Ein großes Sicherheitsunternehmen hatte ein großes Sicherheitsproblem

Alert 360, der fünftgrößte Anbieter von Sicherheitslösungen für Privathaushalte und Unternehmen in den Vereinigten Staaten, ist Berichten zufolge Opfer einer schwerwiegenden Datenpanne geworden. Die Hackergruppe ShinyHunters übernahm die Verantwortung für den Diebstahl von 2,5 Millionen Datensätzen und veröffentlichte diese Daten schließlich im Darknet, nachdem Verhandlungen über ein Lösegeld gescheitert waren. Die geleakten Informationen umfassen personenbezogene Daten (PII) sowie interne Unternehmensdaten und stellen damit ein ernstes Risiko für den großen Kundenstamm des Unternehmens dar.

Der Vorfall ist nicht nur aufgrund seines Ausmaßes bemerkenswert, sondern auch wegen dem, was er über den allgemeinen Zustand der Datensicherheit aussagt. Wenn ein Unternehmen, dessen Kerngeschäft der Schutz von Menschen und Eigentum ist, die eigenen Kundendaten nicht sichern kann, wirft das schwierige Fragen darüber auf, wie Organisationen mit den sensiblen Informationen umgehen, die sie erheben.

Wer sind ShinyHunters und warum sind sie relevant?

ShinyHunters ist in der Cybersicherheitsbranche kein unbekannter Name. Die Gruppe wurde in den vergangenen Jahren mit einer Reihe hochkarätiger Datenpannen in Verbindung gebracht und hat dabei Unternehmen aus verschiedenen Branchen und Regionen ins Visier genommen. Ihr typisches Vorgehen umfasst das Eindringen in ein Zielsystem, die Entwendung großer Datenmengen, die Forderung einer Lösegeldzahlung und die öffentliche Veröffentlichung der Daten, wenn die Verhandlungen scheitern oder keine Zahlung erfolgt.

Dieser letzte Schritt – die Veröffentlichung der Daten – ist es, der eine Datenpanne von einem eingrenzbaren Unternehmensproblem in ein weitreichendes Verbraucherrisiko verwandelt. Sobald Datensätze in Darknet-Foren landen, werden sie für eine Vielzahl böswilliger Akteure zugänglich – von Identitätsdieben bis hin zu Phishing-Betreibern. Die Daten verschwinden nicht, nachdem sie veröffentlicht wurden; sie kursieren weiter, werden weiterverkauft und richten noch lange nach dem ursprünglichen Vorfall Schaden an, nachdem dieser aus den Schlagzeilen verschwunden ist.

Das Scheitern der Lösegeldverhandlungen in diesem Fall bedeutet, dass jeglicher Handlungsspielraum, den Alert 360 möglicherweise gehabt hätte, um die Verbreitung der Daten einzudämmen, nun verloren ist. Die Daten sind draußen.

Welche Art von Daten wurde offengelegt?

Berichten zufolge enthält der geleakte Datensatz personenbezogene Daten – eine breite Kategorie, die typischerweise Namen, Adressen, Telefonnummern, E-Mail-Adressen, Kontodaten und je nach gespeichertem Datenbestand möglicherweise noch sensiblere Informationen umfasst. Auch interne Unternehmensdaten sollen in dem veröffentlichten Material enthalten gewesen sein.

Für Kunden eines Sicherheitsdienstleisters für Privathaushalte oder Unternehmen gehen die Auswirkungen über die üblichen Bedenken bei einer Datenpanne im Einzel- oder Social-Media-Bereich hinaus. Menschen, die Sicherheitsdienste nutzen, haben häufig detaillierte Informationen über ihre Häuser, Unternehmen, Zeitpläne und physischen Zugangssysteme weitergegeben. Aufgrund der Natur dieser Beziehung können die von diesen Unternehmen gespeicherten Daten im Kontext sensibler sein als eine einfache Liste von E-Mail-Adressen.

Zum jetzigen Zeitpunkt hat Alert 360 keine umfassende öffentliche Stellungnahme veröffentlicht, in der genau dargelegt wird, welche Datensätze kompromittiert wurden oder wie viele Kunden direkt betroffen sind. Dieser Mangel an Klarheit ist für jeden, der jemals Kunde des Unternehmens war, selbst ein Grund zur Besorgnis.

Was das für Sie bedeutet

Diese Datenpanne ist ein deutliches Beispiel für ein Problem, das jeden betrifft, der persönliche Daten mit einer Organisation teilt: Man hat sehr wenig Kontrolle darüber, was mit diesen Daten geschieht, sobald sie die eigenen Hände verlassen haben. Man kann zwar starke Passwörter wählen und die Zwei-Faktor-Authentifizierung für die eigenen Konten nutzen, aber die Sicherheitspraktiken jedes Unternehmens, das die eigenen Daten verwahrt, lassen sich nicht kontrollieren.

Diese Realität macht es wichtig, grundsätzlicher darüber nachzudenken, wie man seinen persönlichen Datenfußabdruck verwaltet. Im Nachgang solcher Vorfälle sind einige praktische Schritte empfehlenswert.

Überwachen Sie Ihre Konten und Ihre Kreditwürdigkeit. Wenn Sie ein aktueller oder ehemaliger Kunde von Alert 360 sind, behalten Sie Ihre Finanzkonten genau im Blick und erwägen Sie, bei den großen Kreditauskunfteien einen Betrugswarnhinweis oder eine Kreditsperre einzurichten. Dies ist kostenlos und kann verhindern, dass ohne Ihr Wissen neue Kreditlinien in Ihrem Namen eröffnet werden.

Achten Sie auf Phishing-Versuche. Geleakte personenbezogene Daten werden häufig genutzt, um überzeugende Phishing-E-Mails und Textnachrichten zu erstellen. Seien Sie skeptisch gegenüber unaufgeforderten Mitteilungen, die auf Ihr Konto, Ihr Heimsicherheitssystem Bezug nehmen oder Sie auffordern, auf einen Link zu klicken oder Anmeldedaten anzugeben.

Verwenden Sie einzigartige Passwörter und einen Passwort-Manager. Wenn Sie Passwörter für mehrere Konten wiederverwenden, kann eine Datenpanne bei einem Unternehmen zu unbefugtem Zugriff an anderer Stelle führen. Ein Passwort-Manager macht es praktikabel, für jeden Dienst eigene Zugangsdaten zu pflegen.

Überlegen Sie zukünftig, welche Daten Sie weitergeben. Nicht jeder Dienst benötigt Ihren vollständigen Namen, Ihre Privatadresse und Telefonnummer. Beschränken Sie die von Ihnen bereitgestellten Informationen wo immer möglich auf das unbedingt Notwendige.

Überprüfen Sie Datenbank-Benachrichtigungsdienste für Datenpannen. Dienste, die Datenpannen-Daten aggregieren, können Ihnen mitteilen, ob Ihre E-Mail-Adresse in bekannten Leaks aufgetaucht ist, und Ihnen so ein frühzeitiges Signal geben, Zugangsdaten zu ändern und wachsam zu bleiben.

Die Datenpanne bei Alert 360 ist eine Erinnerung daran, dass kein Unternehmen vor Angriffen gefeit ist – auch nicht solche, die selbst im Sicherheitsbereich tätig sind. Die beste verfügbare Verteidigung für Einzelpersonen besteht darin, informiert zu bleiben, schnell zu handeln, wenn Datenpannen bekannt gegeben werden, und konsequente Schritte zu unternehmen, um den Schaden zu begrenzen, den geleakte Daten anrichten können. Der Schutz Ihrer persönlichen Daten erfordert kontinuierliche Aufmerksamkeit und ist keine einmalige Einrichtungssache.