Die hässliche Wahrheit über Datenlecks

Datenpannen lassen sich nicht verhindern.

Sie sind mehr oder weniger unausweichlich.

Wir wissen, dass dies keine schöne Erkenntnis ist, aber es ist nun mal die Wahrheit. In dem Moment, in dem Sie Daten an eine Website oder einen Online-Service übergeben, geben Sie jegliche Kontrolle darüber auf. Diese Websites können Ihre Daten dann an andere Unternehmen verkaufen, was sie häufig auch tun, und wenn Sie Glück haben, bleibt es dabei. Im schlimmsten Fall aber führen lasche Sicherheitsmaßnahmen dazu, dass Hacker und andere zwielichtige Akteure die Website übernehmen und für ihre Zwecke missbrauchen.

Und wenn Sie glauben, durch Verzicht auf Dienste wie Google oder Facebook diese Risiken vermeiden zu können, dann liegen Sie falsch. Denken Sie daran: Diese Dienste können und werden Ihre Daten an andere Unternehmen verkaufen, über die Sie rein gar nichts wissen. Wenn es bei diesen zu einem Datenleck kommt, könnten Ihre Daten davon ebenso betroffen sein, und Sie würden es nicht einmal bemerken. Tatsächlich war dies einer der Gründe, warum die Datenpanne bei Equifax so verheerend ausgefallen war. Selbst Personen, die den Dienst niemals genutzt hatten, sahen ihre Daten kompromittiert, weil ihre Banken diese ungefragt weitergegeben hatten.

Es gab übrigens kürzlich eine Einigung mit Equifax. Falls Sie also von dem Datenleck betroffen waren, könnten Sie möglicherweise dabei noch etwas Geld herausholen. Es ist weniger als ursprünglich gefordert, Sie bekommen aber immerhin etwas Kleingeld, für die Mühe, das Formular auszufüllen.

Außer bei kompletter Abnabelung von der modernen Gesellschaft besteht immer ein gewisses Risiko, wie gering das auch sein mag, dass Ihre persönlichen Daten kompromittiert werden.

Wie kommt es zu Datenlecks?

Ganz einfach. Daten sind wertvoll, Unternehmen besitzen große Mengen davon und verfügen über viele Möglichkeiten, an sie zu gelangen.

Selbst die unbedeutendsten Websites, die aber ein Anmeldekonto verlangen, sind im Besitz von Daten, die für Hacker oder andere unlautere Akteure interessant sind. Dies können Passwörter sein, die möglicherweise mehrfach verwendet werden, wodurch andere Konten zugänglich werden können, oder aktive E-Mail-Adressen, die sich zum Spamming oder Phishing missbrauchen lassen. Es gibt viele Möglichkeiten, Ihnen Schaden zuzufügen. Und größere Websites, die von der Kreditkarte bis hin zu Ihrer Sozialversicherungsnummer alles gespeichert haben, sind natürlich noch attraktiver für Hacker, da diese Angaben praktisch einem unterzeichneten Scheck gleichkommen. Selbst Krankenakten oder Finanzunterlagen könnten für Kriminelle interessant sein, da sie mit Hilfe dieser Informationen äußerst überzeugende „Spear-Phishing“-E-Mails verfassen können, um Menschen um ihr Geld zu bringen.

Zur Frage, wie diese Datenlecks entstehen, lässt sich sagen, dass es so viele Möglichkeiten gibt, an die Datenschätze zu gelangen, wie Sterne am Himmel stehen. Hacker könnten:

• Eine Flutwelle an Phishing-E-Mails versenden: Wenn auch nur ein Mitarbeiter unvorsichtig genug ist, auf den präparierten Link zu klicken, dann haben sie schon ihr Ziel erreicht.

• Infizierte USB-Sticks in ein Bürogebäude einschmuggeln.

• Schwachstellen in veralteter Software ausnutzen, wie sie mitunter noch in Unternehmen verwendet wird. 

• Ehemalige Mitarbeiter bestechen oder sie überreden, ihnen den Zugang auf das System zu gewähren. 

• Schwachstellen aufspüren, die in der Sicherheitsinfrastruktur bestehen.

• Sich als Geschäftspartner ausgeben und darum bitten, bestimmte Daten einsehen zu dürfen.

Und das ist nur die Spitze des Eisbergs. Hacker sind unglaublich kreativ in ihrem Bemühen, an ihr Ziel zu kommen. Aber es gibt auch gute Nachrichten...

Sie können diese Gefahr minimieren.

Zwar lässt sich das Risiko eines Datenlecks niemals völlig ausschließen, aber es gibt Maßnahmen, die in einem solchen Falle die Auswirkungen abmildern.

1. Löschen Sie möglichst viele der frei verfügbaren Angaben zu Ihrer Person

Im Internet kursieren viele Daten über Sie, wobei Sie einige davon wahrscheinlich selbst übermittelt haben – zum Beispiel Ihre E-Mail-Adresse und den vollständigen Namen in einem LinkedIn-Konto. Bei anderen Daten hingegen werden Sie nicht einmal wissen, dass diese überhaupt verfügbar sind. Google, Facebook und zahlreiche andere Unternehmen verdienen ihr Geld damit, Daten über Sie zu sammeln, was häufig in völlig unerwarteter Form geschieht: Ihre Shoppingvorlieben bis hin zu Angaben aus Ihrer Krankenversicherung – all das lässt sich mit deren Tracking-Tools und Tricks erfassen.

Die gute Nachricht ist, dass viele dieser Daten anonymisiert wurden: In der Regel interessieren sich die Unternehmen nicht für Sie, sondern eher für demografische Informationen und Trends. Sie wollen wissen, wie hoch der Anteil an Diabetikern innerhalb der Zielgruppe ist und nicht, ob gerade Sie selbst an Diabetes leiden. Es gibt wohl kaum einen Hacker, der sich dafür interessieren würde. Bei einer entsprechenden Datenpanne hätten Sie also nichts zu befürchten. Kommt es jedoch zu einem Leck, bevor diese Angaben anonymisiert wurden, dann sieht die Sache schlechter aus. Kommt es in dieser Phase zu einer Panne, dann haben Sie tatsächlich ein Problem.

Allerdings gibt es eine Möglichkeit, derartige Daten auf ein Minimum zu reduzieren. Bei Nutzung eines VPN und eines Anti-Tracking-Dienstes werden die meisten (jedoch nicht alle) dieser Tools unbrauchbar gemacht, mit denen einschlägige Websites und Unternehmen Ihnen nachspüren, um Ihre Daten zu sammeln. Abgesehen von einer allgemeinen Verbesserung Ihrer Online-Privatsphäre wird so auch dafür gesorgt, dass bei Datenlecks irgendeines Online-Dienstes (von denen Sie etwas erfahren oder auch nicht – viele Unternehmen halten schließlich Sicherheitspannen dieser Art geheim) wahrscheinlich keine Ihrer Daten unbemerkt kompromittiert werden.

Es ist zwar keine Garantie, ist aber immerhin ein guter Ansatz.

2. Nutzen Sie 10MinuteMail beim Erstellen von Konten

10MinuteMail ist ein kostenloser Dienst, der eine gültige aber temporäre E-Mail-Adresse bereitstellt, die nur 10 Minuten lang existiert. 

Er ist also nicht unbedingt für die Korrespondenz mit Ihrer Mutter geeignet, aber perfekt, wenn es darum geht, dass bei der Einrichtung und Validierung von Online-Konten Ihre wirkliche E-Mail-Adresse geheim bleibt. Sie können sich auch bei dem Konto anmelden, nachdem Ihre 10MinuteMail-Adresse abgelaufen ist. Sollte es bei dem verwendeten Dienst bzw. der Website tatsächlich mal zu einem Leck kommen, dann erhalten die Hacker nur eine wertlose, stillgelegte E-Mail-Adresse. 

Damit lässt sich auch hervorragend Spam vermeiden. Nur als kleine Anmerkung.

3. Versuchen Sie es mal mit einer digitalen Kreditkarte zum Online-Shopping

Es ist immer problematisch, wenn überhaupt Daten zu Ihrer Person kompromittiert werden. Besonders gravierend aber dürfte es sein, wenn es sich dabei Angaben wie Ihre Kreditkartennummer oder Bankdaten handelt.

Leider aber müssen Sie solche Angaben immer wieder dieser Gefahr aussetzen, wenn Sie Online-Shops und -Dienste nutzen wollen, richtig?

Vielleicht aber auch nicht! Dienste wie Privacy.com bieten eine attraktive Alternative, die dafür sorgt, dass Ihre Kredit- oder Debitkartendaten sicher bleiben, auch wenn es auf der Website, bei der Sie gerade etwas bezahlt haben, zu einem Datenleck kommt. Solche Dienste stellen für jeden Shop, bei dem Sie etwas kaufen, eine eigene „digitale Kreditkarte“ zur Verfügung. Sie können diese Karte mit einem bestimmten Geldbetrag aufladen und anschließend in diesem Rahmen beliebig damit einkaufen, statt Ihre echte Kreditkarte zu verwenden. Bei einem Datenleck bleiben die Daten der richtigen Kreditkarte geschützt, während die kompromittierte digitale Imitation mühelos vernichtet und durch eine neue, zu 100 Prozent sichere Karte ersetzt werden kann.

Dies ist ein vielversprechendes Konzept, mit dem sich einige Ihrer wichtigsten Daten schützen lassen.

4. Google Alert einrichten

Sie können zwar nichts tun, um die Sicherheit der genutzten Dienste und Websites zu garantieren, aber Sie können Maßnahmen ergreifen, um auf Datenlecks vorbereitet zu sein. Eine geeignete Maßnahme ist die Einrichtung eines Google Alert zu Begriffen wie „Data Leak“ oder „Data Breach“. Sie erhalten dann zwar sehr viele Informationen und Links zu diesem Thema, werden aber immerhin innerhalb von 24 Stunden gewarnt, falls es bei einem dieser Dienste oder Webseiten zu einer Datenpanne gekommen sein sollte.

Lesen Sie diese Artikel. Selbst, wenn Sie niemals etwas von dem Ort gehört haben, an dem die Datenpanne aufgetreten ist, und sich auch sicher sind, diesen niemals besucht haben, so lässt sich dennoch nicht ganz ausschließen, dass man genau dort Informationen über Sie gespeichert sind. Informieren Sie sich zumindest darüber, welche Daten und Nutzer davon betroffen sind. Sie könnten überrascht sein, wie relevant dies für Sie ist.

Falls Ihnen der betreffende Ort tatsächlich bekannt ist, dann ist es für Sie enorm wichtig, das Ausmaß des Lecks in Erfahrung zu bringen, um ggf. geeignete Sicherheitsmaßnahmen ergreifen zu können. In jedem Falle sollten Sie jedoch das Passwort für alle Konten ändern, die mit den kompromittierten Websites in Verbindung stehen, und ebenso für all jene Konten, bei denen Sie bisher dasselbe Passwort verwendet haben.

Wir können es nicht oft genug sagen: Verwenden Sie niemals ein und dasselbe Passwort für mehrere Konten.

5. Handeln Sie umgehend!

Nun ist es doch passiert! Sie haben erfahren, dass es zu einem Datenleck gekommen ist und dabei wichtige Informationen, z. B. Ihre Kreditkartennummer oder Passwörter, kompromittiert wurden.

Zögern Sie nicht, bei den entsprechenden Stellen anzurufen und Änderungen vornehmen zu lassen. Handeln Sie sofort!

Würden Unternehmen offen mit dem Problem Datenpannen umgehen und diese auch umgehend eingestehen, dann bliebe Ihnen etwas mehr Spielraum. Andererseits sind die betroffenen Daten in der Regel verschlüsselt, sodass Hacker einige Zeit für deren Entschlüsselung aufwenden müssen, um etwas mit ihnen anfangen zu können. Allerdings vergehen häufig einige Monate, bevor Unternehmen ein solches Leck bemerken (oder es zugeben). Somit haben Sie keine Sekunde zu verlieren.

Sie müssen also Ihre Kreditkarte sperren, die Überwachung Ihres Zahlungsverkehrs beantragen, Passwörter ersetzen… tun Sie dies sofort, sobald Sie erfahren haben, dass Sie von einem Datenleck betroffen sind. Es mag unbequem sein, aber wenn Ihre Daten erst einmal öffentlich sind, dann lautet Frage nicht mehr ob, sondern nur noch wann Sie angegriffen werden. Ergreifen Sie also frühzeitig geeignete Maßnahmen, um das Zeitfenster eines möglichen Angriffs klein zu halten und die Pläne zu vereiteln, die Kriminelle mit Ihren Daten verfolgen, sei es eine einfache Spam-Kampagne oder ein Identitätsdiebstahl.

Zum Abschluss

Solange Unternehmen damit Geld verdienen, Ihre Daten zu erfassen, solange wird es auch immer wieder zu Datenlecks kommen. Dies ist eine unvermeidbare Folge unserer vernetzten und technologieabhängigen Welt. Abgesehen davon, dass Sie Ihre eigene Sicherheitsfirma aufbauen oder selbst zum Whitehat-Hacker werden könnten, bleibt Ihnen nicht viel, was Sie dagegen unternehmen können. Betrachten Sie es einfach als eine Art Naturkatastrophe: Sie können es weder kontrollieren noch können Sie es vorhersagen. Sie können sich nur entsprechend darauf vorbereiten, um dann gegebenenfalls umgehend zu reagieren. Es ist vielleicht nicht lebenswichtig, aber es kann Sie vor Geldverlust schützen und Ihnen eine Menge Stress ersparen.

Das wollen wir zumindest hoffen.