Auf einen Datenverlust richtig reagieren Lernen aus dem Evernote-Hack

Evernote wird Ziel eines Hacker-Angriffs, bei dem Passwörter und Userdaten gestohlen werden. 50 Millionen Nutzer müssen als Folge ihr Passwort ändern, weil die Passworthashes mit aktueller Hardware innerhalb kürzester Zeit zu entschlüsseln sind. Aus dem Hack und dessen Aufarbeitung können Unternehmen heilsame Lehren ziehen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Cohesity GmbH

Es gibt einfach keinen guten Weg, schlechte Nachrichten zu überbringen, aber eine erste Lehre, die man aus der Reaktion von Evernote ziehen könnte, ist, auf Nummer sicher zu gehen. Natürlich besteht da die Verantwortung, die Interessen der Kunden zu schützen, aber die Reaktion von Evernote auf den Datendiebstahl hat möglicherweise mehr Unruhe ausgelöst als sonst etwas.

Nach dem Hack bei Evernote gab es eine Kette von unglücklichen Ereignissen, die mit dem Eingeständnis begann, dass nur die Passwörter verschlüsselt wurden. Mit anderen Worten, Evernote gab zu, entweder den Wert der Daten, die in ihrer Obhut sind, nicht verstanden zu haben oder diese für nicht wichtig genug gehalten zu haben, um sie zu verschlüsseln.

Und wie Sicherheitsanalysten sagen, sollten alle Daten verschlüsselt werden, die irgendjemandem etwas wert sind. Der springende Punkt beim Verschlüsseln von Daten ist, dass diese für alle, außer für den Inhaber der Schlüssel, wertlos zu machen sind; und Schlüssel zu verwalten ist viel leichter als Daten zu verwalten (siehe zum Beispiel John Kindervag von Forresters „Kill Your Data to Protect it from Cybercriminals“).

Der nächste Punkt, in dem Evernote die Ernsthaftigkeit des Vorfalls anscheinend nicht erkannt hat, ist in ihrer Lösung des Problems. Sie meinten, das Problem wäre mit einem Passwort-Reset, gefolgt von einer neuen Authentifizierungsmethode, leicht zu lösen. Mit anderen Worten, keine offensichtliche Reaktion oder Lösung für das Problem der gestohlenen, unverschlüsselten Daten.

Tipps für eine angemessene Reaktion bei Datendiebstahl

Hätte Evernote mit dem Lichtblick reagiert, und angekündigt, dass in Zukunft alle Kundendaten verschlüsselt würden, hätte es für die Kundenbasis Grund zur Hoffnung gegeben. Wir als Branche leiden an einer Flut von Datendiebstählen und Hacks und doch scheinen Unternehmen noch immer nicht gewillt, die erforderlichen Investitionen zu tätigen, die sicherstellen, dass ihre Kunden geschützt sind.

Das Problem mit der Veröffentlichung von schlechten Nachrichten ist eben, dass sie öffentlich werden! So hat also Evernote nicht nur seine Kunden informiert, sondern auch seine Wettbewerber. Hätten sie die Situation richtig gehandhabt, wäre das eine Möglichkeit gewesen, die Messlatte für das, was Kunden erwarten können, höher zu hängen.

Ziehen Sie Ihre Lehren daraus und setzen Sie sie um. Zeigen Sie Ihren Kunden und den Kunden Ihrer Konkurrenten, dass Sie die Messlatte höher gehängt haben. Nutzen Sie die Situation und fordern Sie Ihre Konkurrenz heraus, zu beweisen, dass sie ihr Haus in Ordnung gebracht haben und entsprechend reagieren!

Letzten Endes bleibt es abzuwarten, ob Evernote seine Handlungen überdenkt und künftig einen angemesseneren Ansatz der bewährten Sicherheitspraktiken wählt, bei dem Datenverschlüsselung zum Einsatz kommt und Schlüssel richtig verwaltet werden. Dies wird sich zeigen, wenn sich herausstellt, ob der Aufruhr sich legt oder ob sie ihre Kunden weiterhin über den Fortschritt beim Ergreifen von Maßnahmen zur Vermeidung eines „Folgefalls“ informieren.

Anmerkung der Redaktion: Am 30. Mai 2013, fast drei Monate nach dem Datendiebstahl, hat Evernote als optionalen Zugangsschutz die Zwei-Faktor-Authentifizierung eingeführt. Allerdings derzeit nur für die kostenpflichtigen Dienste Evernote Premium und Evernote Business.

(ID:39926010)