Der stille Schuldige hinter den meisten Datenverstößen

Wenn sich Menschen einen Datenverstoß vorstellen, denken sie meist an einen vermummten Hacker, der Firewalls durchbricht oder Ransomware in einem Unternehmensnetzwerk einsetzt. Doch aktuellen Sicherheitsforschungen zufolge, über die TechRadar berichtet hat, ist die größte Quelle offengelegter persönlicher Daten keineswegs ein ausgeklügelter Krimineller. Es ist eine fehlkonfigurierte Datenbank, die von genau der Organisation, die sie schützen sollte, ungeschützt im Internet offen gelassen wurde.

Das Ausmaß dieses Problems ist nicht neu, aber es bleibt erschütternd. Bereits Ende 2015 entdeckte der Sicherheitsforscher Chris Vickery eine Datenbank mit den persönlichen Daten von 191 Millionen Wählern – ein 300 GB großer Datenschatz, der öffentlich zugänglich war, ganz ohne Passwort oder Authentifizierung. Niemand musste einbrechen. Es war keine Malware im Spiel. Jemand hatte einfach eine Datenbank ohne angemessene Zugriffskontrollen eingerichtet, und sie lag offen da – für jeden, der wusste, wo er suchen musste.

Dieser Vorfall von vor einem Jahrzehnt verdeutlicht ein Muster, das Sicherheitsforschern zufolge nie wirklich verschwunden ist: Fehlkonfigurierte Datenbanken bleiben die größte Bedrohung für die Datensicherheit und übertreffen herkömmliche Hacking-Vorfälle häufig, was die schiere Menge der offengelegten Datensätze betrifft.

Warum Fehlkonfigurationen als Bedrohung das Hacken übertreffen

Es mag widersinnig erscheinen, dass ein simpler Einrichtungsfehler mehr Daten offenlegen kann als gezielte Cyberangriffe, aber die Rechnung geht auf, sobald man versteht, wie moderne Dateninfrastrukturen funktionieren. Unternehmen und Behörden verlassen sich zunehmend auf Cloud-Datenbanken und Speicher-Buckets, um riesige Informationsmengen zu verwalten. Eine neue Datenbank hochzufahren dauert Minuten. Sie korrekt zu konfigurieren – mit angemessener Authentifizierung, Netzwerkbeschränkungen und Verschlüsselung – erfordert mehr Zeit und Fachwissen, und genau dieser Schritt wird häufig übersprungen oder vermasselt.

Anders als ein gezielter Hack, der in der Regel Aufwand, technisches Können und einen Plan erfordert, um ein bestimmtes Ziel zu kompromittieren, steht eine fehlkonfigurierte Datenbank oft einfach da, von Suchmaschinen oder Scan-Tools indiziert und wartet darauf, entdeckt zu werden. Sicherheitsforscher, Journalisten und ja, auch böswillige Akteure suchen routinemäßig nach solchen offenen Datenbanken, denn sie müssen keine Abwehrmaßnahmen umgehen. Die Tür stand sperrangelweit offen.

Das heißt nicht, dass herkömmliche Sicherheitsverletzungen und Ransomware-Angriffe keine ernstzunehmende Bedrohung darstellen. Vorfälle wie der Spirals-Ransomware-Angriff auf ein asiatisches IT-Unternehmen zeigen, dass entschlossene Bedrohungsakteure Unternehmen weiterhin durch gezielte Eindringlinge erpressen. Und Behauptungen wie der angebliche Diebstahl des Accenture-Quellcodes durch den Hacker '888' belegen, dass der gezielte Diebstahl sensibler Unternehmensdaten nach wie vor ein akutes Problem ist. Aber was das reine Datenvolumen angeht, verblasst die stille, unbeabsichtigte Offenlegung durch eine schlecht gesicherte Datenbank oft das, was eine einzelne Hacking-Kampagne erreichen kann.

VPNs und Verschlüsselung sind keine vollständige Lösung

Für Leser, die sich auf ein VPN zum Schutz ihrer Online-Aktivitäten verlassen, lohnt es sich, eine harte Wahrheit zu verstehen: Ein VPN schützt Ihre Verbindung zum Internet, nicht die Datenbanken, in denen Unternehmen Ihre Daten speichern, nachdem Sie sie ihnen anvertraut haben. Wenn ein Unternehmen, dem Sie Ihre E-Mail-Adresse, Telefonnummer oder Zahlungsdetails anvertrauen, seine Backend-Systeme fehlkonfiguriert, kann keine noch so starke persönliche Verschlüsselung auf Ihrer Seite verhindern, dass diese Daten offengelegt werden.

Aus diesem Grund sind Datenpannen mit gespeicherten persönlichen Daten, wie die Vorfälle mit den hochkarätigen Besuchern des Tribeca Film Festivals oder der wieder aufgetauchte Suno-Verstoß, der 55 Millionen E-Mails und Stripe-Daten offenlegte, so bedeutsam. Diese Vorfälle zeigen, dass Ihre Privatsphäre, sobald Ihre Daten Ihr Gerät verlassen und in die Datenbank eines Unternehmens gelangen, vollständig von den Sicherheitspraktiken dieser Organisation abhängt – nicht von Ihren eigenen Tools.

Was das für Sie bedeutet

Als Verbraucher können Sie nicht persönlich die Datenbankkonfigurationen jedes von Ihnen genutzten Dienstes überprüfen, aber Sie können fundiertere Entscheidungen treffen. Achten Sie auf Unternehmen, die in Bezug auf ihre Sicherheitspraktiken transparent sind, die nachweislich Sicherheitsverstöße schnell offenlegen und die Verschlüsselung für ruhende Daten verwenden, nicht nur für Daten während der Übertragung. Fragen Sie, ob ein Dienst die von ihm erhobenen persönlichen Daten von vornherein minimiert. Je weniger sensible Informationen ein Unternehmen speichert, desto geringer ist der Schaden, den eine fehlkonfigurierte Datenbank anrichten kann, sollte sie jemals offengelegt werden.

Es ist auch wichtig zu bedenken, dass fehlkonfigurierte Datenbanken Organisationen jeder Größe betreffen, von kleinen Start-ups bis hin zu nationalen Wählerdatenbanken. Dies ist kein Problem, das auf Unternehmen mit schwachem Sicherheitsbudget beschränkt ist; es ist ein systemisches Problem, das damit zusammenhängt, wie schnell Cloud-Infrastruktur bereitgestellt wird, im Vergleich dazu, wie sorgfältig sie abgesichert wird.

Umsetzbare Erkenntnisse

  • Verwenden Sie einzigartige Passwörter und aktivieren Sie, wo immer möglich, die Multi-Faktor-Authentifizierung, damit eine einzelne offengelegte Datenbank nicht mehrere Konten gefährdet.
  • Achten Sie auf Benachrichtigungen über Datenschutzverletzungen und ziehen Sie die Nutzung von Diensten zur Verfolgung von Sicherheitsvorfällen in Betracht, um zu erfahren, wann Ihre Daten offengelegt wurden.
  • Bevorzugen Sie Dienste, die klare Richtlinien zur Datenspeicherung und -sicherheit veröffentlichen und die die erhobenen persönlichen Daten auf ein Minimum beschränken.
  • Denken Sie daran, dass ein VPN Ihren Datenverkehr schützt, nicht die Datenbanken, in denen Ihre gespeicherten Daten liegen; Datenschutz erfordert einen mehrschichtigen Ansatz.

Fehlkonfigurierte Datenbanken werden auf absehbare Zeit wahrscheinlich die Hauptursache für großflächige Datenoffenlegungen bleiben, einfach weil das Tempo der Cloud-Einführung die sorgfältige Konfiguration immer wieder überholt. Sich darüber zu informieren, wie und wo Ihre Daten gespeichert werden, und von den von Ihnen genutzten Diensten Rechenschaftspflicht einzufordern, bleibt eine der praktischsten Möglichkeiten, Ihr persönliches Risiko zu verringern.