Obwohl der Equifax-Hack nicht das größte Datenleck in der Geschichte ist – diese zweifelhafte Ehre ist wahrscheinlich immer noch Yahoos insgesamt 1,5 Milliarden gehackten Konten zwischen 2013 und 2014 vorbehalten, – ist er doch eines der verheerendsten. Der Hack gefährdete die Sozialversicherungsnummern, Kreditkartennummern, Geburtsdaten, Führerscheinnummern und Adressen von über 143 Millionen Menschen.
Wenn Sie Amerikaner sind – oder einmal in den USA gearbeitet haben – und sich keine Sorgen machen, sind Sie nicht im Bilde. Hier lesen Sie, was Sie über den Equifax-Hack wissen müssen, wie er sich auf Sie auswirken könnte und wie Sie sich schützen können.
Sie kennen Equifax nicht? Aber umgekehrt kennen die Sie wahrscheinlich recht gut.
Equifax ist eine der vier großen Wirtschaftsauskunfteien mit Sitz in den USA. Diese sammeln Informationen über alle unsere Kredit- und Zahlgewohnheiten, um Bonitätsauskünfte über uns zu erstellen. Jede Institution, die in der Lage ist, Ihnen ein Darlehen zu gewähren, Ihr Geld zu verwalten oder Ihnen Geld zu schicken, kann auf Ihre Bonitätsauskunft zugreifen, um zu entscheiden, ob sie mit dem Vorgang fortfahren möchte.
Sozialversicherungsnummern
Geburtsdaten
Führerscheinnummern und andere Identitätsnachweise
Adressen
Kreditkartennummern und Einkaufshistorien
Informationen zu Darlehen und Schulden
Bankverbindungen
Bereits Mitte März fanden Sicherheitsforscher eine Schwachstelle in der Open-Source-Software Apache Struts, mit der bestimmte Websites erstellt werden – unter anderem die von Equifax.
Zwar wurde ein Patch für die Schwachstelle veröffentlicht, doch hat Equifax es offenbar versäumt, diesen zu implementieren, sodass Hacker von Mitte Mai bis Ende Juli auf ihr System zugreifen konnten. Erst dann bemerkte Equifax den Sicherheitsverstoß und schloss die Lücke. Das Unternehmen führte daraufhin eine interne Prüfung durch, die Anfang September endete, als der Vorfall offiziell bekannt gegeben wurde.
Das bedeutet, dass nicht nur die persönlichen Daten dieser 143 Millionen Menschen fast 2 Monate lang gefährdet waren, sondern dass die Diebe auch fast 4 Monate Zeit hatten, um die gestohlenen Identitäten zu nutzen.
Sie finden das empörend? Es wird noch schlimmer. Abgesehen von der mangelhaften Sicherheit wurde später publik, dass mehrere Equifax-Manager große Mengen an Aktien verkauft hatten, nachdem der Verstoß entdeckt wurde, aber bevor er an die Öffentlichkeit gelangte. Während das Unternehmen behauptet, dass der Verkauf in keinem Zusammenhang steht, sieht er zumindest nicht danach aus.
Das Equifax-Datenleck ähnelt keinem anderen, von dem Sie vielleicht schon einmal gehört haben. Frühere Vorfälle hatten immer ganz bestimmte Teile der Online-Identität von Personen betroffen: ein Instagram-Konto hier, ein Apple-Konto dort, vielleicht mal eine Kreditkartennummer ... Aber dies ist die erste Sicherheitsverletzung, die an einem Ort auftrat, wo fast alle wesentlichen, offiziell anerkannten Identitätsnachweise versammelt sind.
Bei diesem Datenleck konnten Diebe Ihre komplette Identität stehlen.
Mit anderen Worten: Durch diese eine Equifax-Sicherheitsverletzung bekamen Hacker alle Informationen, die sie brauchten, um Ihre Identität zu stehlen.
Es gibt verschiedene Möglichkeiten, wie Diebe die geleakten Informationen für den Diebstahl Ihrer finanziellen Identität verwenden können. Sie könnten beispielsweise:
Neue Kredite bei verschiedenen Institutionen beantragen und riesige Schuldenberge aufhäufen
Ihre Steuerrückzahlungen stehlen und Ihnen Probleme mit dem Finanzamt bereiten
Mit Ihren Kreditkarten einkaufen
Sich in Ihrem Namen bei Versorgungsunternehmen und Dienstleistern anmelden
Studienkredite erhalten
Ihre Kreditwürdigkeit ruinieren
Jeder dieser Faktoren könnte Ihr Finanzleben langfristig beeinträchtigen, ein Schaden, dessen Behebung Jahre dauern kann. Selbst wenn die Probleme gelöst wurden, könnte es schwieriger für Sie werden, Kredite oder Hypotheken zu bekommen, wenn Sie sie brauchen, und sogar Ihre zukünftigen Beschäftigungsaussichten könnten in Mitleidenschaft gezogen werden, wenn Arbeitgeber Ihre Unterlagen überprüfen.
Es geht nicht nur um Geld. Identitätsdiebe könnten unter Ihrem Namen Verbrechen begehen: Alles von Ladendiebstahl, über die Nichtbegleichung von Hotel- oder Krankenhausrechnungen bis hin zum Anhäufen von Strafzetteln wegen Geschwindigkeitsüberschreitungen ... Ehrlich: Kriminelle sind oft viel einfallsreicher, als wir uns das vorstellen können.
Der Punkt ist, dass Sie für diese Verbrechen verantwortlich gemacht würden und Polizei, Rechtsanwälte und Inkassounternehmen vor Ihrer Tür stehen könnten, um Sie zu verhaften oder Entschädigung zu fordern. Und in vielen Fällen müssten Sie physisch in dem Bundesstaat vorsprechen, in dem das Verbrechen verübt wurde, um Ihre Unschuld zu beweisen.
Equifax hat eine Website eingerichtet, auf der Sie einen Teil Ihrer Sozialversicherungsnummer eingeben können, um zu überprüfen, ob Sie betroffen sind. Ja, das Unternehmen, das wichtige Daten nicht geschützt hat, bittet Sie, mehr davon anzugeben, um zu sehen, ob Sie betroffen sind. Und das Schlimmste: Mehrere Forscher haben darauf hingewiesen, dass das System nicht nur unsicher erscheint (Überraschung!), es könnte sich auch als reine Verzögerungstaktik des Unternehmens handeln: Die Eingabe von Kauderwelsch hatte das gleiche Ergebnis wie die Eingabe legitimer Informationen.
Wenn Sie außerdem ein kanadischer oder britischer Staatsbürger sind, der möglicherweise von der Verletzung betroffen ist, bietet das System keine Möglichkeit, Ihre Daten zu überprüfen.
Mit anderen Worten: Sie sollten der Equifax-Website nicht vertrauen.
Die meisten der gestohlenen Daten beziehen sich auf Dokumente und Identitätsnachweise, die sich nicht leicht ändern lassen. Das bedeutet, dass selbst nach Jahren noch jemand irgendwo Zugang zu diesen Daten erhalten und diese nutzen könnte, wodurch Sie allen oben genannten Risiken ausgesetzt sind.
Den Geist zurück in die Flasche zu bekommen, wird hier nicht einfach sein. Tatsächlich ist es fast unmöglich, wenn Ihre Informationen gestohlen wurden. Dennoch gibt es einige Maßnahmen, die Sie ergreifen können:
Credit Freeze bei jeder Wirtschaftsauskunftei für Privatpersonen beantragen
Richten Sie Betrugswarnungen ein – nach Möglichkeit mit langer Laufzeit
Prüfen Sie regelmäßig Ihre Bonitätsauskunft
Behalten Sie Ihre Steuererklärung im Auge
Extremfall: Erwägen Sie, Ihre Sozialversicherungsnummer zu ändern
Dies ist das Allererste, was Sie tun sollten, um sich vor Finanzbetrug zu schützen und Ihre Kreditwürdigkeit zu bewahren. Um ein Credit Freeze (auch Security Freeze genannt) einzurichten, müssen Sie sich mit jeder der vier großen Wirtschaftsauskunfteien für Privatpersonen in Verbindung setzen:
Die Einrichtung des Credit Freeze sollte online möglich sein, aber in einigen Fällen müssen Sie sie auch telefonisch oder schriftlich beantragen. Jede Auskunftei sendet Ihnen eine PIN zu, mit der Sie Ihre Kredithistorie entsperren können, um neue Kredite zu beantragen.
Für den Vorgang wird ggf. eine kleine Gebühr fällig, aber wenn Sie eine Kopie eines Polizeiberichts und eine eidesstattliche Versicherung, dass Sie wahrscheinlich das Opfer eines Identitätsdiebstahls sind (was nicht schwer ist bei diesem Datenmissbrauchsfall), vorlegen, ist der Credit Freeze kostenlos.
Credit Freezes sind nicht perfekt, aber sie sind das Beste, was Sie zu Ihrem eigenen Schutz tun können.
Doch selbst wenn Sie einen gewissen Betrag investieren müssen: Es lohnt sich. Es hält nicht nur Kriminelle davon ab, neue Kreditlinien zu eröffnen, sondern verhindert auch, dass Kreditgeber Ihre Bonität überprüfen können – was zum Schutz Ihrer Kreditwürdigkeit beiträgt.
Während diese Sperren sich bei weitem nicht als perfekt erwiesen haben, sind sie immer noch das Beste, was Sie tun können, um Ihr Konto zu schützen.
Was auch immer passiert, lassen Sie sich nicht von der Einrichtung der Sperre durch Angebote für andere Dienste ablenken: Eine „Kreditsperre“ ist nicht dasselbe wie ein Credit Freeze und wird die Auskunfteien nicht davon abhalten, Ihre Auskunft an jeden zu verkaufen, der sie haben möchte.
Denken Sie daran, dass die Auskunfteien durch den Verkauf Ihrer Bonitätsinformationen einen Großteil ihres Geldes verdienen und daher nicht geneigt sind, davon ohne weiteres Abstand zu nehmen.Ziehen Sie es durch.
Betrugswarnungen sind eine zusätzliche Sicherheitsstufe, die Sie für Ihre Kredithistorie einrichten können. Mit einer Betrugswarnung sollte kein Kreditgeber oder Dienstanbieter ein Darlehen gewähren, ohne vorher Ihre Zustimmung einzuholen. Sie müssen nur eine Betrugswarnung bei einer der oben genannten Auskunfteien beantragen. Diese sind gesetzlich verpflichtet, die Warnung an die anderen weiterzugeben.
Betrugswarnungen werden nur 90 Tage lang verschickt, aber Sie sollten die Möglichkeit haben, eine Verlängerung für sieben Jahre zu beantragen, wenn Sie die gleiche Art von Polizeibericht oder eidesstattlicher Versicherung vorlegen, die für einen Credit Freeze verwendet wird.
Aber denken Sie daran, dass die Auskunfteien, obwohl sie sich mit Ihnen in Verbindung setzen sollten, nicht gesetzlich dazu verpflichtet sind. Eine Betrugswarnung ist kein Ersatz für das Beantragen eines Credit Freeze.
Sie sollten Ihre Bonitätsauskunft regelmäßig prüfen und jede verdächtige Aktivität melden, die Sie entdecken. Tun Sie dies sicherheitshalber einmal im Quartal. Sie können eine kostenlose Kopie Ihrer Bonitätsauskunft bei den Auskunfteien über die staatlich vorgeschriebene Website anfordern: annualcreditreport.com.
Kreditüberwachungsdienste verhindern kaum, dass neue Kreditlinien eröffnet werden oder Betrüger Verbrechen begehen, aber sie könnten nützlich sein, um sich später von Identitätsdiebstahl und Finanzbetrug schneller zu erholen. Sie sind auch teurer als die Gebühren für einen Credit Freeze.
Kreditüberwachungsdienste verhindern kaum Betrug oder Identitätsdiebstahl.
Als Reaktion auf das Datenleck bietet Equifax derzeit eine einjährige kostenlose Kreditüberwachung an. Im Kleingedruckten wird erwähnt, dass Sie bei der Nutzung des Dienstes in Zukunft auf alle Rechte zur Beteiligung an Sammelklagen verzichten, aber in einer schriftlichen Erklärung wurde verlautet, dass dies nicht für das aktuelle kostenlose Angebot gilt.
Es gibt also wirklich keinen Grund, es nicht zu nutzen. Sobald das Gratisjahr abläuft, können Sie jedoch damit rechnen, dass Ihnen eine kostenpflichtige Verlängerung aufgedrängt wird.
Wenn Sie feststellen, dass jemand bereits Ihre Steuererklärung an Ihrer Stelle eingereicht hat, wenden Sie sich sofort an Ihre örtlichen Behörden, um dies zu melden. Steuerbetrug ist ein wachsendes Problem und das Equifax-Leck hat dies so einfach wie nie zuvor gemacht.
Sie sollten Ihre Erklärung frühzeitig einzureichen, um einen Vorsprung vor Betrügern zu erhalten.
Wenn Ihre Sozialversicherungsnummer geleakt wurde, wird keine der oben beschriebenen Maßnahmen bewirken, dass Sie sie je wieder sicher verwenden können. Ihre Sozialversicherungsnummer kann auf vielfältige Weise eingesetzt werden, einschließlich Steuerbetrug. Und wenn Sie glauben, dass Ihnen der Umgang mit Finanzinstituten Kopfschmerzen bereitet, warten Sie einfach, bis sich das Finanzamt bei Ihnen meldet.
Dies sollte nicht auf die leichte Schulter genommen werden sollte, deshalb können Sie eine neue Sozialversicherungsnummer anfordern. Der Vorgang ist nicht einfach und erfordert viel Dokumentation, aber die Regierung hat eine Seite mit allen nötigen Informationen zum Ändern Ihrer Sozialversicherungsnummer eingerichtet.
Während Identitätsdiebe definitiv eine Bedrohung darstellen, ist die Menge der von Equifax geleakten Informationen auch für Betrüger eine wahre Fundgrube. Sie können diese nutzen, um Sie – oder Menschen, denen Sie nahe stehen – mit allen Arten von maßgeschneiderten Betrugsmaschen anzugreifen.
„Hier ist Equifax, um Ihre Kontoinformationen zu überprüfen.“
Falsch. Richtig ist: Equifax ruft weder Sie noch sonst jemanden an. Wenn Sie einen Anruf erhalten, der angeblich von Equifax stammt, geben Sie keine persönlichen Daten weiter. Legen Sie auf und kontaktieren Sie Equifax selbst über die Nummer auf der Website.
Richtig ist: Equifax ruft niemanden an. Wenn Sie einen angeblichen Anruf von Equifax erhalten, legen Sie auf.
Vertrauen Sie auch nicht der Anrufanzeige – Betrüger wissen, wie man Rufnummern fälscht. Und wenn es sich um einen automatisierten Anruf handelt, drücken Sie keine Zahlen, um mit einem echten Mitarbeiter zu sprechen oder Ihre Nummer aus der Liste zu entfernen.
Grundsätzlich gilt: Wenn Sie den Anruf nicht eingeleitet haben, geben Sie nichts von sich preis.
Haben Sie einen Anruf erhalten, den Sie für betrügerisch halten? Melden Sie es der Federal Trade Commission.
Wir haben in der Vergangenheit schon darüber geschrieben, wie man gefälschte E-Mails erkennt. Jetzt ist es an der Zeit, Ihre Paranoia anzufeuern. Achten Sie hierbei auf die Adresse, von der die E-Mails stammen: Equifax sendet nur E-Mails über die Adressen @equifax.com, @trustedid.com und @e.equifax.com.
Betrüger können Adressen erstellen, die fast identisch mit den echten erscheinen, also achten Sie besonders auf die Details. Als zusätzliche Vorsichtsmaßnahme sollten Sie niemals auf einen der Links in den E-Mails klicken oder einen Anhang herunterladen.
Wenn Sie der Meinung sind, dass eine E-Mail legitim sein könnte, öffnen Sie Ihren Browser und rufen Sie die Equifax-Website direkt auf, um sicherzugehen, dass es sich um die richtige Website handelt.
Erinnern Sie sich an die Seite, die Equifax eingerichtet hat, damit Sie überprüfen können, ob Sie von dem Datenleck betroffen sind – von der wir sagten, dass sie nicht vertrauenswürdig ist? Nun, jemand hat sie bereits gefälscht. Schlimmer noch, der Equifax-Kundendienst hat diese gefälschte Website per Twitter an seine Kunden weitergeleitet.
Ja, das ist wirklich passiert. Und obwohl sich herausstellte, dass es sich dabei nicht um eine Phishing-Seite handelte, wurde sie doch speziell entwickelt, um zu zeigen, wie leicht das ist.
Vertrauen Sie uns also auch in diesem Fall, wenn wir sagen: Klicken Sie nicht auf Links, die behaupten, von Equifax zu stammen, und seien Sie momentan noch wachsamer als sonst.
Obwohl dies wahrscheinlich nicht der richtige Zeitpunkt ist, Produkte zu bewerben: AVG Internet Security hilft wirklich, Phishing-E-Mails zu blockieren und zu verhindern, dass Sie auf Phishing-Websites landen. Wenn Sie es noch nicht nutzen, testen Sie es kostenlos.
Privatsphäre | Schwachstelle melden | Sicherheitsabteilung kontaktieren | Lizenzvereinbarungen | Erklärung zur modernen Sklaverei | Cookies | Erklärung zu Bedienhilfen | Keine Veräußerung meiner Daten | | Impressum | Alle Marken Dritter sind Eigentum der jeweiligen Inhaber.
