Was ist ein Datenleck?

Ein Datenleck bedeutet, dass private Informationen, die ihr einem Unternehmen über euch anvertraut habt, offengelegt werden. Dies kann unabsichtlich gesehen oder aber aufgrund eines geplanten Angriffs von Hackern.

Was auch immer der Grund ist, Cyberkriminelle haben es immer darauf abgesehen, eure sensiblen Daten wie Namen, Nutzernamen, Passwörter, E-Mail-Adressen oder Bankdaten zu stehlen. Klar, dass sie damit nichts Gutes vorhaben. Es geht ihnen entweder um Identitätsdiebstahl oder sie wollen eure Daten im Dark Web verkaufen.

Im vergangenen Jahr waren Hacker so aktiv wie nie zuvor und nutzten die Schwachstellen der Internet-User, Online-Marktplätze und Unternehmen aus. Die Angriffe reichten von Privatpersonen über Krankenhäuser bis hin zu ganzen Kommunen.

Die Zahl der Cyberangriffe steigt von Jahr zu Jahr. 2021 erreichte die Cyberkriminalität einen neuen Höhepunkt. Im Lagebericht zur IT-Sicherheit Deutschlands veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) beunruhigende Zahlen. So gab es etwa 144 Millionen neue Schadvarianten – das ist ein Zuwachs von 22 % gegenüber 2020.

Hyperwachstum vs. Datensicherheit – Lieferdienste im Visier

Seit Beginn der Pandemie haben Lieferdienste Konjunktur. Für die Start-ups geht es nicht nur beim Liefern um Zeit. Beim Rennen um den größten Marktanteil wird vor allem auf schnelle Expansion gesetzt. Leider bleibt bei dem extremen Unternehmenswachstum die Datensicherheit häufig auf der Strecke.

Die Projektgruppe „Zerforschung“ bestellte im Frühjahr 2021 beim Lieferdienst Flink einen Smoothie und untersuchte anschließend die App des Berliner Dienstes. Dabei stellte die Gruppe fest, dass sie die Bestellungen und Adressdaten anderer Kunden einsehen können. Eine Sicherheitslücke. Wie war das möglich? Die Projektgruppe konnte die Kommunikation der App durch ein Machine-in-the-Middle-Proxy (MitM) mitlesen. In der App gab es einen hinterlegten Autorisierungs-Token, über den sich die Gruppe direkt mit dem Flink-Server verband und die Datenbank abfragte. Auch der von der Gruppe bestellte Smoothie fand sich unter den Daten samt Name, Adresse, Telefonnummer und die letzten vier Ziffern der Kreditkarte.

Auf diese Weise hätten auch die Daten von fast 4.000 Bestellungen der letzten Monate und der dazugehörigen Kundendetails abgefragt werden können. Ähnliches gab es auch beim 10-Minuten-Lieferservice Gorillas zu berichten. Auch bei diesem Online-Dienst hatte die Gruppe „Zerforschung“ darauf aufmerksam gemacht, dass persönliche Daten von über 200.000 Kunden im Netz abrufbar waren.

Alles Meta oder was? Facebook-Datenleck betrifft Millionen deutscher Nutzer

An Ostern 2021 wurden über eine halbe Milliarde persönliche Facebook-Daten weltweit geleakt. Darunter auch Daten von rund 6 Millionen Usern aus Deutschland. Grund für den Vorfall war eine Sicherheitslücke, die der Online-Dienst bereits 2019 geschlossen hatte. Damals waren Telefonnummern und Profile von Facebook-Nutzern unverschlüsselt zugänglich.

Erste Anzeichen für den Diebstahl der Daten gab es bereits im Januar 2021, als der Sicherheitsexperte Alon Gal auf Twitter schrieb, dass über Telegram ein Bot verfügbar sei. Bei diesem konnte man gegen Bezahlung die Handynummern von Facebook-User erhalten.

Erst Covid-Test, dann Daten weg

Während der Corona-Pandemie entstand eine gesamte Branche, die mit Bürgertests Geld verdient. Die Mitarbeiter der Anbieter müssen medizinisch geschult sein, um die Tests durchführen zu dürfen und sie müssen wissen, wie sie mit den persönlichen Daten von tausenden Getesteten umgehen. Doch gerade bei Letzterem haperte es häufiger. So berichteten Medien im Frühjahr 2021, während die dritte Welle des Covid-Virus grassierte, dass das Unternehmen Eventus Media International eine Sicherheitslücke in seinen Datenbanken aufwies. Die Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten und Testresultate seien schlecht geschützt gewesen. Auch hier entdeckte das Kollektiv „Zerforschung“ die Sicherheitslücke. Insgesamt waren rund 17.000 Termin-Registrierungen und 7.000 Testresultate betroffen.

Zuvor war schon ein anderes Start-up von der Forschungsgruppe überprüft worden. Das Unternehmen 21DX des Dienstleister Medicus AI wies ebenfalls eine Sicherheitslücke auf, die ganze 136.000 Testergebnisse einfach zugänglich machte.

Sichere deine Online-Daten und -Aktivitäten mit dem branchenführenden VPN-Dienst.

Ein NordVPN-Umfrage ergab, dass die Deutschen am meisten Angst davor haben, dass jemand ihre Bank- oder Finanzdaten (58 %) sowie Passwörter (57 %) hackt. Sie machen sich zudem Sorgen, dass Hacker sich ihrer privaten E-Mails (28 %), persönlichen und intimen Fotos sowie Videos (18 %) und des Browserverlaufs (16 %) ermächtigen.

Obwohl die Deutschen sich Sorgen machen, dass jemand ihre Finanzdaten entwendet, speichert fast ein Drittel (28 %) ihre Bankdaten aber auf verschiedenen Geräten – was sehr riskant ist.

Es gibt verschiedene Ursachen, warum Datenpannen entstehen. Meist ist eine der folgenden schuld daran.

Phishing

Phishing-Angriffe gehören zum Bereich des Social Engineering. Sie zielen auf menschliches Fehlverhalten ab und sind aus diesem Grund relativ leicht durchzuführen. Doch so wenig technisches Geschick sie auch erfordern, so gravierende Schäden können sie dennoch verursachen. Meist kommen Phishing-Attacken in Form von gefälschten Phishing-E-Mails. Die Hacker geben vor, dass die Nachricht von einem seriösen Unternehmen wie zum Beispiel PayPal oder Amazon stammt. Meist wird vorgetäuscht, dass es Probleme mit eurem Konto gibt, die ihr sofort beheben solltet. Doch öffnet ihr die E-Mail und klickt auf enthaltene Links oder öffnet Anhänge, gelangt Schadsoftware auf eure Geräte oder ins Netzwerk, mit der Daten gestohlen werden.

Menschliches Versagen

Viele Mitarbeiter in Unternehmen kennen sich mit Internetsicherheit nicht wirklich gut aus und sind nicht über aktuelle Bedrohungen auf dem Laufenden. Egal, ob es um unsichere Passwörter geht oder um unerkannte Malware, durch menschliches Versagen kann ein Unternehmen ganz schon in Schwierigkeiten geraten. Das Cyber-Sicherheitsunternehmen CybSafe fand heraus, dass 90 Prozent der Datenpannen aus dem Jahr 2019 durch Endnutzer verursacht wurden.

Malware

Es gibt verschiedene Arten von Malware. Sie können Webseiten infizieren oder ganze Netzwerke und dafür sorgen, dass wertvolle Kundendaten offengelegt werden. Es handelt sich dabei um Schadsoftware, die schnell und unbemerkt auf Geräte gelangen kann, beispielsweise durch einen schadhaften Download oder durch das Öffnen von Anhängen aus E-Mails. Ist die Malware erstmal auf einem Rechner angekommen, verbreitet sie sich ähnlich wie ein Virus. Alle persönlichen Daten werden dann zu den Cyberkriminellen zurückgesendet.

Unsichere Passwörter

Die Verwendung unsicherer Passwörter ist immer noch weit verbreitet. Um sich besser daran erinnern zu können, nutzen viele Menschen immer noch Standard-Kombinationen wie „123456“ oder den Begriff „Passwort“. Das ist aber angesichts von Brute Force Attacken, die von Hackern durchgeführt werden, keine gute Idee. Dabei verwenden sie spezielle Programme, die eine riesige Anzahl von Passwort-Kombinationen innerhalb kürzester Zeit durchprobieren. Landen sie einen Volltreffer, werden die Hacker natürlich testen, ob es noch andere Accounts gibt, bei denen dasselbe Passwort genutzt wurde. Ein hilfreiches Tool, um dem vorzubeugen ist ein Passwortmanager wie NordPass. Mit dieser Software kannst du einfach starke Passwörter erstellen und speichern.

Verärgerte Mitarbeiter

Es wurden bereits einige Fälle bekannt, in denen sensible Daten von den Mitarbeitern des Unternehmens selbst offengelegt wurden. Die einen versprechen sich davon, an Geld zu kommen, andere tun es aus Rache, beispielsweise weil sie kürzlich gekündigt wurden, eine Abmahnung erhalten haben oder, oder, oder…

Es kommt aber auch vor, dass Mitarbeiter dem Unternehmen unabsichtlich schaden. So kommt es immer wieder vor, dass Systemwarnungen ignoriert werden oder falsche Konfigurationen vorgenommen werden.

Technische Probleme

Egal, wie stark die Sicherheitsvorkehrungen sind, die in einem Unternehmen getroffen werden, es kann immer mal zu technischen Schwierigkeiten kommen. Je nachdem, um welche es sich handelt, kann es auch so zu Datenlecks kommen.

Da selbst große und bekannte Unternehmen bereits mit Datenlecks konfrontiert waren, zeigt sich relativ deutlich, dass es nie eine hundertprozentige Sicherheit geben kann. Mit ein paar einfachen Schritten kann man das Risiko jedoch minimieren.

Dokumente vernichten

Dokumente, die ihr nicht mehr benötigt und auf denen persönliche Daten stehen, solltet ihr am besten schreddern. Schon die kleinste Information kann Aufschluss über eure Identität geben. So genügen schon wenige Daten, damit Kriminelle beispielsweise Kreditkartenkonten unter eurer Identität eröffnen können.

Nur sichere Webseiten besuchen

Ihr solltet generell nur auf sicheren Webseiten surfen. Diese erkennt ihr an der Abkürzung „https“ am Anfang der Adresszeile und auch an dem Schloss-Symbol davor. Unsichere Webseiten beginnen im Gegensatz dazu mit „http“.

Sichere Passwörter nutzen

Ein sicheres Passwort sollte mindestens acht Zeichen haben, aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen bestehen und keine persönlichen Angaben enthalten. Zudem ist es wichtig, dass ihr für jedes Konto ein eigenes Passwort verwendet. Damit ihr sie euch alle merken könnt, könnt ihr einen guten Passwort-Manager nutzen.

Geräte regelmäßig updaten

Es kann immer wieder vorkommen, dass in einem Programm oder auf einem Gerät Sicherheitsprobleme auftauchen. Die Hersteller bemühen sich dann in der Regel darum diese Sicherheitslücken so bald wie möglich zu schließen. Verzichtet ihr also auf Aktualisierungen, setzt ihr euch einem unnötigen Risiko aus, da ihr nicht die neuesten Sicherheits-Updates habt.

Konten überprüfen

Um jede auffällige Aktivität rechtzeitig zu bemerken, solltet ihr eure Online-Transaktionen regelmäßig überprüfen. Häufig beginnen Kriminelle damit, kleine Beträge abzubuchen, die den Betroffenen erstmal gar nicht auffallen. Achtet also darauf, ob euch irgendetwas komisch vorkommt.

Kreditauskünfte einholen

In den Kreditauskünften könnt ihr sehen, ob es Konten oder Kredite gibt, die in eurem Namen eröffnet wurden. Kriminelle, die auf Identitätsdiebstahl spezialisiert sind, schaffen es oft mit nur wenigen Daten eure Identität zusammenzufügen.

Ein VPN nutzen

Mit einem VPN genießt ihr ein hohes Maß an Datenschutz im Netz. Zusätzlich werden alle eure Daten verschlüsselt und niemand erhält Überblick über eure Online-Aktivitäten. NordVPN bietet zudem die integrierte Bedrohungsschutzfunktion, die Tracker, Viren, Werbung und schädliche Webseiten blockiert. Wenn ihr zum Beispiel anonym im Internet surfen wollt, ladet ein VPN für das Dark Web herunter.

Zunächst einmal solltet ihr versuchen Ruhe zu bewahren. Oft kann man mit ein paar einfachen Schritten die Katastrophe noch verhindern.

So geht ihr am besten vor:

Es kann vorkommen, dass ihr von Unternehmen angeschrieben werdet, wenn der Verdacht besteht, dass eure Daten von einem Leck betroffen sind. Genauso gut kann es aber auch sein, dass es sich dabei um Phishing-Mails handelt. Aus diesem Grund solltet ihr solche E-Mails besser erstmal nicht öffnen. Falls ihr euch unsicher seid, könnt ihr beim Unternehmen anrufen und fragen, ob die E-Mail echt war. Die meisten Firmen werden es im Übrigen auch auf ihrer Webseite bekannt geben, falls es ein Datenleck gab.

Häufig kann man noch etwas unternehmen, wenn sensible Daten gestohlen wurden. Was man machen kann, hängt jedoch von der Art der Information ab, die geklaut wurde.

• Ein Passwort ist betroffen. Zunächst einmal solltet ihr überprüfen, ob euer Passwort tatsächlich offengelegt wurde. Ist das der Fall, müsst ihr sofort euer Passwort und auch die Sicherheitsfragen ändern. Stellt sicher, dass ihr euch an den Leitfaden für ein starkes Passwort haltet, nutzt für jeden Account ein anderes und nutzt am besten den NordPass Passwortmanager.
• Ein Unternehmen, bei dem ein Konto besteht, ist betroffen. Auch hier ist es wichtig, dass ihr erstmal Nutzernamen und Passwort ändert. Wenn ihr dieselben Anmeldedaten auch für andere Accounts nutzt, müsst ihr sie auch dort ändern. Es kann auch nie schaden, für wirklich wichtige Angelegenheiten eine separate E-Mail-Adresse zu verwenden, zum Beispiel für die Anmeldung bei eurem Online-Banking-Konto oder bei eurem Universitäts-Account.

Sollte es dazu kommen, dass eure personenbezogene Daten offengelegt wurden, ist es wichtig, dass ihr euer Konto für mindestens ein Jahr lang auf Auffälligkeiten überwacht. Dafür könnt ihr euch auch Hilfe von Unternehmen holen, die diese Überwachung für euch übernehmen.

Schütze deine Daten mit NordVPN und sichere bis zu sechs Geräte gleichzeitig.