Verkauf im Darknet: 200 Millionen Yahoo-Accounts angeboten

Gutes Beispiel dafür, wie eine einzige Datenschutzverletzung Unternehmen und ihre Kunden immer wieder in Schwierigkeiten bringen kann

[datensicherheit.de, 04.08.2016] In einem aktuellen Kommentar führt David Lin von Varonis aus, für ihn bestünden keinerlei Zweifel daran, dass Datenlecks dieser Größenordnung uns als Angriff auf vertrauliche Daten auch in Zukunft erhalten blieben. Auf den ersten Blick sehe es so aus, als hätten Kontodaten, Passwörter und Benutzereinstellungen kurzfristig eher wenig Wert. Dies sehe über einen längeren Zeitraum betrachtet allerdings ganz anders aus.

Ziel und Ausmaß eines Datenschutzverletzung schwer einzuschätzen und einzugrenzen

Lin warnt davor, dass Hacker Daten aus unterschiedlichen Quellen zusammenführen könnten und so ein immer klareres Bild der Opferidentitäten entstehen würde. „Umso mehr als die Art und Weise wie solche Daten aggregiert werden immer raffinierter wird“, so Lin.
Das aktuelle Yahoo-Datenleck sei ein gutes Beispiel dafür, wie eine einzige Datenschutzverletzung wieder und wieder Unternehmen und ihre Kunden in Schwierigkeiten bringen könne. Sinnfällig lasse sich zudem daran ablesen, wie „in-the-dark“-Geschäftsmodelle typischerweise funktionierten.
Nach einem Datenleck seien wir inzwischen an die „reflexhaft anmutenden Statements von Unternehmen gewöhnt“, dass die betroffenen Systeme isoliert werden könnten. Seriöse IT-Sicherheitsexperten wüssten allerdings nur zu gut, wie immens schwierig es sei, das eigentliche Ziel und das ganze Ausmaß einer Datenschutzverletzung wirklich einschätzen und eingrenzen zu können. Üblicherweise reichten Monitoring-Tools und Logging-Daten dazu nämlich nicht aus.

Mit der Zunahme der Datenerhebung wächst die Anzahl der Datenschutzverletzungen

Beobachtungen von Varonis zeigten, dass es an den Basics hapere, „wenn es darum geht Daten zu schützen“ – und das gelte gleichermaßen für einzelne Benutzer wie für große Unternehmen. Weder die schiere Zahl von Datenschutzverletzungen werde abnehmen, noch der Umfang der davon betroffenen Daten, prognostiziert Lin. Das betreffe sowohl interne wie externe Schwachstellen.
Lin dazu: „Schließlich erheben Unternehmen immer noch mehr Daten von Kunden und Geschäftspartnern, was per se nicht gerade dazu beiträgt, die Risiken einer Datenschutzverletzung zu senken. Kein Unternehmen der Welt kann sich 100-prozentig gegen solche Vorkommnisse abschotten, wenn es produktiv bleiben will.“

Keine narrensicheren Lösungen!

Ganz unabhängig davon, wie viel Geld und Anstrengungen man in umfassende Sicherheitsmaßnahmen investiert: Eine narrensichere Lösung werde es nicht geben. „Nicht, so lange das schwächste Glied in der Kette, die Personen sind, die auf Daten und Informationen zugreifen müssen, um ihren Job zu machen“, betont Lin.
Spear-Phishing-Angriffe, die sich gezielt auf gültige Anmeldedaten richteten, kämen inzwischen nicht nur deutlich häufiger vor, sie seien auch deutlich intelligenter geworden.
„Administratoren und IT-Sicherheitsexperten sollten sich darauf einstellen, dass, wenn sie noch nicht Opfer einer Datenschutzverletzung geworden sind, es irgendwann in der Zukunft ganz sicher werden.“ Gehe man von der Prämisse aus, dass der äußere Schutzwall früher oder später nicht mehr ausreichen werde, ändere sich die Perspektive, unter der man Datensicherheit und Datenschutz betrachtet, grundsätzlich.

Potenziellen Schaden in Grenzen halten!

Anstatt sehr viel Zeit und Energie in den Aufbau nach Außen gerichteter Schutzmechanismen zu stecken, sollten Unternehmen sich auf das konzentrieren, was wirklich schützenswert sei – nämlich ihre Daten.
„Dazu gehört es, Insider-Aktivitäten zu überwachen und zu kontrollieren. Um ein altes Bild zu benutzen: Wenn man eine zuverlässige Schließanlage installiert hat, heißt das ja nicht, dass zusätzliche Kameras und Sensoren eine schlechte Idee sind. Das Zugriffsverhalten auf Daten zu überwachen und zu analysieren, bietet etliche Indikatoren, die es Unternehmen ermöglichen, Hacker-Aktivitäten zu erkennen.“ Was, so Lin, dann in der Folge dazu beitragen könne, den potenziellen Schaden in Grenzen zu halten.

Für den Fall der Fälle Plan in der Schublade haben!

Den Kopf in den Sand zu stecken, nach der Devise „mich wird es schon nicht treffen“, sei längst keine Option mehr, sagt Lin. Firmen müssten für den Fall der Fälle einen Plan in der Schublade haben, was genau passieren muss, wenn sie auf einen Datenschutzvorfall aufmerksam geworden sind oder gemacht wurden. Mindestens sollten Unternehmen nach einem Datenschutzvorfall ermitteln, was genau gestohlen oder gelöscht worden ist und in welchem Umfang.
Ebenso müssten sie dabei berücksichtigen, was der Vorfall für Kunden, Partner und Aktionäre bedeutet. Verschiedene Kategorien von Daten und Informationen unterlägen einem anderen Grad von Schutzwürdigkeit. Unternehmen müssten also noch etwas wissen – nämlich, welche Arten von Daten sie eigentlich speichern, wo und wie und welchen Restriktionen diese Daten unterliegen.