Auf einen Datenverlust richtig reagieren

Lernen aus dem Evernote-Hack

13.06.13 | Autor / Redakteur: Calum MacLeod, Venafi / Peter Schmitz

Der Diebstahl von 50 Mio. Passwörtern beim Notizdienst Evernote war schlimm, problematisch war aber, dass das Unternehmen daraus nicht die richtigen Lehren gezogen hat. (Bild: VBM)

Evernote wird Ziel eines Hacker-Angriffs, bei dem Passwörter und Userdaten gestohlen werden. 50 Millionen Nutzer müssen als Folge ihr Passwort ändern, weil die Passworthashes mit aktueller Hardware innerhalb kürzester Zeit zu entschlüsseln sind. Aus dem Hack und dessen Aufarbeitung können Unternehmen heilsame Lehren ziehen.

Es gibt einfach keinen guten Weg, schlechte Nachrichten zu überbringen, aber eine erste Lehre, die man aus der Reaktion von Evernote ziehen könnte, ist, auf Nummer sicher zu gehen. Natürlich besteht da die Verantwortung, die Interessen der Kunden zu schützen, aber die Reaktion von Evernote auf den Datendiebstahl hat möglicherweise mehr Unruhe ausgelöst als sonst etwas.

Nach dem Hack bei Evernote gab es eine Kette von unglücklichen Ereignissen, die mit dem Eingeständnis begann, dass nur die Passwörter verschlüsselt wurden. Mit anderen Worten, Evernote gab zu, entweder den Wert der Daten, die in ihrer Obhut sind, nicht verstanden zu haben oder diese für nicht wichtig genug gehalten zu haben, um sie zu verschlüsseln.

Und wie Sicherheitsanalysten sagen, sollten alle Daten verschlüsselt werden, die irgendjemandem etwas wert sind. Der springende Punkt beim Verschlüsseln von Daten ist, dass diese für alle, außer für den Inhaber der Schlüssel, wertlos zu machen sind; und Schlüssel zu verwalten ist viel leichter als Daten zu verwalten (siehe zum Beispiel John Kindervag von Forresters „Kill Your Data to Protect it from Cybercriminals“).

Der nächste Punkt, in dem Evernote die Ernsthaftigkeit des Vorfalls anscheinend nicht erkannt hat, ist in ihrer Lösung des Problems. Sie meinten, das Problem wäre mit einem Passwort-Reset, gefolgt von einer neuen Authentifizierungsmethode, leicht zu lösen. Mit anderen Worten, keine offensichtliche Reaktion oder Lösung für das Problem der gestohlenen, unverschlüsselten Daten.