Das Verteidigungsministerium hat Millionen aktiver und ehemaliger US-Militärangehöriger darüber informiert, dass ihre persönlichen Daten bei einem Datenleck gestohlen wurden, das Monate andauerte. Für alle, die gedient haben oder mit jemandem verbunden sind, der gedient hat, ist die praktische Frage einfach: Was sollten Sie dagegen tun? Dieser Leitfaden behandelt, was bekannt ist, und die Schutzmaßnahmen bei Datenlecks von Militärpersonal, die einen echten Unterschied machen.

Was wir über das DoD-Datenleck wissen

Laut der Berichterstattung von TechCrunch hat das Verteidigungsministerium Benachrichtigungen an Millionen aktiver und ehemaliger Militärangehöriger verschickt, nachdem festgestellt wurde, dass ihre persönlichen Daten über einen Zeitraum von Monaten entwendet worden waren. Die Benachrichtigungen sind der wichtigste Weg, über den betroffene Personen erfahren, dass ihre Daten betroffen waren.

Berichte anderer Medien liefern etwas Kontext, wobei die Zahlen abweichen. Federal News Network und ABC News beschreiben ein Datenleck im Informationssystem des Defense Manpower Data Center, von dem mehr als 3 Millionen Menschen mit Verbindungen zum Militär betroffen sind. CNN berichtet, dass das Pentagon bestätigt hat, dass das Datenleck 2,76 Millionen „lebende Personen" betrifft, eine Kategorie, die aktive und ehemalige Angehörige umfassen kann. Die Lücke zwischen diesen Zahlen spiegelt wahrscheinlich unterschiedliche Zählmethoden wider, daher sollte die genaue Gesamtzahl als ungeklärt gelten, bis das Verteidigungsministerium weitere Details veröffentlicht.

Military Times berichtete über einen Benachrichtigungsbrief, der davor warnte, dass unbefugte Nutzer auf Dateien mit persönlichen Informationen zugegriffen haben. Security Magazine beschreibt den Vorfall als ein Datenleck in einem HR-System des Pentagon. Welche Datenpunkte genau preisgegeben wurden, kann von Person zu Person unterschiedlich sein, weshalb es wichtiger ist, den eigenen Brief zu lesen, als sich auf allgemeine Zusammenfassungen zu verlassen.

Warum die monatelange Verweildauer das Risiko von Identitätsdiebstahl erhöht

Das Wort, das in dieser Geschichte hervorsticht, ist „monatelang". Wenn Angreifer über einen längeren Zeitraum Zugang zu einem System haben, haben sie mehr Zeit, Datensätze zu finden, zu kopieren und zu organisieren. Bis die Organisation den Eindringling entdeckt und Benachrichtigungen verschickt, wurden die Daten möglicherweise bereits kopiert, sortiert und eventuell weitergegeben oder verkauft.

Dieser Zeitablauf hat zwei Konsequenzen für Betroffene:

  • Die Uhr lief bereits, bevor Sie informiert wurden. Ihre Informationen könnten sich wochen- oder monatelang in den Händen anderer befunden haben, bevor Sie einen Brief erhalten haben.
  • Das Risiko läuft nicht ab. Gestohlene persönliche Daten wie Namen, Geburtsdaten und Identifikationsnummern lassen sich nicht einfach ändern. Kriminelle können sie aufbewahren und später nutzen, lange nachdem die Nachrichtenlage weitergezogen ist.

Das ist auch der Grund, warum Datenleck-Benachrichtigungen als Beginn einer langen Wachphase und nicht als einmaliges Ereignis behandelt werden sollten. Identitätsbetrug im Zusammenhang mit alten Lecks kann ein Jahr oder später als neue Kreditkarte, Steuererklärung oder Leistungsantrag in Ihrem Namen auftauchen.

Datendiebstahl in großem Umfang zieht auch mehr Aufmerksamkeit von Gesetzgebern auf sich. Unsere frühere Berichterstattung darüber, wie das ShinyHunters-Canvas-Datenleck parlamentarische Prüfung auslöste, zeigt ein ähnliches Muster: Sobald ein Datenleck Millionen von Menschen erreicht, wird es tendenziell zu einer Frage der Regierungsverantwortung.

Schritte, die betroffenes Personal jetzt ergreifen sollte

Sie können ein Datenleck nicht rückgängig machen, aber Sie können gestohlene Daten viel schwerer nutzbar machen. Beginnen Sie mit diesen Schritten:

  1. Lesen Sie Ihre Benachrichtigung sorgfältig. Notieren Sie, welche Daten preisgegeben wurden und ob der Brief Kreditüberwachungs- oder Identitätsschutzdienste anbietet. Nutzen Sie offizielle Kanäle, die im Brief genannt werden, und seien Sie misstrauisch gegenüber unaufgeforderten Anrufen, Textnachrichten oder E-Mails, die vorgeben, das Datenleck zu betreffen. Betrüger nutzen die Nachrichten oft aus.
  2. Sperren Sie Ihre Kreditauskunft. Eine Sperre bei jeder großen Auskunftei blockiert die meisten neuen Konten, die in Ihrem Namen eröffnet werden. Sie ist in der Regel kostenlos und kann vorübergehend aufgehoben werden, wenn Sie einen Kredit beantragen müssen.
  3. Setzen Sie Passwörter zurück und stärken Sie sie. Auch wenn das Datenleck keine Passwörter umfasste, ändern Sie diejenigen für Finanz-, E-Mail- und regierungsbezogene Konten. Verwenden Sie für jedes ein eindeutiges Passwort und einen Passwort-Manager, um den Überblick zu behalten.
  4. Aktivieren Sie Multi-Faktor-Authentifizierung. Eine Authentifizierungs-App oder ein Hardwareschlüssel ist sicherer als SMS-Codes, wo verfügbar.
  5. Überwachen Sie Ihre Konten und Berichte. Überprüfen Sie regelmäßig Bank- und Kartenabrechnungen und prüfen Sie Ihre Kreditberichte auf Konten, die Sie nicht erkennen.
  6. Achten Sie auf gezieltes Phishing. Angreifer, die Ihre Dienstgeschichte oder persönliche Details kennen, können überzeugende Nachrichten verfassen. Verifizieren Sie Anfragen über einen separaten, vertrauenswürdigen Kanal, bevor Sie klicken oder antworten.

Was ein VPN nach einem Datenleck kann und nicht kann

Es lohnt sich, hier direkt zu sein: Ein VPN schützt Sie nicht vor einem Datenleck wie diesem. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem Internet, was bei öffentlichem WLAN helfen und einschränken kann, was Ihr Netzwerkanbieter sieht. Es hat keine Auswirkung auf Daten, die bereits von einer Organisation gespeichert wurden, wie etwa eine Personal-Datenbank der Regierung. Wenn Angreifer Datensätze aus einem System kopiert haben, hätte nichts auf Ihrer Seite dies verhindern können, und nichts, was ein VPN tut, wird sie zurückholen.

Wo ein VPN noch eine bescheidene Rolle spielen kann, ist die allgemeine Hygiene: Verringerung der Exposition in nicht vertrauenswürdigen Netzwerken, während Sie Konten prüfen oder Ihre Kreditauskunft sperren. Es ist eine Ebene unter vielen, kein Heilmittel für ein Datenleck.

Was das für Sie bedeutet

Wenn Sie eine Benachrichtigung erhalten haben, nehmen Sie sie ernst und handeln Sie bald, aber geraten Sie nicht in Panik. Die wirksamsten Werkzeuge sind die unspektakulären: eine Kredit Sperre, eindeutige Passwörter, Multi-Faktor-Authentifizierung und stetige Überwachung. Wenn Sie keine Benachrichtigung erhalten haben, aber Verbindungen zum Militär haben, etwa als Familienmitglied oder ehemaliger Angehöriger, ist es vernünftig, auf offizielle Ankündigungen zu achten und zu prüfen, ob Sie abgedeckt sind.

Für alle anderen lautet die Lektion, dass Ihre Daten oft in Systemen liegen, die Sie nicht kontrollieren. Sie können Datenlecks nicht vollständig verhindern, aber Sie können den Schaden begrenzen, indem Sie sicherstellen, dass ein geleaktes Detail nicht alles andere entsperrt.

Wichtige Erkenntnisse

  • Prüfen Sie Ihre Datenleck-Benachrichtigung und nutzen Sie nur offizielle Kanäle für Ihre Antwort.
  • Sperren Sie Ihre Kreditauskunft und richten Sie Multi-Faktor-Authentifizierung ein.
  • Setzen Sie Passwörter zurück und verwenden Sie für jedes Konto ein anderes.
  • Rechnen Sie mit Phishing-Versuchen, die echte persönliche Details verwenden.
  • Überwachen Sie weiterhin über Monate und Jahre, da gestohlene Daten lange nach einem Datenleck genutzt werden können.

Starker Schutz bei Datenlecks von Militärpersonal läuft darauf hinaus, früh zu handeln und über die Zeit wachsam zu bleiben. Für ein weiteres Beispiel für Datendiebstahl in großem Umfang, der Regierungsprüfungen auslöst, lesen Sie unsere Berichterstattung über das ShinyHunters-Canvas-Datenleck.