Ein Bericht von TechRadar über einen GovTech-Vorfall, bei dem 42 Millionen Dokumente geleakt wurden, fasst auch mehrere andere offengelegte Datenbanken zusammen. Zwei davon stechen hervor. Eine betrifft ein KI-Entwicklungsunternehmen, Vibetech, das Daten aus früheren Datenlecks gesammelt und versehentlich fast 14 Millionen Datensätze online zugänglich gemacht hat. Die andere betrifft einen Dienst für umgekehrte Bildersuche und Identitätsprüfung, der mehr als 9 Millionen Gesichtserkennungsbilder offengelegt hat. Zusammengenommen zeigen der Datenbank-Leak bei der KI-Firma und die Offenlegung der Gesichtserkennungsdaten, wie personenbezogene Daten noch lange nach dem ursprünglichen Vorfall Schaden anrichten können.

Was die offengelegten Datenbanken enthielten

Die bisher veröffentlichten Details sind begrenzt, daher lohnt es sich, genau zu benennen, was bekannt ist.

Laut dem Bericht umfasste die Vibetech-Offenlegung fast 14 Millionen Datensätze. Das Unternehmen hatte die Daten aus verschiedenen Datenlecks zusammengetragen, und sie wurden dann versehentlich online erreichbar. Der namensgebende GovTech-Vorfall betraf 42 Millionen Dokumente, darunter Tausende, die als voller personenbezogener Informationen beschrieben werden.

Der dritte Fall betraf Gesichtsbilder. Mehr als 9 Millionen wurden von einem Dienst für umgekehrte Bildersuche und Identitätsprüfung offengelegt. Unsere frühere Berichterstattung über das ClarityCheck-Leak, das 9 Millionen Gesichtsbilder offenlegte, beschreibt, wie ein Forscher eine ungesicherte Cloud-Datenbank fand, die mit dem in den USA ansässigen Dienst in Verbindung steht.

Es handelt sich um getrennte Vorfälle, doch sie haben eine gemeinsame Ursache: Daten wurden an einem Ort gespeichert, an dem sie für niemanden mit Internetverbindung hätten erreichbar sein dürfen.

Wie aggregierte Leak-Daten online landen

Der Fall Vibetech ist ein anderes Problem als ein typischer Hack. Es ist nicht unbedingt jemand eingebrochen. Ein Unternehmen hat Informationen aus mehreren früheren Datenlecks gesammelt, an einem Ort zusammengeführt und diesen Ort dann nicht abgesichert.

Das ist aus mehreren Gründen relevant:

  • Alte Leaks bekommen ein zweites Leben. Daten, die über verschiedene Vorfälle verstreut waren, lassen sich leichter durchsuchen und nutzen, sobald sie in einer Sammlung zusammengefasst sind.
  • Die Betroffenen wissen es möglicherweise nicht. Wenn Ihre Daten in einem früheren Leak enthalten waren, erfahren Sie vielleicht nie, dass ein Dritter sie gesammelt und später erneut offengelegt hat.
  • Fehlkonfiguration ist ein wiederkehrender Fehler. Ungesicherte Datenbanken, ob Cloud-Speicher oder Suchplattformen, tauchen in der Sicherheitsforschung immer wieder auf. Unsere Berichterstattung über die 220 Millionen Reisendendatensätze, die bei einem APIS-Leak in Vietnam offengelegt wurden, betraf eine ungesicherte Elasticsearch-Datenbank – eine ähnliche Art von Fehler in ganz anderem Ausmaß.

Zusammengeführte Datensätze können es zudem erleichtern, einzelne Informationen einer Person zuzuordnen. Eine E-Mail-Adresse aus einem Leak und eine Telefonnummer aus einem anderen sind für Kriminelle weniger nützlich als ein einziges Profil, das beides enthält.

Warum ein Datenbank-Leak bei einer KI-Firma und Gesichtserkennungsdaten ein dauerhaftes Risiko darstellen

Die meisten geleakten Daten lassen sich ändern. Sie können ein Passwort zurücksetzen, eine Karte sperren oder ein Konto ersetzen. Ein Gesicht lässt sich nicht ersetzen.

Wenn Gesichtsbilder offengelegt werden, insbesondere von einem Dienst, der auf umgekehrte Bildersuche und Identitätsprüfung ausgerichtet ist, können die Bilder mit Namen oder anderen identifizierenden Angaben verknüpft sein. Sicherheitskommentare zum Fall ClarityCheck weisen darauf hin, dass das Risiko wächst, wenn Kriminelle Gesichtsbilder mit anderen personenbezogenen Informationen kombinieren. Das könnte Identitätsdiebstahl, betrügerische Identitätsprüfungen oder gezielte Betrugsmaschen begünstigen.

Hinzu kommt ein verstärkender Effekt. Wenn ein Aggregator wie Vibetech Daten aus mehreren Leaks sammeln kann, könnte dasselbe mit einem Satz geleakter Bilder geschehen. Eine einzelne Offenlegung, die eingedämmt wirkt, kann zu einem dauerhaften Teil des Datenpools werden, den andere sammeln und wiederverwenden können.

Nichts davon bedeutet, dass jede Person in einer offengelegten Datenbank zum Opfer wird. Es bedeutet aber, dass der übliche Rat, nach einem Leak das Passwort zu ändern, unvollständig ist, wenn es sich bei den offengelegten Daten um biometrische Daten handelt.

Was das für Sie bedeutet: So begrenzen Sie Ihr Risiko

Sie können nicht kontrollieren, wie ein Unternehmen Daten speichert, die es bereits besitzt, aber Sie können verringern, wie viele Ihrer Daten im Umlauf sind und wie nützlich sie im Fall einer Offenlegung wären.

Prüfen Sie, ob Sie betroffen sind. Suchen Sie Ihre E-Mail-Adressen und Telefonnummern in einem seriösen Dienst zur Benachrichtigung über Datenlecks. Wenn sie dort auftauchen, betrachten Sie die zugehörigen Konten als kompromittiert und ändern Sie diese Passwörter – mit einem eigenen Passwort für jedes Konto.

Gehen Sie sparsam mit biometrischen Daten und Ausweis-Uploads um. Bevor Sie ein Selfie, einen Reisepass oder einen Führerschein bei einem Verifizierungsdienst hochladen, fragen Sie sich, ob das wirklich erforderlich ist. Prüfen Sie, was das Unternehmen zur Aufbewahrung und Löschung sagt. Wenn Sie die Wahl haben, bevorzugen Sie Methoden, die Ihr Gesicht nicht speichern.

Begrenzen Sie öffentliche Fotos. Dienste für umgekehrte Bildersuche und Scraping sind auf leicht auffindbare Bilder angewiesen. Strengere Privatsphäre-Einstellungen in sozialen Netzwerken und das Entfernen alter öffentlicher Fotos verringern, was gesammelt werden kann.

Achten Sie auf Folgebetrug. Geleakte persönliche Angaben befeuern häufig Phishing, Identitätsbetrug und gefälschte Verifizierungsanfragen. Behandeln Sie unerwartete Nachrichten, die zutreffende persönliche Details enthalten, mit besonderer Vorsicht und vergewissern Sie sich über einen offiziellen Kanal.

Nutzen Sie starken Kontoschutz. Aktivieren Sie, wo verfügbar, die Multi-Faktor-Authentifizierung, damit offengelegte Zugangsdaten allein weniger nützlich sind. Ein VPN kann Ihre Verbindung vor lokalem Ausspähen schützen, schützt aber keine Daten, die ein Unternehmen bereits gespeichert und ungesichert gelassen hat.

Die wichtigsten Erkenntnisse

Die übergeordnete Lehre aus diesem Datenbank-Leak bei einer KI-Firma und der Offenlegung von Gesichtserkennungsdaten lautet: Geleakte Daten verschwinden nicht. Sie können gesammelt, kombiniert und erneut offengelegt werden – und ein Gesicht ist das eine Identifikationsmerkmal, das Sie nicht zurücksetzen können.

  1. Prüfen Sie, ob Ihre E-Mail-Adresse und Telefonnummer in bekannten Leak-Datenbanken auftauchen, und aktualisieren Sie betroffene Passwörter.
  2. Teilen Sie biometrische Daten und Ausweisdokumente nur, wenn es nötig ist, und bevorzugen Sie Dienste mit klaren Löschrichtlinien.
  3. Reduzieren Sie die Anzahl öffentlicher Fotos, die mit Ihrem Namen verknüpft sind.
  4. Bleiben Sie wachsam gegenüber Betrugsmaschen, die echte persönliche Angaben verwenden.

Ein konkretes Beispiel dafür, was auf dem Spiel steht, finden Sie in unserem Bericht über das ClarityCheck-Leak von Gesichtsbildern. Nehmen Sie sich anschließend ein paar Minuten Zeit, um zu überprüfen, was Sie mit Identitätsprüfungsdiensten geteilt haben.