Auf einen Datenverlust richtig reagieren

Lernen aus dem Evernote-Hack

| Autor / Redakteur: Calum MacLeod, Venafi / Peter Schmitz

Der Diebstahl von 50 Mio. Passwörtern beim Notizdienst Evernote war schlimm, problematisch war aber, dass das Unternehmen daraus nicht die richtigen Lehren gezogen hat.
Der Diebstahl von 50 Mio. Passwörtern beim Notizdienst Evernote war schlimm, problematisch war aber, dass das Unternehmen daraus nicht die richtigen Lehren gezogen hat. (Bild: VBM)

Evernote wird Ziel eines Hacker-Angriffs, bei dem Passwörter und Userdaten gestohlen werden. 50 Millionen Nutzer müssen als Folge ihr Passwort ändern, weil die Passworthashes mit aktueller Hardware innerhalb kürzester Zeit zu entschlüsseln sind. Aus dem Hack und dessen Aufarbeitung können Unternehmen heilsame Lehren ziehen.

Es gibt einfach keinen guten Weg, schlechte Nachrichten zu überbringen, aber eine erste Lehre, die man aus der Reaktion von Evernote ziehen könnte, ist, auf Nummer sicher zu gehen. Natürlich besteht da die Verantwortung, die Interessen der Kunden zu schützen, aber die Reaktion von Evernote auf den Datendiebstahl hat möglicherweise mehr Unruhe ausgelöst als sonst etwas.

Nach dem Hack bei Evernote gab es eine Kette von unglücklichen Ereignissen, die mit dem Eingeständnis begann, dass nur die Passwörter verschlüsselt wurden. Mit anderen Worten, Evernote gab zu, entweder den Wert der Daten, die in ihrer Obhut sind, nicht verstanden zu haben oder diese für nicht wichtig genug gehalten zu haben, um sie zu verschlüsseln.

Und wie Sicherheitsanalysten sagen, sollten alle Daten verschlüsselt werden, die irgendjemandem etwas wert sind. Der springende Punkt beim Verschlüsseln von Daten ist, dass diese für alle, außer für den Inhaber der Schlüssel, wertlos zu machen sind; und Schlüssel zu verwalten ist viel leichter als Daten zu verwalten (siehe zum Beispiel John Kindervag von Forresters „Kill Your Data to Protect it from Cybercriminals“).

Der nächste Punkt, in dem Evernote die Ernsthaftigkeit des Vorfalls anscheinend nicht erkannt hat, ist in ihrer Lösung des Problems. Sie meinten, das Problem wäre mit einem Passwort-Reset, gefolgt von einer neuen Authentifizierungsmethode, leicht zu lösen. Mit anderen Worten, keine offensichtliche Reaktion oder Lösung für das Problem der gestohlenen, unverschlüsselten Daten.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 39926010 / Sicherheitsvorfälle)