471 Mio. Benachrichtigungen in 6 Monaten, kaum Antworten auf die Frage nach dem Warum

471 Millionen Benachrichtigungen, kaum Erklärungen: Was der Bericht feststellt

Ein neuer Bericht beziffert ein Problem, vor dem Datenschützer seit Jahren warnen, in schwindelerregender Höhe: Über 471 Millionen Benachrichtigungen über Datenschutzverletzungen wurden in nur sechs Monaten verschickt. Das ist kein Tippfehler. Hochgerechnet sind das deutlich mehr als eine halbe Milliarde Benachrichtigungen pro Jahr, eine Größenordnung, die einen großen Teil der Bevölkerung betrifft und die kaum vollständig zu erfassen ist.

Doch die schiere Menge ist nicht einmal das Beunruhigendste. Laut dem Bericht versäumten es die meisten dieser Benachrichtigungen zu erklären, wie die Angreifer überhaupt eindringen konnten. Kein Wort darüber, ob es sich um eine Phishing-E-Mail, einen ungepatchten Server, gestohlene Zugangsdaten oder einen kompromittierten Drittanbieter handelte. Nur eine vage Bestätigung, dass ein „unberechtigter Zugriff“ stattgefunden habe, gefolgt von standardisierten Ratschlägen, die eigenen Konten zu überwachen.

Genau hier liegt das Kernproblem der Transparenz bei Benachrichtigungen über Datenschutzverletzungen. Die Gesetze in den meisten Rechtsordnungen verlangen von Unternehmen zwar mitzuteilen, dass ein Vorfall passiert ist und welche Daten offengelegt wurden. Nur sehr wenige schreiben vor, zu erklären, wie es dazu kam. Diese Lücke führt dazu, dass Verbraucher nicht beurteilen können, ob die Sicherheitspraktiken eines Unternehmens angemessen, fahrlässig oder irgendetwas dazwischen waren, und sie können auch ihr eigenes tatsächliches Risiko für die Zukunft nicht einschätzen.

Warum Unternehmen bei Angriffsvektoren vage bleiben

Es gibt praktische und rechtliche Gründe, warum Unternehmen die Offenlegung von Datenschutzverletzungen schlank halten. Laufende Untersuchungen, aktive Rechtsstreitigkeiten und regulatorische Risiken geben den Rechtsabteilungen jeden Anreiz, so wenig wie möglich zu sagen. Ein Unternehmen, das zugibt, eine Datenbank unverschlüsselt gelassen oder eine bekannte Software-Schwachstelle ignoriert zu haben, liefert Anwälten von Klägern und Aufsichtsbehörden Munition.

Dazu kommt eine Reputationsabwägung. Detaillierte technische Angaben können wie ein Eingeständnis von Inkompetenz wirken, während vage Formulierungen wie „raffinierter Angriff“ oder „unbefugter Dritter“ eher nach Pech als nach Fahrlässigkeit klingen – selbst wenn die Wahrheit eher Letzterem entspricht. Die Gesetze zur Benachrichtigung bei Datenschutzverletzungen unterscheiden sich in den USA erheblich von Bundesstaat zu Bundesstaat, und die meisten setzen die Hürde niedrig an: Betroffene benachrichtigen, die Kategorien der offengelegten Daten beschreiben und eine Form von Kreditüberwachung anbieten. Nur wenige schreiben eine Erklärung der Ursache vor, und selbst die Durchsetzung dieser Grundanforderungen erfolgt uneinheitlich.

Das Ergebnis ist ein System, in dem Unternehmen den Buchstaben des Gesetzes genügen, den Verbrauchern aber fast nichts an die Hand geben, womit sie sich schützen oder jemanden zur Rechenschaft ziehen könnten.

Aktuelle Datenschutzverletzungen zeigen das sich wiederholende Muster

Das ist kein abstrakter Trend. Er zeigt sich bei einem Vorfall nach dem anderen, der Schlagzeilen macht. Der Humana-Datenschutzvorfall, der Kunden in sechs Bundesstaaten betraf, umfasste einige der sensibelsten Informationen, die Menschen besitzen – Gesundheitsdaten –, doch öffentliche Details zur Angriffsmethode sind rar. Der Novo-Nordisk-Vorfall, bei dem Angreifer behaupteten, 1,3 Terabyte an Daten aus klinischen Studien gestohlen zu haben, ließ in öffentlichen Stellungnahmen ebenfalls viele Fragen zum Einstiegspunkt unbeantwortet.

Das Muster beschränkt sich nicht auf das Gesundheitswesen und die Pharmabranche. Der Odido-Datenvorfall legte 6,2 Millionen Datensätze einschließlich Bankverbindungen offen, und selbst der Tribeca-Film-Festival-Vorfall, von dem hochkarätige Besucher betroffen waren, folgte dem vertrauten Drehbuch: Bestätigung, dass Daten offengelegt wurden, die Versicherung, dass die Angelegenheit untersucht werde, und sonst wenig. Über Branchen und Kontinente hinweg sieht das Offenlegungs-Drehbuch bemerkenswert einheitlich aus – und bemerkenswert dünn.

Wie Sie sich schützen können, wenn Details zurückgehalten werden

Da man sich in der Regel nicht darauf verlassen kann, dass ein Unternehmen genau erklärt, wie die eigenen Daten offengelegt wurden, ist die sinnvollere Frage, was man selbst in der Hand hat, unabhängig von der gelieferten Erklärung.

Fangen Sie bei der Zugangsdaten-Hygiene an. Wenn Sie Passwörter seitenübergreifend wiederverwenden, wird ein Vorfall bei einem Unternehmen zu einem Vorfall überall dort, wo Sie dasselbe Passwort genutzt haben. Ein Passwort-Manager, der für jedes Konto einzigartige Zugangsdaten generiert, beseitigt dieses Risiko fast vollständig. Kombinieren Sie das mit Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, denn sie blockiert die meisten Kontoübernahmeversuche selbst dann, wenn ein Passwort durchsickert.

Überwachen Sie Ihre Konten und Ihre Kreditwürdigkeit proaktiv, anstatt auf eine Benachrichtigung zu warten. Benachrichtigungen über Datenschutzverletzungen hinken dem eigentlichen Vorfall oft um Monate hinterher, sodass ungewöhnliche Aktivitäten möglicherweise bereits begonnen haben, wenn Sie informiert werden. Viele Banken und Kreditauskunfteien bieten kostenlose Benachrichtigungen bei neuen Kontoeröffnungen oder ungewöhnlichen Belastungen an; schalten Sie sie ein.

Seien Sie skeptisch bei vagen Formulierungen in Benachrichtigungen. Wenn ein Schreiben von „unberechtigtem Zugriff“ ohne genauere Angaben spricht, werten Sie das als Signal, Ihre Kreditauskünfte einzufrieren oder eine Betrugswarnung zu setzen, und nicht als Grund zur Entspannung. Und bedenken Sie, dass mit der Ausweitung digitaler ID-Systeme die Brisanz dessen, was zentralisiert wird und wie gut es geschützt ist, nur zunehmen wird – was persönliche Wachsamkeit künftig umso wichtiger macht.

Was das für Sie bedeutet

Die wesentliche Erkenntnis aus diesem Bericht ist, dass Transparenz bei Benachrichtigungen über Datenschutzverletzungen derzeit eher ein Wunschbild als ein verlässlicher Standard ist. Unternehmen sind gesetzlich verpflichtet, Ihnen mitzuteilen, dass ein Vorfall passiert ist, aber nicht, warum er passiert ist oder wie er hätte verhindert werden können. Das bedeutet, dass die Verantwortung, das eigene Risiko zu verringern, überproportional bei Ihnen liegt.

Das ist kein Grund zur Panik. Es ist ein Anlass für einen Perspektivwechsel: Betrachten Sie jedes Konto als potenzielles künftiges Opfer einer Datenschutzverletzung, nicht nur die, die Ihnen bereits eine Benachrichtigung geschickt haben. Verwenden Sie einzigartige Passwörter, aktivieren Sie Multi-Faktor-Authentifizierung, überwachen Sie Ihre Finanzkonten regelmäßig und warten Sie nicht auf eine Unternehmensmitteilung, um zu wissen, dass es Zeit zum Handeln ist.

Umsetzbare Erkenntnisse:

• Überprüfen Sie Ihre Passwörter und steigen Sie auf einen Passwort-Manager um, falls Sie Zugangsdaten über verschiedene Seiten hinweg wiederverwenden.
• Aktivieren Sie Multi-Faktor-Authentifizierung für E-Mail, Banking und jedes Konto, das sensible Daten enthält.
• Richten Sie kostenlose Konto- und Kreditüberwachungsbenachrichtigungen ein, anstatt auf eine Benachrichtigung über einen Vorfall zu warten.
• Betrachten Sie vage Formulierungen in Benachrichtigungen („unberechtigter Zugriff“, „raffinierter Angriff“) als Aufforderung, Ihre Kreditauskünfte einzufrieren, und nicht als Grund, das Risiko abzutun.
• Verfolgen Sie die Berichterstattung über Datenschutzverletzungen bei Unternehmen, die Sie nutzen, damit Sie handeln können, bevor überhaupt eine offizielle Benachrichtigung eintrifft.