Ein als „Icepick“ bekannt gewordenes Leck hat laut TechRadar Details zu 41.000 Mitarbeitern des Department of Homeland Security (DHS) offengelegt, darunter verdeckte ICE-Agenten und Auftragnehmer. Aus dem Icepick-DHS-Datenleck ist inzwischen eine durchsuchbare Datenbank geworden, was es für andere deutlich einfacher macht, die gestohlenen Informationen nachzuschlagen und zu missbrauchen.

Die Meldung erscheint zusammen mit zwei weiteren großen gemeldeten Lecks: 220 Millionen Reisendendatensätze mit neun Jahren Airline-Daten und 153 Millionen Führerscheine, die offenbar in einem russischen Cybercrime-Forum aufgetaucht sind. Das FBI hat Berichten zufolge eine Untersuchung des Führerschein-Lecks eingeleitet. Die Details zu diesen Vorfällen sind im Quellmaterial begrenzt, daher beschränkt sich dieser Artikel auf das, was berichtet wurde, und konzentriert sich auf praktische Schritte.

Was das Icepick-Leck offengelegt hat

Dem Bericht zufolge enthält der Icepick-Datenabfluss Informationen zu rund 41.000 DHS-Mitarbeitern. Berichte besagen, dass das Leck verdeckte ICE-Agenten und Auftragnehmer enttarnt hat – Personen, deren Identitäten normalerweise aus Sicherheits- und operativen Gründen geschützt werden.

Das Detail, das hervorsticht, ist die durchsuchbare Datenbank. Ein roher Datenabfluss ist für die meisten Menschen schwer nutzbar. Sobald er in eine Form gebracht wird, die jeder abfragen kann, sinkt die Hürde für Missbrauch drastisch. Das erhöht das Risiko von Doxxing (die Veröffentlichung persönlicher Daten einer Person, um sie zu belästigen oder zu gefährden), gezieltem Phishing und Identitätsbetrug.

Die Zusammenfassung verweist außerdem auf zwei weitere Lecks: neun Jahre Airline-Informationen, einschließlich Passagier- und Passdaten, mit 220 Millionen Reisendendatensätzen, und 153 Millionen Führerscheine, die offenbar in einem russischen Cybercrime-Forum veröffentlicht wurden. Das Quellmaterial liefert keine weiteren technischen Details dazu, wie diese erlangt wurden, daher sollten Leser die Einzelheiten als sich entwickelnd betrachten.

Warum Reisenden- und Führerscheindaten besonders riskant sind

Nicht alle geleakten Daten sind gleich. Ein geleaktes Passwort kann in Minuten geändert werden. Identitätsdokumente lassen sich nicht so leicht austauschen.

  • Pass- und Passagierdaten können preisgeben, wer Sie sind, wohin Sie reisen und wann. Diese Informationen helfen Angreifern, überzeugende Phishing-Nachrichten zu erstellen, etwa eine gefälschte Airline-Mitteilung über eine Buchungsänderung.
  • Führerscheindaten enthalten oft den vollständigen Namen, die Adresse, das Geburtsdatum und die Führerscheinnummer. Zusammengenommen sind dies die Bausteine für Identitätsdiebstahl und Versuche der Account-Übernahme.
  • Daten von Regierungsmitarbeitern bergen physische Sicherheitsrisiken ebenso wie digitale, da eine Offenlegung zu Belästigung oder gezielter Anvisierung führen kann.

Wenn diese Datensätze sich mit anderen Lecks überschneiden, können Kriminelle detaillierte Profile zusammenstellen. Dieselbe Dynamik gilt für Finanzlecks. Die Heights-Finance-Panne, die 750.000 Kunden betrifft, ist ein verwandtes Beispiel dafür, wie geleakte Identitätsdaten das Risiko von Identitätsdiebstahl erhöhen.

Was das für Sie bedeutet

Wenn Sie DHS-Mitarbeiter oder Auftragnehmer sind oder mit einem zusammenarbeiten, sind die Risiken persönlicher, und Sie sollten die offiziellen Hinweise Ihrer Behörde befolgen. Für alle anderen ist der entscheidende Punkt, dass Sie möglicherweise nicht wissen, ob Ihre Reise- oder Führerscheindaten in diesen Datensätzen enthalten sind. Angesichts des gemeldeten Umfangs ist es vernünftig anzunehmen, dass eine gewisse Exposition möglich ist, wenn Sie in den letzten Jahren geflogen sind oder einen US-Führerschein besitzen, auch wenn dies für keine Einzelperson bestätigt wurde.

Das praktische Risiko besteht weniger in einem einzelnen dramatischen Ereignis als vielmehr in einer langsamen Zunahme von Betrugsversuchen, die glaubwürdig klingen, weil sie echte Details über Sie verwenden.

Schritte, die Sie jetzt unternehmen sollten, wenn Ihre Daten möglicherweise offengelegt sind

Sie müssen nicht in Panik geraten, aber einige Schritte lohnen sich:

  1. Sperren Sie Ihre Kreditauskunft. Eine Sperre bei den Auskunfteien ist kostenlos und macht es jemandem deutlich schwerer, neue Konten in Ihrem Namen zu eröffnen. Sie können sie vorübergehend aufheben, wenn Sie Kredit benötigen.
  2. Aktivieren Sie die Kontenüberwachung. Aktivieren Sie Benachrichtigungen für Bank-, Karten- und Kreditaktivitäten und prüfen Sie Ihre Abrechnungen regelmäßig.
  3. Behandeln Sie unaufgeforderte Nachrichten mit Misstrauen. Seien Sie vorsichtig bei E-Mails, SMS oder Anrufen, die einen Flug, einen Pass oder einen Führerschein erwähnen, auch wenn sie korrekte Details enthalten. Gehen Sie direkt zur offiziellen App oder Website des Unternehmens, statt auf Links zu klicken.
  4. Verwenden Sie einzigartige Passwörter und Multi-Faktor-Authentifizierung. Das begrenzt den Schaden, wenn ein Konto kompromittiert wird.
  5. Achten Sie auf Anzeichen von Identitätsmissbrauch, wie unerwartete Post, abgelehnte Anträge oder unbekannte Konten in Ihrer Kreditauskunft.

Wie Datenminimierung und Verschlüsselung den Schaden von Lecks begrenzen

Sie können nicht kontrollieren, wie Airlines oder Behörden Ihre Daten speichern, aber Sie können reduzieren, was überhaupt geleakt werden kann.

Datenminimierung bedeutet, nur das Notwendige zu teilen. Lassen Sie optionale Felder in Formularen aus, vermeiden Sie die Wiederverwendung Ihrer echten Daten über viele Dienste hinweg und löschen Sie alte Konten, die Sie nicht mehr nutzen. Je weniger Daten ein Unternehmen über Sie speichert, desto weniger kann bei einem Leck offengelegt werden.

Verschlüsselung hilft auf andere Weise. Die Verschlüsselung Ihrer Geräte und die Nutzung verschlüsselter Verbindungen schützt Daten, die Sie kontrollieren, wie Dateien, Backups und Datenverkehr in öffentlichen WLAN-Netzen. Ein VPN kann helfen, Ihre Verbindung vor lokalem Ausspähen zu schützen, aber es ist wichtig, seine Grenzen klar zu benennen: Es schützt keine Informationen, die bereits in der Datenbank eines Unternehmens oder einer Behörde gespeichert sind. Lecks wie dieses ereignen sich serverseitig, sodass persönliche Gewohnheiten das Risiko verringern, es aber nicht beseitigen können.

Die wichtigsten Erkenntnisse

Das Icepick-DHS-Datenleck zeigt zusammen mit den gemeldeten Reisenden- und Führerschein-Lecks, wie schnell gestohlene Datensätze zu durchsuchbaren Werkzeugen für Betrug und Doxxing werden können. Da die zugrunde liegenden Details zum Zeitpunkt der Berichterstattung noch ans Licht kamen, ist die beste Reaktion ruhige, praktische Vorsicht statt Alarmismus.

  • Sperren Sie Ihre Kreditauskunft bei den großen Auskunfteien.
  • Aktivieren Sie Überwachung und Benachrichtigungen für Ihre Finanzkonten.
  • Behandeln Sie unerwartete Nachrichten über Reisen oder Identitätsdokumente als verdächtig, bis sie verifiziert sind.
  • Teilen Sie weniger persönliche Daten, wo immer Sie können.

Für einen weiteren Blick darauf, wie offengelegte Identitätsdetails zu realen Risiken werden, lesen Sie unsere Berichterstattung über die Heights-Finance-Panne, und nehmen Sie sich heute ein paar Minuten Zeit, um Ihre Kreditauskunft und Konten abzusichern.