Eine Sicherheitslücke in einer Datenbank mit mehr als 125 Millionen Textnachrichten, die von lettischen und litauischen Banken, Versicherern, Einzelhändlern und Dienstleistern an ihre Kunden gesendet wurden, wurde behoben. Der Betreiber des Systems hinter der Datenbank gibt an, das Problem sei behoben worden. Der Vorfall ist ein klares Beispiel für die Risiken von Datenlecks bei SMS-Anbietern: Sensible Nachrichten liegen oft bei einem Dienstleister, den die Kunden nie ausgewählt haben und dessen Existenz ihnen möglicherweise nicht bekannt ist.

Die bisher verfügbare Berichterstattung ist knapp, daher beschränkt sich dieser Beitrag auf das, was mitgeteilt wurde, und erklärt, warum es relevant ist.

Was in der baltischen SMS-Datenbank offengelegt wurde

Laut dem Bericht enthielt die betroffene Datenbank mehr als 125 Millionen Textnachrichten. Es handelte sich um Business-to-Customer-Nachrichten, die von lettischen und litauischen Banken, Versicherern, Einzelhändlern und Dienstleistern versendet wurden. Die Quelle beschreibt das Problem als eine Sicherheitslücke, die inzwischen behoben wurde, und die Schlagzeile rahmt es als ein mögliches Datenleck ein.

Diese Formulierung ist wichtig. Eine Sicherheitslücke bedeutet, dass eine Schwachstelle existierte. Sie bestätigt für sich genommen nicht, dass jemand auf die Daten zugegriffen oder sie kopiert hat. Das uns vorliegende Quellenmaterial sagt nicht, wie lange die Schwachstelle bestand, wer sie möglicherweise entdeckt hat oder ob Nachrichten tatsächlich von unbefugten Dritten eingesehen wurden.

Dennoch lohnt es sich, über die Art der Inhalte nachzudenken, die eine solche Datenbank typischerweise enthält. Unternehmen nutzen SMS häufig für Einmalpasswörter, Bankbenachrichtigungen, Lieferupdates und Kontomitteilungen. Solche Nachrichten können verraten, bei welcher Bank jemand ein Konto hat, was er gekauft hat, wohin ein Paket unterwegs ist und welche Dienste er nutzt. Selbst ohne ein einziges Passwort ist dieser Kontext für jemanden wertvoll, der einen überzeugenden Betrug plant.

Warum Messaging-Dienstleister ein verborgenes Risiko darstellen

Die meisten Menschen gehen davon aus, dass eine Bank oder ein Einzelhändler seine Texte selbst versendet. In der Praxis übertragen viele Organisationen diese Aufgabe einem Messaging-Anbieter, der zwischen dem Unternehmen und dem Mobilfunknetz steht. Der Kunde hat es mit der Marke zu tun, aber der Nachrichteninhalt läuft über ein separates Unternehmen und wird möglicherweise dort gespeichert.

Dadurch entstehen einige Probleme:

  • Unsichtbare Beziehungen. Kunden sehen selten, welche Dienstleister ihre Daten verarbeiten, und können daher die Sicherheit des Dienstleisters nicht beurteilen.
  • Konzentrierte Daten. Ein Anbieter kann viele Kunden in mehreren Ländern bedienen. Eine einzige Schwachstelle kann gleichzeitig Nachrichten von Banken, Versicherern und Geschäften betreffen – was eine Zahl wie 125 Millionen Nachrichten möglich macht.
  • Fragen zur Aufbewahrung. Nachrichtenprotokolle können zur Fehlerbehebung oder Berichterstattung aufbewahrt werden. Je länger sie gespeichert werden, desto mehr gibt es offenzulegen.

Dasselbe Muster zeigt sich in anderen Vorfällen, über die wir berichtet haben. Unsere Betrachtung des Drittanbieterrisikos im Trump-Mobile-Vorfall zeigt, wie Daten, die außerhalb der eigenen Mauern einer Marke liegen, dennoch zum Problem dieser Marke werden können. Der Datenvorfall bei Fakturownia macht einen ähnlichen Punkt zu einer Plattform, die weit mehr enthält, als ihr Name vermuten lässt.

Was die Behebung durch den Anbieter bestätigt und was nicht

Die Aussage des Anbieters, das Problem sei behoben, ist eine gute Nachricht, beantwortet aber nur einen Teil der Frage.

Was sie nahelegt: Die konkrete Schwachstelle ist nicht mehr offen, sodass derselbe Weg künftig nicht mehr verfügbar sein sollte.

Was sie – basierend auf der Quelle – nicht bestätigt:

  • Ob ein Dritter vor der Behebung auf die Nachrichten zugegriffen hat.
  • Ob die offengelegten Nachrichten Codes oder persönliche Daten enthielten, die noch verwendbar sind.
  • Ob eine unabhängige Prüfung die Reparatur verifiziert hat.
  • Ob betroffene Unternehmen ihre Kunden benachrichtigen werden.

Bis diese Punkte öffentlich geklärt sind, ist die vernünftige Haltung weder Panik noch Selbstzufriedenheit. Betrachten Sie die Behebung als notwendigen Schritt, nicht als vollständige Entwarnung. Organisationen, die den Anbieter genutzt haben, sind am besten in der Lage zu erklären, was Kunden gegebenenfalls tun sollten.

Was das für Sie bedeutet

Wenn Sie bei lettischen oder litauischen Unternehmen Bankgeschäfte tätigen, Versicherungen abschließen oder einkaufen, könnten Ihre Nachrichten über ein solches System gelaufen sein. Auch wenn Sie woanders ansässig sind, gilt die Lehre: Jeder Dienst, der Ihnen SMS schickt, stützt sich auf eine Kette von Dienstleistern, die Sie nicht prüfen können.

Das realistische Risiko ist in der Regel nicht eine dramatische Kontoübernahme durch eine alte Textnachricht. Es ist gezieltes Phishing. Ein Betrüger, der weiß, dass Sie kürzlich eine Lieferbenachrichtigung oder einen Bankalert erhalten haben, kann eine gefälschte Nachricht verfassen, die authentisch wirkt, und dabei echte Details nutzen, um Ihr Vertrauen zu gewinnen. Ältere Einmalcodes sollten abgelaufen sein, aber die SMS-basierte Anmeldung selbst bleibt das schwache Glied, weil Texte abgefangen, weitergeleitet oder an Orten offengelegt werden können, die Sie nicht kontrollieren. Unser wöchentlicher Sicherheitsrückblick zeigt ebenfalls, wie sich Phishing-Tricks ständig weiterentwickeln – eine Erinnerung daran, bei unerwarteten Nachrichten skeptisch zu bleiben.

Wie Sie sich vor SMS-basiertem Phishing und 2FA-Risiken schützen können

Sie können den Messaging-Anbieter Ihrer Bank nicht auswählen, aber Sie können verringern, wie stark eine offengelegte Textnachricht Ihnen schaden kann.

  1. Verzichten Sie nach Möglichkeit auf SMS-Codes. Verwenden Sie eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel für die Zwei-Faktor-Authentifizierung. Diese laufen nicht über SMS-Systeme.
  2. Halten Sie SMS nur als Fallback vor. Wenn ein Dienst eine Textverifizierung erzwingt, aktivieren Sie sie, aber fügen Sie überall dort, wo der Dienst es erlaubt, stärkere Optionen hinzu.
  3. Misstrauen Sie Nachrichten, die sich auf echte Aktivitäten beziehen. Eine Textnachricht, die eine echte Bestellung oder Bank erwähnt, beweist nicht, dass sie echt ist. Tippen Sie nicht auf Links; öffnen Sie die offizielle App oder geben Sie die Adresse selbst ein.
  4. Teilen Sie niemals Codes. Keine legitime Bank und kein legitimer Einzelhändler wird Sie bitten, einen Einmalcode vorzulesen.
  5. Beobachten Sie Ihre Konten. Prüfen Sie Kontoauszüge und Anmeldebenachrichtigungen auf alles Ungewohnte und melden Sie verdächtige Aktivitäten schnell Ihrer Bank.
  6. Fragen Sie Ihre Anbieter. Wenn Sie wissen möchten, wie ein Unternehmen mit Nachrichtendaten umgeht, fragen Sie, wer sie verarbeitet und wie lange sie aufbewahrt werden.

Das Fazit

Die Behebung dieser baltischen Datenbank ist zu begrüßen, lässt aber Fragen offen, ob jemals auf die Daten zugegriffen wurde. Die übergeordnete Lehre zu den Risiken von Datenlecks bei SMS-Anbietern gilt unabhängig davon: Sensible Mitteilungen laufen über Dienstleister, die Sie nie ausgewählt haben, und Sie können nur Ihre eigene Seite kontrollieren. Wechseln Sie zu app-basierter oder Hardware-2FA, bleiben Sie wachsam gegenüber jeder Nachricht, die echte Aktivitäten erwähnt, und lesen Sie mehr darüber, wie externe Dienstleister Exposition schaffen, in unseren Beiträgen zum Trump-Mobile-Vorfall und zum Fakturownia-Vorfall.