Der Kosmetikriese Estée Lauder hat damit begonnen, Kunden über eine Datenpanne zu benachrichtigen, nachdem Hacker eine Schwachstelle in Oracle E-Business Suite (EBS) ausgenutzt haben, der Unternehmenssoftware, die das Unternehmen für seine Personalabteilung einsetzte. Die Offenlegung reiht Estée Lauder in eine wachsende Liste von Organisationen ein, die von Sicherheitsproblemen im Zusammenhang mit weit verbreiteten Oracle-Geschäftsanwendungen betroffen sind, und unterstreicht, wie eine einzelne Schwachstelle in Back-Office-Software dazu führen kann, dass sensible persönliche Daten nach außen dringen.

Was bei der Estée Lauder-Datenpanne geschah

Laut der Offenlegung des Unternehmens fanden Angreifer einen Weg in die Oracle E-Business Suite-Umgebung von Estée Lauder, die Software, auf die sich das Unternehmen für personalbezogene Funktionen stützt. Da EBS häufig zur Speicherung und Verarbeitung von Mitarbeiterdaten, Gehaltsabrechnungen, Sozialleistungsinformationen und anderen administrativen Details verwendet wird, kann ein solcher Verstoß personenbezogene Datenkategorien offenlegen, die kaum für die Öffentlichkeit bestimmt sind.

Estée Lauder hat keine detaillierte technische Aufschlüsselung des Eindringens veröffentlicht und den Angriff keiner bestimmten Hacking-Gruppe zugeschrieben. Fest steht, dass die Ursache auf eine Schwachstelle in der Oracle E-Business Suite-Plattform zurückgeht, einem weit verbreiteten System, das von großen Unternehmen weltweit zur Verwaltung von Finanzen, Lieferketten und Personalaufgaben genutzt wird.

Das Unternehmen ist dabei, die Betroffenen zu benachrichtigen – ein üblicher Schritt, der nach den meisten Gesetzen zur Meldung von Datenschutzverletzungen erforderlich ist, sobald eine Organisation den unbefugten Zugriff auf personenbezogene Daten bestätigt. Wer ein Benachrichtigungsschreiben oder eine E-Mail erhält, sollte diese aufmerksam lesen, um herauszufinden, welche Datenkategorien möglicherweise betroffen waren und welche Abhilfemaßnahmen, wie etwa eine kostenlose Kreditüberwachung, angeboten werden.

Warum HR-Systeme ein hochwertiges Ziel sind

Enterprise-Resource-Planning-Plattformen wie Oracle E-Business Suite stehen im Zentrum der sensibelsten internen Abläufe eines Unternehmens. Wird das HR-Modul eines solchen Systems kompromittiert, kann der potenzielle Datenabfluss Namen, Kontaktdaten, Beschäftigungsunterlagen und andere personenbezogene Informationen von aktuellen oder ehemaligen Mitarbeitern umfassen, in manchen Fällen auch von Kunden, deren Daten mit diesen Systemen verknüpft sind.

Diese Art von Daten ist für Kriminelle besonders attraktiv, weil sie für Identitätsdiebstahl, gezieltes Phishing oder Social-Engineering-Kampagnen missbraucht werden kann. Anders als eine gestohlene Kreditkartennummer, die gesperrt und neu ausgestellt werden kann, sind personenbezogene Merkmale aus Beschäftigungsunterlagen schwerer zu ändern und können Angreifern jahrelang nützlich sein. Ein Vorfall, der die HR-Infrastruktur betrifft, erhöht zudem das Risiko äußerst überzeugender Phishing-Versuche, da die Angreifer echte interne Details nutzen können, um gefälschte Nachrichten echt wirken zu lassen.

Der Vorfall bei Estée Lauder erinnert daran, dass die Sicherheit der öffentlich zugänglichen Website oder des Kundenportals eines Unternehmens nur ein Teil des Bildes ist. Die Software, die still im Hintergrund läuft und Gehaltsabrechnung, Sozialleistungen und HR-Fallmanagement abwickelt, kann bei einem Sicherheitsvorfall ebenso schwerwiegende Folgen haben.

Unternehmenssoftware als systemisches Risiko

Oracle E-Business Suite wird von einer großen Zahl bedeutender Unternehmen genutzt, sodass eine Schwachstelle in dieser Software weit über ein einzelnes Unternehmen hinaus Auswirkungen hat. Betrifft eine Schwachstelle eine so weit verbreitete Plattform, zeigen sich die Folgen im Laufe der Zeit häufig in mehreren Organisationen, während jede überprüft, ob die eigene Installation betroffen war. Genau das ist das Wesen von Lieferkettenrisiken in der IT großer Unternehmen: Das Produkt eines einzigen Anbieters kann zu einem Single Point of Failure für Dutzende oder Hunderte von Organisationen werden, die alle davon abhängen.

Für Unternehmen, die Oracle EBS oder ähnliche Unternehmenssoftware einsetzen, ist dieser Vorfall ein deutliches Signal, das Patch-Management zu überprüfen, zu prüfen, wer Zugriff auf HR- und Finanzmodule hat, und sicherzustellen, dass Überwachungstools vorhanden sind, um ungewöhnliche Aktivitäten innerhalb dieser Systeme zu erkennen – nicht nur in kundenorientierten Anwendungen.

Was das für Sie bedeutet

Wenn Sie aktueller oder ehemaliger Mitarbeiter von Estée Lauder sind oder auf eine Weise mit dem Unternehmen interagiert haben, die die HR-Systeme berührt haben könnte, achten Sie auf ein offizielles Benachrichtigungsschreiben oder eine E-Mail und lesen Sie es sorgfältig. Seriöse Benachrichtigungen über Datenschutzverletzungen erklären in der Regel, welche Daten betroffen waren und welche Unterstützung, etwa eine Kreditüberwachung, kostenlos angeboten wird.

Unabhängig von dieser speziellen Benachrichtigung ist jetzt ein guter Zeitpunkt, um Passwörter für Konten zurückzusetzen, die mit sensiblen persönlichen Daten verknüpft sind, insbesondere wenn diese Passwörter auch anderswo verwendet werden. Die Aktivierung der Multi-Faktor-Authentifizierung, wo immer verfügbar, fügt eine bedeutsame Schutzschicht hinzu, selbst wenn Anmeldedaten in einem künftigen Vorfall offengelegt werden.

Seien Sie skeptisch bei unaufgeforderten E-Mails, SMS oder Anrufen, die sich auf Beschäftigungsdetails, Sozialleistungen oder Gehaltsabrechnungen beziehen, insbesondere wenn Sie aufgefordert werden, auf einen Link zu klicken oder persönliche Daten preiszugeben. Angreifer, die HR-bezogene Daten erlangt haben, nutzen diese oft, um überzeugende Phishing-Nachrichten zu erstellen. Daher ist es eine kluge Angewohnheit, den Absender über einen offiziellen Kanal zu verifizieren, bevor Sie reagieren.

Umsetzbare Erkenntnisse

Überprüfen Sie Ihren Posteingang und Ihre physische Post auf eine offizielle Benachrichtigung von Estée Lauder, falls Sie glauben, betroffen zu sein, und nutzen Sie alle angebotenen kostenlosen Überwachungsdienste. Setzen Sie Passwörter für alle Konten zurück, die dieselben Zugangsdaten wie arbeitsbezogene Systeme verwenden, und aktivieren Sie die Multi-Faktor-Authentifizierung, wo sie noch nicht aktiv ist. Behandeln Sie unerwartete Nachrichten, die sich auf HR, Gehaltsabrechnung oder Sozialleistungen beziehen, mit Vorsicht und verifizieren Sie diese über offizielle Kanäle, bevor Sie auf Links klicken oder Informationen weitergeben. Behalten Sie schließlich in den kommenden Monaten Ihre Kreditberichte und Finanzauszüge im Auge, da sich die Auswirkungen einer Datenpanne mit personenbezogenen Daten oft erst lange nach der ersten Offenlegung zeigen.

Die Datenpanne bei Estée Lauder erinnert daran, dass die Software, die still im Hintergrund großer Organisationen läuft, genauso viel Aufmerksamkeit verdient wie die Apps und Websites, mit denen Verbraucher direkt interagieren.