Datenlecks und Data Breaches Wie persönliche Daten durchs Netz wandern

Anbieter zum Thema

Avast Deutschland GmbH

FAST LTA GmbH

FTAPI Software GmbH

Regelmäßig tauchen nach Datenlecks und Data Breaches riesige Mengen persönlicher Informationen im Internet auf. Betroffene müssen dem allerdings nicht tatenlos zusehen. Tools und Plattformen wie „haveibeenpwned“ helfen, Datenflüsse nachzuvollziehen, wenigstens etwas Kontrolle über die eigene, digitale Identität zurückzuerlangen und künftigen Angriffen vorzubeugen.

Erst kürzlich wurde bekannt, dass im Jahr 2019 Daten von mehr als 530 Millionen Facebook-Nutzern öffentlich wurden. Zwischenfälle wie diese zeigen, dass selbst bei Konzernen persönliche Daten nicht sicher sind. Um herauszufinden, ob sie selbst betroffen sind, können Anwender Plattformen wie „haveibeenpwned“ nutzen.

Persönliche Daten von Internetnutzern stellen heute ein erhebliches Wertobjekt für zahlreiche Firmen dar. Durch spezielle Methoden wie das mittlerweile in Verruf geratene Tracking lassen sich individuelle Interessen, Neigungen und vor allem das Konsumverhalten der Nutzer ableiten. Darüber hinaus zirkulieren allerdings auch zahlreiche E-Mail-Adressen und andere individuelle Daten wie Namen und Telefonnummern öffentlich einsehbar oder zum Verkauf im Darknet. Die Quelle solcher unerlaubt publik gemachter Informationen liegt oftmals in sogenannten Data Breaches oder auch Datenlecks einzelner Firmen.

Rätselraten über genauen Ursprung persönlicher Informationen

533 Millionen Facebook-Nutzer abgeschöpft

Dabei bemerken die Betroffenen oft nicht einmal, dass ihre wertvollen Daten abhanden gekommen sind. Vielleicht registriert der Einzelne vermehrt Spam-Nachrichten in seinem E-Mail-Postfach oder wird von unbekannten Nummern angerufen, über die unseriöse Verkaufsaktionen durchgeführt werden. Im schlimmsten Fall übernehmen jedoch Kriminelle einzelne Accounts des Opfers oder gar dessen vollständige Identität. Spätestens dann ist klar, dass persönliche Daten in die falschen Hände gelangt sind.

Gründer von haveibeenpwned war selbst von Datenverlust betroffen

Genau aus dieser Situation heraus hat sich der Sicherheitsforscher und Softwarespezialist Troy Hunt im Jahr 2013 an die Entwicklung der Website haveibeenpwned.com gemacht. Dort können Interessierte ihre E-Mail-Adresse eingeben und werden nach wenigen Sekunden darüber informiert, ob und in welchen Datenlecks oder Data Breaches ihre Adresse gefunden wurde. Bei der Gründung der Plattform war Troy Hunt gerade selbst Opfer eines Data Breaches von Adobe geworden. Dabei hatte er sich nie bei dem Unternehmen angemeldet. Er war jedoch Ende der Neunzigerjahre ein begeisterter Nutzer der Software Dreamweaver, die von Macromedia angeboten wurde. Und da Macromedia irgendwann von Adobe übernommen wurde, befanden sich seine Daten im Pool von Adobe und waren damit auch vom Data Breach betroffen. Für ihn war das damals eine tiefgreifende Erfahrung. Obwohl er seine persönlichen Daten nur an einen bestimmten Anbieter weitergegeben hatte – und das noch im vorigen Jahrtausend – wanderten diese ohne sein Zutun weiter durchs Internet, bis sie schließlich entwendet wurden.

Details zu über 500 Millionen weiteren Nutzern aufgetaucht

Scraping bei LinkedIn und Clubhouse

In diesem Fall gingen die Daten durch einen Data Breach verloren, das heißt der Datenverlust ist durch die kriminelle Energie eines externen Dritten verursacht worden. Von einem Datenleck spricht man hingegen, wenn Daten beispielsweise durch einen eingeweihten Mitarbeiter unzulässig weitergegeben werden. Beides hat jedoch ähnliche Folgen und wird durch haveibeenpwned.com aufgedeckt beziehungsweise dokumentiert. Laut Hunt gab es bereits über 100 verschiedene Anlässe, bei denen er irgendeine Form der Offenlegung vorgenommen hat und entweder wusste die Organisation bereits davon, oder es war etwas ganz Neues. Mittlerweile muss er die im Internet verstreuten Daten jedoch nicht mehr selbst zusammensuchen. Stattdessen bekommt er ständig Hinweise von allen möglichen Leuten zu sieben- oder achtstelligen Data Breaches, die er prüfen und anschließend hochladen muss.

Auch Daten von Kindern sind immer wieder betroffen

Manchmal kommt es auch vor, dass die Daten aus besonders sensiblen Quellen stammen, wie beispielsweise von Herstellern für smarte Spielzeuge oder „Casual Dating“-Websites. So gab es vor Jahren einen Data Breach bei einem chinesischen Spielwarenhersteller. Jemand aus Großbritannien entdeckte eine SQL-Sicherheitslücke und dachte, wenn er sich bei dem Unternehmen deswegen meldet, würden sie nichts daran ändern. Womit er vermutlich recht behalten hätte. Eine Liste mit den Namen der Kinder, deren Fotos von den Spielzeugen aufgenommen wurden und über die Sicherheitslücke zugänglich waren, landete dann am Ende bei Troy Hunt. Und diese Kinder hatten alle Profile, mit Verbindung zu den Eltern und deren physischer Adresse.

Gleichzeitig besteht gerade bei sensiblen Daten und Websites eine besondere Verpflichtung zur Einhaltung von gewissen ethischen Standards. Wer einen Data Breach aufdeckt, wird dadurch indirekt oder direkt zu demjenigen, der die Lücke faktisch auch ausnutzt. Außerdem ist der Reputationsschaden oder sogar der finanzielle Schaden für das betroffene Unternehmen meist enorm. Daher prüft Hunt die Hinweise von Dritten immer sehr genau, bevor er sie öffentlich macht. Außerdem kontaktiert er zuerst das Unternehmen, damit es selbst aktiv werden und die Sicherheitslücke publik machen kann. Oft geschieht dies aber auch nicht und in solchen Fällen liegt es dann an ihm, das Ganze aufzudecken.

Security-Insider Podcast – Folge 37

Wie Scraping die Datenhoheit gefährdet

Auch der Hacking-Nachwuchs muss richtig erzogen werden

Troy Hunt ist aber auch zuversichtlich, dass sich vor allem junge Hacker zukünftig zwei Mal überlegen werden, ob sie eine Lücke tatsächlich ausnutzen und davon profitieren oder vielleicht doch lieber den legalen Weg über eine Offenlegung gehen. In Großbritannien gibt es bereits Erziehungsmaßnahmen, die von der Kriminalpolizei angestoßen wurden. Denn jeder kann sich bei YouTube ein Tutorial ansehen, wie er ohne großen Aufwand eine SQL-Sicherheitslücke ausnutzt. Wenn neugierige Teenager sich so etwas dann ansehen und plötzlich merken, dass sie an fremde Daten kommen, dann ist die Verlockung groß. Auch in den Niederlanden gibt es entsprechende Programme wie Hack_Right, die ebenfalls von der Polizei organisiert werden und Jugendliche von Cyberkriminalität abhalten sollen.

Am Ende bleiben jedoch die generellen Risiken für Datenverlust bestehen und jeder Internetnutzer sollte sich gut überlegen, wem er welche Daten und zu welchem Zweck übermittelt. Troy Hunt hat mit haveibeenpwned einen wichtigen Beitrag zur Aufklärung von Datenverlust geleistet, doch verhindert werden kann dieser dadurch nicht. Egal ob es smarte Endgeräte sind oder nur die Anmeldung beim örtlichen Essenslieferanten: Die Verantwortung für seine Daten trägt am Ende jeder selbst.

Über die Autorin: Jaya Baloo ist Chief Information Security Officer bei Avast.

(ID:47469480)