Die Datenpanne von Southern Company zählt nur das Unternehmen selbst: rund 400.000 Konten, kein Datum, keine Ursache

Southern Company·+1.44% — Southern Company, up 1.44 percent as of its last quote ist binnen eines Monats schon das zweite große US-Versorgungsunternehmen, bei dem Kundendaten über ein aus dem Internet erreichbares System verloren gegangen sind↗ ⁷. Die einzige Zahl, die es zu der Panne gibt, stammt von Southern selbst: rund 400.000 Kundenkonten, auf die über das Online-Kundenportal zugegriffen wurde↗ ¹². Ein Datum für den Angriff nennt das Unternehmen ebenso wenig wie eine Erklärung dafür, wie es dazu kam ¹. Die Benachrichtigungen an die betroffenen Kunden gehen in dieser Woche per US-Post und E-Mail hinaus ¹². Ob die Panne bis in die Geschäftszahlen reicht, steht am 5. November erstmals auf dem Prüfstand ⁵.

Einfallstor war das Kundenportal – nicht das Stromnetz

Southern, das in Atlanta ansässige Mutterunternehmen von Georgia Power, Alabama Power und Mississippi Power, teilte am 5. Oktober mit, ein unbefugter Dritter habe Zugriff auf begrenzte Kontoinformationen erhalten: Namen, Adressen, Telefonnummern, E-Mail-Adressen sowie die letzten vier Ziffern von Sozialversicherungsnummern und Steuer-Identifikationsnummern von Unternehmen ¹. Bankkontonummern, Zahlungskartennummern und Führerscheinnummern seien nicht berührt worden, sagt der Konzern – und betroffenen Kunden bietet er ein Jahr kostenlose Kreditüberwachung an ².

Etwa 300.000 der Konten liegen bei Georgia Power, das 2,8 Millionen Kunden versorgt ²³. Weitere 100.000 entfallen auf Alabama Power; Mississippi Power wird als betroffen genannt, eine Zahl wurde nicht veröffentlicht ¹. CenterPoint Energy hatte im September in einer Meldung an die US-Börsenaufsicht SEC eine eigene Datenpanne offengelegt – ebenfalls über ein extern zugängliches System ⁷.

Gezählt hat nur das Unternehmen selbst

Die landesweit tätige Sammelklagekanzlei Edelson Lechtzin nahm am 9. Oktober die Ermittlungen auf↗. Ademi LLP, eine Sammelklagekanzlei, zog am 14. Oktober nach↗ ¹⁴. In ihrer Mitteilung führt Ademi Daten zu Finanzkonten und Zahlungskarten unter den möglicherweise kompromittierten Informationen auf – Kategorien, auf die nach Angaben von Southern nie zugegriffen wurde ⁴². In genau dieser Lücke zwischen dem Behaupteten und dem Offengelegten werden solche Fälle verhandelt.

Bei CenterPoint weist der Generalstaatsanwalt von Texas inzwischen 1.062.060 betroffene Texaner aus und meldet, das Versorgungsunternehmen habe sie bislang nicht informiert ⁷. Bei Southern ist seit der Erklärung vom 5. Oktober keine Zahl einer Aufsichtsbehörde bekannt geworden. Die Atlanta Journal-Constitution verortete den Angriff über das Kundenportal in der Woche vor der Bekanntgabe↗, das Unternehmen bestätigte nichts ³¹.

Der 5. November entscheidet, ob die Datenpanne auf die Geschäftszahlen durchschlägt

Das Quartal ist ohnehin schon durch den Hurrikan Isaias belastet: Bis zum 10. Oktober hatten die Versorgungsunternehmen von Southern die Versorgung von rund 420.000 Kunden wiederhergestellt, etwa 80.000 waren noch ohne Strom ⁵. Analysten erwarten einen Gewinn je Aktie von 1,65 Dollar, nach 1,60 Dollar im Vorjahr ⁵. Der Umsatzkonsens liegt bei 8,26 Milliarden Dollar, gegenüber 7,82 Milliarden Dollar im Vorjahresquartal ⁵.

Für ein Unternehmen mit einem Börsenwert von rund 100 Milliarden Dollar ⁵ sind Kreditüberwachung und anwaltliche Verteidigung geringe Posten. Bei einem regulierten Versorgungsunternehmen werden solche Kosten vor den Kommissionen der Bundesstaaten verhandelt, die die Tarife festlegen – deshalb wiegt hier die Offenlegung schwerer als der Schadensersatz. BofA und JPMorgan senkten am 13. Oktober ihre Kursziele↗ ⁵, KeyBanc-Analystin Sophie Karp behält ihre Verkaufsempfehlung mit einem Kursziel von 74 Dollar bei – der Ausreißer unter Kurszielen, die nach wie vor dicht gedrängt in den Neunzigern liegen ⁵⁶.

Im Unternehmen selbst fällt die Insiderstimmung negativ aus: 51 Insider waren im vergangenen Quartal Nettoverkäufer↗ ⁶. Controller Matthew M. Kim verkaufte im vergangenen Monat 1.400 Aktien für 124.418 Dollar ⁶.

Ein Unternehmen, das seine eigene Datenpanne beziffert, ihr aber kein Datum geben will, verlangt von 400.000 Kunden, zwei Kanzleien und den Aufsichtsbehörden seiner Bundesstaaten, diese Rechnung auf Treu und Glauben zu akzeptieren. Der 5. November ist der erste Prüfstein dafür, was dieses Vertrauen kostet.