Mobile-Menu

Auf einen Datenverlust richtig reagieren Lernen aus dem Evernote-Hack

Autor / Redakteur: Calum MacLeod, Venafi / Peter Schmitz

Evernote wird Ziel eines Hacker-Angriffs, bei dem Passwörter und Userdaten gestohlen werden. 50 Millionen Nutzer müssen als Folge ihr Passwort ändern, weil die Passworthashes mit aktueller Hardware innerhalb kürzester Zeit zu entschlüsseln sind. Aus dem Hack und dessen Aufarbeitung können Unternehmen heilsame Lehren ziehen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH
Trustwave Germany GmbH
Keeper Security EMEA Ltd.
Der Diebstahl von 50 Mio. Passwörtern beim Notizdienst Evernote war schlimm, problematisch war aber, dass das Unternehmen daraus nicht die richtigen Lehren gezogen hat.
Der Diebstahl von 50 Mio. Passwörtern beim Notizdienst Evernote war schlimm, problematisch war aber, dass das Unternehmen daraus nicht die richtigen Lehren gezogen hat.
(Bild: VBM)

Es gibt einfach keinen guten Weg, schlechte Nachrichten zu überbringen, aber eine erste Lehre, die man aus der Reaktion von Evernote ziehen könnte, ist, auf Nummer sicher zu gehen. Natürlich besteht da die Verantwortung, die Interessen der Kunden zu schützen, aber die Reaktion von Evernote auf den Datendiebstahl hat möglicherweise mehr Unruhe ausgelöst als sonst etwas.

Nach dem Hack bei Evernote gab es eine Kette von unglücklichen Ereignissen, die mit dem Eingeständnis begann, dass nur die Passwörter verschlüsselt wurden. Mit anderen Worten, Evernote gab zu, entweder den Wert der Daten, die in ihrer Obhut sind, nicht verstanden zu haben oder diese für nicht wichtig genug gehalten zu haben, um sie zu verschlüsseln.

Und wie Sicherheitsanalysten sagen, sollten alle Daten verschlüsselt werden, die irgendjemandem etwas wert sind. Der springende Punkt beim Verschlüsseln von Daten ist, dass diese für alle, außer für den Inhaber der Schlüssel, wertlos zu machen sind; und Schlüssel zu verwalten ist viel leichter als Daten zu verwalten (siehe zum Beispiel John Kindervag von Forresters „Kill Your Data to Protect it from Cybercriminals“).

Der nächste Punkt, in dem Evernote die Ernsthaftigkeit des Vorfalls anscheinend nicht erkannt hat, ist in ihrer Lösung des Problems. Sie meinten, das Problem wäre mit einem Passwort-Reset, gefolgt von einer neuen Authentifizierungsmethode, leicht zu lösen. Mit anderen Worten, keine offensichtliche Reaktion oder Lösung für das Problem der gestohlenen, unverschlüsselten Daten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:39926010)

Weiterführende Inhalte