AfD-datalækken med 421.000 e-mails har givet offentligheden et usædvanligt indblik i et tysk politisk parti. Ifølge heise online har partiet "Alternative für Deutschland" tilsyneladende været udsat for et brud, og omkring 421.000 e-mails er blevet offentliggjort. Rapportens overskrift henviser også til ulovligt kopierede filer. Meget af dækningen vil fokusere på, hvad beskederne afslører om partiet. Denne artikel tager en anden vinkel: hvad et læk af denne art betyder for de almindelige mennesker, der optræder i en andens indbakke.

En bemærkning om omfanget: kildeartiklen er kort, og mange detaljer, såsom hvordan dataene blev skaffet, hvem der offentliggjorde dem, og præcis hvad e-mailene indeholder, er ikke fastslået i det materiale, vi har. Vi holder os til det, der er rapporteret, og forklarer de generelle risici, der følger af ethvert stort e-mail-læk.

Hvad blev offentliggjort i AfD-e-mail-lækken

Kerndefekterne er begrænsede. Partiet har tilsyneladende været udsat for et databrud, og omkring 421.000 e-mails blev gjort offentlige. Heise beskriver materialet som et indblik i partiet. Ordet "tilsyneladende" er vigtigt: bruddet er blevet rapporteret, men læsere bør behandle yderligere påstande, der cirkulerer online, med forsigtighed, indtil partiet, efterforskere eller pålidelige medier bekræfter dem.

E-mail-arkiver er blandt de mest afslørende former for lækkede data. I modsætning til en database med brugernavne indeholder en postkasse fritekstsamtaler, vedhæftede filer, videresendte dokumenter, signaturer med telefonnumre og de fulde headere, der viser, hvem der skrev til hvem og hvornår. Selv hvis kun en brøkdel af de 421.000 beskeder indeholder følsomt materiale, gør mængden det svært for nogen på forhånd at vide, hvad der er deri.

Hvem er eksponeret ud over partiet selv

De personer, der mest sandsynligt er berørt, er ikke nødvendigvis partiets ledere. Alle, der korresponderede med organisationen, kan optræde i arkivet: medlemmer, der sendte ansøgninger eller spørgsmål, donorer, deltagere i arrangementer, journalister, leverandører, lokale embedsmænd og medlemmer af offentligheden, der skrev ind med klager eller meninger. Ingen af dem kontrollerede, hvordan partiet opbevarede eller beskyttede sin post.

Det er den centrale lære af organisatoriske brud. Din eksponering afhænger af sikkerhedspraksissen hos enhver gruppe, du kommunikerer med, ikke kun din egen. En person, der skrev en enkelt besked til et politisk parti, kan nu have sit navn, sin e-mailadresse og eventuelle detaljer i den besked liggende i en offentlig dump.

I en politisk sammenhæng kan indsatsen være højere end i et typisk kommercielt læk. Tilhørsforhold til et parti kan være følsomt, og offentliggjort korrespondance kan føre til chikane, doxxing eller målrettet phishing. Svindlere har også en tendens til at genbruge lækkede kontaktoplysninger til at udforme overbevisende beskeder, der henviser til rigtige samtaler. Det samme mønster af sekundær skade optræder i andre hændelser, vi har dækket, såsom Gyazo-databruddet, der eksponerede 23,6 mio. brugerposter, hvor den reelle risiko for enkeltpersoner kom fra, hvad andre kunne gøre med de lækkede data bagefter.

GDPR-forpligtelser for partiet og rettigheder for berørte personer

Fordi partiet opererer i Tyskland, er EU's databeskyttelsesforordning (GDPR) den relevante ramme. I henhold til GDPR skal en organisation, der udsættes for et brud på personoplysninger, generelt underrette den kompetente tilsynsmyndighed uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer efter at være blevet bekendt med det, medmindre bruddet sandsynligvis ikke udsætter personer for risiko. Hvis risikoen for enkeltpersoner er høj, skal organisationen også informere de berørte direkte. Politiske holdninger behandles som en særlig kategori af personoplysninger under forordningen, hvilket hæver beskyttelsesniveauet og granskningen.

Vi har ingen bekræftelse fra kildeartiklen om, hvorvidt underretninger er blevet foretaget, så vi kan ikke sige, om partiet har opfyldt disse forpligtelser. Det, vi kan beskrive, er de rettigheder, folk har:

  • Ret til indsigt: du kan spørge en organisation, om den har dine personoplysninger, og anmode om en kopi.
  • Ret til sletning: under mange omstændigheder kan du anmode om, at dine data slettes.
  • Ret til at klage: du kan indgive en klage til en databeskyttelsesmyndighed, hvis du mener, at dine data er blevet misligholdt.
  • Ret til erstatning: GDPR giver enkeltpersoner mulighed for at søge erstatning for materiel eller ikke-materiel skade forårsaget af overtrædelser.

Hvis du nogensinde har været i kontakt med partiet, er en anmodning om indsigt en rimelig måde at finde ud af, hvad de har om dig.

Hvad det betyder for dig

Du behøver ikke være partimedlem for at blive berørt af et læk som dette. Hvis du har skrevet til, doneret til eller registreret dig hos en organisation, der er blevet udsat for et brud, så antag, at detaljerne i disse beskeder nu kan være offentlige. De praktiske risici er phishing, identitetssvindel og uønsket opmærksomhed snarere end øjeblikkelig overtagelse af konti, medmindre en adgangskode eller et loginlink blev sendt via e-mail.

Det sidste punkt fortjener opmærksomhed. Gamle e-mails indeholder ofte links til nulstilling af adgangskoder, delte legitimationsoplysninger eller kontonumre. Hvis du nogensinde har sendt eller modtaget sådanne oplysninger i korrespondance med den berørte organisation, så betragt dem som kompromitterede. Store dumps af interne data, som det, der beskrives i vores rapport om Valves 12TB Teraleak, viser, hvordan forlængst glemt materiale kan dukke op igen årevis senere.

Sådan beskytter du dig selv efter et organisatorisk brud

Du kan ikke rette op på andres sikkerhed, men du kan begrænse skaden på din side:

  1. Tjek bruddatabaser. Søg efter din e-mailadresse i en pålidelig tjeneste til underretning om brud for at se, om den optræder i kendte dumps.
  2. Brug unikke adgangskoder. En adgangskodeadministrator lader dig give hver konto sin egen adgangskode, så ét læk ikke kan låse andre op.
  3. Slå to-faktor-godkendelse til. Foretræk en autentificeringsapp eller hardwarenøgle frem for SMS, hvor det er muligt.
  4. Vær skeptisk over for beskeder, der henviser til tidligere kontakt. Angribere kan citere rigtige detaljer fra lækkede e-mails. Bekræft via en kanal, du allerede stoler på, før du klikker eller svarer.
  5. Overvej et e-mail-alias. Brug af separate adresser til forskellige organisationer begrænser, hvad et enkelt læk afslører om dig.
  6. Brug dine GDPR-rettigheder. Spørg, hvilke data organisationen har, og anmod om sletning, hvor det er relevant.

En VPN hjælper ikke mod et brud på en andens mailserver, da eksponeringen sker hos organisationen. Den er stadig nyttig til at beskytte din egen trafik, men den er ikke en løsning her. Eksponering af personlige medier og identitetsdata, som i ClarityCheck-lækken af 9 millioner ansigtsbilleder, er en påmindelse om, at dine bedste forsvar er at minimere, hvad du deler, og sikre det, du ikke kan tage tilbage.

Centrale pointer

AfD-datalækken med 421.000 e-mails er en påmindelse om, at dit privatliv er bundet til vanerne hos enhver organisation, du skriver til. Tjek, om din adresse optræder i bruddumps, skift til unikke adgangskoder med to-faktor-godkendelse på hver vigtig konto, og vær opmærksom på beskeder, der ser ud til at vide for meget om dig. For at se, hvordan disse trin fungerer i praksis, læs vores dækning af Gyazo-bruddet og andre nylige eksponeringer, og kig forbi igen, efterhånden som flere verificerede detaljer om dette læk kommer frem.