JP Morgan wegen Löschung von E-Mail-Aufzeichnungen von der SEC mit Geldstrafe belegt

• JP Morgan wurde mit einer Geldstrafe von rund 4 Millionen US-Dollar ($4m) belegt, nachdem das Unternehmen in großem Umfang elektronische Kommunikationsaufzeichnungen aus dem Jahr 2018 im Zusammenhang mit der Chase Bank verloren hatte.
• Die gelöschten Aufzeichnungen umfassten rund 47 Millionen elektronische Kommunikationsdatensätze aus etwa 8.700 Postfächern im Zeitraum vom 1. Januar 2018 bis zum 23. April 2018; ein Teil davon waren geschäftliche Unterlagen, die gesetzlich hätten aufbewahrt werden müssen.
• Das Unternehmen führte die Löschung durch, weil es davon ausging, dass die 36-monatige Aufbewahrungseinstellung des Archivierungsanbieters korrekt funktionierte, doch für die Chase-Domain stellte sich heraus, dass dieser Schutz nicht angewendet worden war.
• In mindestens 12 zivilrechtlichen aufsichtsrechtlichen Ermittlungen zu Wertpapieren erhielt JP Morgan Vorladungen und Dokumentenanforderungen, konnte die dauerhaft gelöschten Unterlagen jedoch weder wiederherstellen noch vorlegen.
• Nach dem Vorfall führte das Unternehmen eigene Aufbewahrungscodierung und Genehmigungsverfahren ein; die SEC ordnete an, künftige Verstöße zu unterlassen und eine Sanktion in Höhe von 4 Millionen US-Dollar zu zahlen.

---

Löschung von 47 Millionen Datensätzen und SEC-Sanktionen

• JP Morgan wurde von der SEC mit einer Geldstrafe von 4 Millionen US-Dollar belegt, nachdem das Unternehmen Millionen von E-Mail-Aufzeichnungen aus dem Jahr 2018 im Zusammenhang mit Tochtergesellschaften der Chase Bank gelöscht hatte.
• Das Ausmaß der Löschung betrug rund 47 Millionen elektronische Kommunikationsaufzeichnungen aus etwa 8.700 Postfächern.
  • Der betroffene Zeitraum reichte vom 1. Januar 2018 bis zum 23. April 2018.
  • Ein großer Teil davon wurde als geschäftliche Unterlagen eingestuft, die nach dem Securities Exchange Act von 1934 aufbewahrt werden mussten.
• Das Problem zog sich durch mindestens 12 zivilrechtliche aufsichtsrechtliche Ermittlungen zu Wertpapieren.
  • Acht davon waren Untersuchungen durch SEC-Mitarbeiter.
  • JP Morgan erhielt Vorladungen und Dokumentenanforderungen, konnte die Aufzeichnungen jedoch nicht wiederherstellen oder vorlegen, da sie dauerhaft gelöscht worden waren.

Fehlentscheidung im Löschprojekt

• Auslöser war ein Projekt, mit dem alte Kommunikation und Dokumente, für die keine Aufbewahrungspflicht mehr bestand, aus dem System gelöscht werden sollten.
• Der von JP Morgan implementierte Prozess konnte die als löschbar identifizierten Dokumente nicht ordnungsgemäß entfernen; im Zuge der Problemlösung wurde dann eine Löschung für elektronische Kommunikation aus dem ersten Quartal 2018 ausgeführt.
  • Damals ging JP Morgan davon aus, dass innerhalb der vom Exchange Act geforderten 36-monatigen regulatorischen Aufbewahrungsfrist liegende Datensätze so gespeichert seien, dass sie nicht dauerhaft gelöscht werden könnten.

Archivierungsanbieter und 36-monatige Aufbewahrungseinstellung

• JP Morgan sah die Verantwortung bei einem nicht namentlich genannten Archivierungsanbieter, der die Speicherung der Kommunikation übernommen hatte.
• Dieser Anbieter hatte JP Morgan und der FINRA mehrfach zugesichert, dass sein Medienspeicher die Regeln des Exchange Act zur 36-monatigen Aufbewahrungsfrist einhalte.
  • JP Morgan schloss daraus, dass Dokumente innerhalb dieses Zeitraums vor Löschung geschützt seien.
• Zum Schutz von Dokumenten, die aus anderen Gründen wie etwa Rechtsstreitigkeiten aufbewahrt werden mussten, war für Postfächer mit legal holds zusätzlich Codierung angewendet worden.

Tatsächlicher Ablauf der Löschung und Entdeckung

• Im Juni 2019 führte das Team Corporate Compliance Technology ein Projekt durch, um elektronische Kommunikation wie E-Mails und Instant Messages zu löschen, die nicht länger aufbewahrt werden musste.
• Als das von JP Morgan und dem Anbieter entwickelte Verfahren die geeigneten Dokumente nicht löschte, führte das Team über mehrere Zeiträume hinweg Löschvorgänge aus.
  • Dazu gehörten auch E-Mails vom 1. Januar 2018 bis zum 23. April 2018.
  • Das Team glaubte, dass Schutzmechanismen existierten, die die Löschung aufbewahrungspflichtiger Datensätze verhindern würden.
• Tatsächlich hatte der Anbieter die Aufbewahrungseinstellung auf die interne Chase-Domain von JP Morgan nicht korrekt angewendet.
  • Infolgedessen wurden E-Mails dieser Domain dauerhaft gelöscht, mit Ausnahme der Elemente, die durch zusätzliche Codierung für legal holds geschützt waren.
• JP Morgan erfuhr davon im Oktober 2019, als das Team für rechtliche Beweisauskunft feststellte, dass elektronische Kommunikation aus dem frühen Jahr 2018 fehlte.
• Das Unternehmen meldete den Vorfall im Januar 2020 an die SEC.

Maßnahmen zur Verhinderung einer Wiederholung und Bewertung der SEC

• Als Reaktion auf den Vorfall implementierte JP Morgan eigene 36-monatige Aufbewahrungscodierung und überarbeitete die Betriebsverfahren.
• Die neuen Verfahren verhindern, dass Löschvorgänge für elektronische Kommunikation ausgeführt werden, für die noch Aufbewahrungspflichten bestehen.
  • Mitarbeitende, die einen Löschvorgang ausführen wollen, müssen die Genehmigung eines leitenden Informationsverantwortlichen einholen.
• Die SEC kam zu dem Schluss, dass JP Morgan vorsätzlich gegen Section 17(a) des Exchange Act und Rule 17a-4(b)(4) verstoßen hat.
  • Diese Vorschriften verlangen, dass Broker-Dealer eingehende geschäftsbezogene Kommunikation und Kopien ausgehender Kommunikation mindestens drei Jahre lang aufbewahren.
• Die SEC ordnete gegenüber JP Morgan an, künftige Verstöße zu unterlassen und eine Sanktion in Höhe von 4 Millionen US-Dollar zu zahlen.
• JP Morgan erklärte, man nehme die Pflicht zur Aufbewahrung von Unterlagen ernst und habe Maßnahmen ergriffen, um Prozesse und Verfahren zu stärken.

[GN⁺]

Hacker-News-Kommentare

• Ich denke, grob lief es so: 1) Daten, die aus rechtlichen Gründen aufbewahrt werden müssen, dürfen nicht durch normale Löschverfahren entfernt werden 2) Daten, die gelöscht werden sollten, wurden nicht korrekt gelöscht 3) Um das zu beheben, wurden 2018 die bis zu diesem Zeitpunkt aufgelaufenen Löschanfragen manuell ausgeführt, in der Annahme, dass Regel 1 die aufzubewahrenden Daten schützen würde 4) Aber bei E-Mails, die an die Chase-Domain gesendet wurden, fehlte diese Einstellung aus 1. Die Fusion lag damals bereits 18 Jahre zurück 5) Niemand bemerkte es 1,5 Jahre lang
  Das größte Problem scheint mir Punkt 5 zu sein. Fehler passieren, aber wenn man es rechtzeitig bemerkt hätte, wären die Nachrichten wahrscheinlich noch in Backups gewesen. Wenn sie auch dort nicht waren, wäre das ein viel größeres Problem. Wegen Legal Discovery könnte es allerdings sein, dass man Backups absichtlich nicht lange aufbewahrt hat – aus demselben Grund, aus dem man alte E-Mails überhaupt löscht

  • Gesetze rund um Datenverarbeitung werden kaum durchgesetzt und scheinen deshalb nicht wirklich wie echte Gesetze zu funktionieren. Darum gehen die meisten Unternehmen ziemlich nachlässig mit Daten um
    Ohne einen ausreichenden Grund wäre es für ein Unternehmen womöglich irrational, mehr in die IT-Infrastruktur zu investieren. Selbst massive Leaks von Kundendaten werden faktisch kaum bestraft – wie soll man die Kosten für Gegenmaßnahmen vor einem Vorstand rechtfertigen, dessen Aktionäre schon wegen schwachem Wachstum im letzten Quartal verärgert sind
  • Es wirkt eher so, als würden Unternehmen solche Aufzeichnungen nicht wirklich archivieren, sondern nur den Zugriff auf Posteingang und Gesendet-Daten verfügbar halten und das für ausreichend halten. In vielen Umgebungen kann eine E-Mail nach dem Löschen aus dem Gesendet-Ordner praktisch irreversibel verloren sein
    Mich würde interessieren, was Leute aus der IT in der Praxis gesehen haben. Werden tatsächlich Protokolleinträge aller Nachrichten aufbewahrt, oder eher Snapshots aller Konten zu bestimmten Zeitpunkten?
  • Wie sehr hat das wohl andere Verfahren beeinflusst?

• Ich bin kein Anwalt, aber in vielen Ländern kann ein Richter eine negative Beweiswürdigung (adverse inference) anwenden und damit im Grunde annehmen, was in dem Beweisstück gestanden hätte
  Das dürfte nicht zugunsten der löschenden Partei ausfallen
  https://en.m.wikipedia.org/wiki/Adverse_inference

  • Die SEC sorgt meiner Meinung nach nicht für Gerechtigkeit, sondern ist eher eine Marionette der Banken. Eine Geldstrafe von 4 Millionen Dollar ist nichts für ein Unternehmen mit 12,62 Milliarden Dollar Quartalsgewinn
  • Das kann immer noch passieren. Das hier ist nur die Geldstrafe der SEC, rechtliche Folgen können später kommen
    Viele dieser E-Mails dürften unter Litigation Holds gefallen sein. Wenn Chase in einem solchen Verfahren auf E-Mails angewiesen ist, die hätten aufbewahrt werden müssen, aber nicht wurden, kann der Richter die Jury zu einer Spoliation Inference anweisen – also dazu, anzunehmen, dass die Beweise für Chase ungünstig gewesen wären
    Wenn es allerdings eher Inkompetenz als böse Absicht war, sinkt die Wahrscheinlichkeit dafür
  • Wenn die tatsächlichen Beweise schlimmer wären als das, was ein Richter vermuten würde, hieße das, dass es besser wäre, sie „versehentlich“ zu löschen
    Ich denke, solche Fälle gab es ziemlich oft
  • Nach dem Artikel ist es möglich, dass JP Morgan weder Beklagter noch Untersuchungsgegenstand ist. Dann greift eine negative Beweiswürdigung womöglich nicht

• Ich habe selbst schon so eine Art Vorfall verursacht. Ich war noch keine sechs Monate im Unternehmen, als es eine große interne Untersuchung gab, weil jemand mit einer selbst gebastelten Keycard unbefugt ins Gebäude gekommen war
  Ich sollte die Event-Logs einer Maschine analysieren, um zu sehen, was passiert war, und in einem Teams-Meeting mit etwa 12 Leuten klickte ich beim Rechtsklick auf das Event-Log versehentlich auf Löschen und bestätigte dann geistesabwesend auch noch den Dialog
  Ziemlich peinlich, aber ich habe es sofort ehrlich gesagt. Seitdem ziehe ich immer zuerst den Stecker und erstelle zuerst ein Disk-Image

  • Aus Neugier: Warst du auch derjenige, der die Keycard gebaut hat?
  • Wenn du in dem Moment sofort den Strom der Maschine getrennt hättest, hättest du die Event-Logs mit hoher Wahrscheinlichkeit wiederherstellen können. Es hätte ein paar Tage gedauert, wäre aber vermutlich besser gewesen, als keine Beweise gegen einen mutmaßlich böswilligen Akteur zu sichern

• Aus meiner Erfahrung in der Finanzbranche klingt das nach Unsinn
  Um Daten zu manipulieren, ganz zu schweigen von Infrastrukturänderungen, braucht man endlose Unterschriften und Meetings. Um auch nur einen Cloud-Ordner eines ausgeschiedenen Mitarbeiters zu bearbeiten, gibt es gefühlt 13 Besprechungen
  Aber sobald es vor Gericht geht, passieren auf wundersame Weise viele Dinge ganz von selbst – und zwar zugunsten des Unternehmens

  • Aus meiner Erfahrung mit Bewerbungen bei IT-Abteilungen im Finanzsektor klingt „Das war jahrelang kaputt und niemand hat es bemerkt“ deutlich treffender. Ich habe viele Unterschriften und Meetings gesehen, aber wenn jemand etwas falsch implementiert und es nicht so kaputtgeht, dass sich Leute beschweren, werden solche Verfahren bedeutungslos
  • Es gibt auch Backups
    Das ist die Enterprise-Version von „Die IT hat meinen Hund die Hausaufgaben fressen lassen“. Eine absurde Ausrede, für die man nur mit einer lächerlich kleinen Geldstrafe „bestraft“ wird
  • Meetings gibt es wirklich eine Million Mal, aber am Ende spielt die Änderung doch nur ein einzelner IT-Mitarbeiter ein
    Die Kosten, die Grundwahrscheinlichkeit von „Ups, mein Fehler“ auf null zu bringen, steigen exponentiell, und nicht jeder kann NASA-Niveau-Budgets für IT ausgeben
  • Akteure im Finanzsektor, die sich wie JP Morgan verhalten, sind buchstäblich Krebsgeschwüre der Wirtschaft geworden. Sie ziehen übermäßige Angiogenese an sich, überzeugen alle davon, dass der Körper stirbt, wenn man sie herausschneidet, und führen am Ende doch den ganzen Körper ins Verderben
    Dass wir Krebs beim Menschen noch nicht geheilt haben, liegt daran, dass wir gegenüber dem Krebs, den wir selbst geschaffen haben, die Augen verschließen

• 4 Millionen Dollar Geldstrafe? Das ist doch viel billiger als die Aufbewahrungskosten

  • Es wäre ironisch, wenn unter den gelöschten Nachrichten etwas stand wie: „Sind 4 Millionen Dollar billiger als die Strafe, die wir für andere Dinge bekommen würden, die wir getan haben?“
  • Es ist womöglich sogar billiger als die Strafe, die sie mit aufbewahrten Beweisen ursprünglich bekommen hätten
  • Einfach die üblichen Kosten des Geschäftsbetriebs |
  • Sehr wahrscheinlich ist es genau das

• Wenn es nicht so deprimierend wäre, wäre es urkomisch, wie offen und unverhohlen die Korruption hier zutage tritt. Wer auf der Welt würde so eine hanebüchene Geschichte glauben?
  Geldstrafen für solche Vorfälle sollten mit B anfangen und auf illionen enden, also bei Milliarden beginnen. Dann sehen wir mal, wie oft solche „Fehler“ noch passieren

  • Die Geschichte von falsch gesetzten Archivierungsregeln oder Fehlkonfigurationen klingt ziemlich plausibel und ist wahrscheinlich. Ich arbeite im Finanzsektor, und Fehlkonfigurationen in Systemen sind nicht selten. Tests und Reviews von Archivierungseinstellungen sind meist auch nicht besonders gründlich
    Ich habe zum Beispiel an einem System gearbeitet, das Bestands- und Handelsdaten für Fonds mit verwaltetem Vermögen in Billionenhöhe verarbeitete. Es gab eine SQL-Injection-Schwachstelle mit Rechten des Schema-Eigentümers. Zum Glück war es eine interne App, aber ein Entwickler vom Trading Desk hätte aus Versehen auch ein kollidierendes drop table-Statement einkopieren können
    Ich habe das alles dem Verantwortlichen erklärt, und die Antwort war: „Kein großes Problem, wir haben Echtzeit-Backups.“ Auf meine Frage, ob die Backups getestet wurden, hieß es nein. Auf die Frage, ob es ein Verfahren zur Wiederherstellung aus Backups gebe, hieß es nein. In einer Organisation, die schon bei fünf Minuten Ausfall in Panik gerät, fragte ich, wie lange eine Wiederherstellung dauern würde, und man wusste es nicht
    Unwissen ist wirklich eine glaubwürdige Erklärung. Auch in regulierten Branchen
  • Warum überhaupt Geldstrafen?
    Die Strafe für so etwas sollte der dauerhafte Entzug der Banklizenz sein. Wie soll man einem Unternehmen vertrauen, bei dem Beweise „versehentlich“ gelöscht werden können?
  • Glaubst du wirklich, dass es bei JP Morgan mit rund 300.000 Beschäftigten ein korruptes geheimes Netzwerk auf Verwaltungsebene geben könnte, das so etwas absichtlich organisiert, ohne dass es einen einzigen Whistleblower gibt?
    Das hier erscheint mir plausibler: https://www.sec.gov/news/press-release/2021-262
  • Man muss nicht einmal eine Geldstrafe verhängen. Wenn solche Unterlagen in einem Verfahren benötigt werden, sollte die Gegenseite immer dann standardmäßig eine negative Beweiswürdigung bekommen, wenn die Daten möglicherweise gelöscht wurden
  • Geldstrafe? Du meinst wohl Haft

• Das erinnert mich daran, wie die niederländische Regierung im Zusammenhang mit der Bildung einer neuen Regierung vertrauliche Dokumente „versehentlich“ gelöscht hat. Das wird untersucht, und Dokumente mit Gesprächsprotokollen hätten als belastende Beweise gegen einige Politiker dienen können
  Noch auffälliger wird es, wenn man bedenkt, wie nachlässig staatliche Stellen oft generell mit der Aufbewahrung von Dokumenten umgehen

• Jeder macht Fehler, also schon okay. Beim nächsten Mal einfach darauf achten, nicht die Beweise zu löschen

  • In der Zwischenzeit hat der Staat offenbar versehentlich die Steuerzahlungsunterlagen der letzten 12 Jahre gelöscht
    Du verstehst sicher, dass so etwas passieren kann. Jetzt musst du zahlen

• „Versehentlich“. Klar doch

  • Bonuspunkte, wenn die Archivierungspraxis auch noch dabei hilft, sich leichter selbst ins Bein zu schießen

• 4 Millionen Dollar wirken wie Kleingeld. JP Morgan verdient das weltweit wahrscheinlich in deutlich unter einer Stunde

  • 2022 waren es 177 Milliarden Dollar, also rund 484 Millionen Dollar pro Tag und etwa 20 Millionen Dollar pro Stunde
    Also ungefähr das, was sie in einer Kaffeepause verdienen