in seinem Netzwerk abschaltete. Dabei stellte die Bank fest, dass 42 Server fehlten, auf denen möglicherweise unverschlüsselte persönliche Daten von Kunden gespeichert waren.
"Wir freuen uns, dass wir diese Angelegenheit klären konnten. Wir haben die betroffenen Kunden bereits vor mehreren Jahren über diese Vorfälle informiert und konnten keinen unbefugten Zugriff auf persönliche Kundendaten oder deren Missbrauch feststellen", so Morgan Stanley in einer Erklärung.
Der Direktor der SEC-Abteilung für die Durchsetzung der Vorschriften, Gurbir Grewal, bezeichnete die Versäumnisse von Morgan Stanley als "erstaunlich".
"Die heutige Maßnahme sendet eine klare Botschaft an die Finanzinstitute, dass sie ihre Verpflichtung zum Schutz solcher Daten ernst nehmen müssen", so Grewal in einer Erklärung.
Die Strafe ist deutlich höher als die 1 Million Dollar, die das Vermögensverwaltungsunternehmen im Jahr 2016 wegen eines ähnlichen Vergehens an die SEC zahlen musste. Dieselbe Sparte erzielte auch einen Vergleich in einer Sammelklage wegen Datenschutzverletzungen, der die Einrichtung eines Fonds in Höhe von 60 Millionen Dollar zur Entschädigung der Opfer vorsieht.
Morgan Stanley übernahm 2009 eine Mehrheitsbeteiligung an der Citigroup-Vermögensverwaltungssparte Smith Barney und schloss 2012 eine vollständige Übernahme ab.
Die Sparte bildete das Kernstück von Morgan Stanleys Vorstoß in die Vermögensverwaltung und seinen Bemühungen, seine Abhängigkeit vom Investmentbanking und Handel zu verringern.
Das Vorgehen gegen Morgan Stanley kommt zu einem Zeitpunkt, an dem die SEC die Aufzeichnungspraktiken der Wall Street verstärkt unter die Lupe nimmt. Die Behörde hat eine Untersuchung der Kommunikationsspeicherung eingeleitet, die sich auf den gesamten Bankensektor ausgeweitet hat. Die Kreditgeber bereiten sich darauf vor, mehr als 1 Milliarde Dollar an Strafen an die SEC und die Commodity and Futures Trading Commission zu zahlen.
JPMorgan hat sich im Dezember bereit erklärt, den US-Aufsichtsbehörden eine Rekordsumme von 200 Mio. Dollar zu zahlen, weil es versäumt wurde, Aufzeichnungen über die Kommunikation der Mitarbeiter auf persönlichen Geräten zu führen.