Was TCS angibt, was passiert ist und was es bestreitet

Tata Consultancy Services (TCS) teilte den Börsen am Montag mit, dass es Warnmeldungen von Bedrohungsinformationen erhalten habe, die auf eine mögliche Offenlegung bestimmter Mitarbeiterdaten hindeuteten. Das Unternehmen erklärte, es habe daraufhin eine interne Untersuchung eingeleitet, und diese Untersuchung habe keine glaubwürdigen Beweise für eine Sicherheitsverletzung gefunden, die entweder die eigenen Systeme oder die Kundenumgebungen betraf.

Das ist ein auffallend eng gefasstes Dementi. TCS behauptet nicht, dass überhaupt nichts passiert sei; es sagt, dass die eingegangenen Warnungen sich nicht in einem bestätigten unbefugten Zugriff auf seine Infrastruktur oder Kundendaten niedergeschlagen hätten. Für ein Unternehmen von der Größe von TCS mit Hunderttausenden von Mitarbeitern und Verträgen mit Kunden aus dem Banken-, Einzelhandels- und Regierungssektor weltweit ist diese Unterscheidung wichtig. Die Behauptungen über ein TCS-Datenleck drehen sich nach der eigenen Aussage des Unternehmens um mitarbeiterbezogene Informationen, nicht um Kundensysteme.

Wie sich Warnmeldungen von Bedrohungsinformationen von bestätigten Sicherheitsverletzungen unterscheiden

Es lohnt sich zu verstehen, was eine „Warnmeldung von Bedrohungsinformationen“ eigentlich ist, denn sie unterscheidet sich von der Offenlegung einer bestätigten Sicherheitsverletzung. Diese Warnungen stammen in der Regel von externen Sicherheitsfirmen, Darknet-Überwachungsdiensten oder Forschern, die Datenproben, Forenbeiträge oder Erpressungsforderungen entdecken, in denen ein Unternehmen namentlich genannt wird. Die Warnung selbst ist ein Signal dafür, dass etwas behauptet oder angeboten wird, nicht der Beweis, dass das Netzwerk eines Unternehmens tatsächlich kompromittiert wurde.

Unternehmen erhalten solche Warnungen regelmäßig und müssen sie einstufen: Sind die Daten echt, sind sie aktuell, lassen sie sich realen Mitarbeiterdatensätzen zuordnen und stammen sie aus den eigenen Systemen des Unternehmens oder von ganz woanders (einem Drittanbieter, einem alten, wieder aufgewärmten und umetikettierten Leck oder einer völlig unabhängigen Quelle)? Die Aussage von TCS, man habe „keine glaubwürdigen Beweise“ gefunden, deutet darauf hin, dass die Untersuchung zu dem Schluss kam, dass die angeblichen Daten entweder nicht plausibel, nicht aktuell oder nicht aus der eigenen Umgebung stammten. Dieses Fazit beruht jedoch auf der internen Überprüfung von TCS, und Außenstehende haben in der Regel keine unabhängige Möglichkeit, dies zu überprüfen, bis weitere Details auftauchen – falls sie das jemals tun.

Warum Erpressergruppen große IT-Dienstleister ins Visier nehmen

Große IT-Dienstleister sind gerade wegen ihrer Größe und ihres Netzes an Kundenbeziehungen attraktive Ziele. Ein einzelner Anbieter wie TCS sitzt an der Schnittstelle Dutzender großer Unternehmenssysteme, was jede Behauptung einer Kompromittierung – ob real oder übertrieben – zu einem wertvollen Druckmittel für Erpressergruppen macht. Selbst eine unbestätigte Behauptung kann Schlagzeilen machen, den Aktienkurs eines Unternehmens unter Druck setzen und bei Kunden Zweifel an der Sicherheit ihrer eigenen Datenleitungen säen.

Diese Dynamik ist nicht auf TCS beschränkt. Behauptungen über Datenlecks bei großen Organisationen folgen oft einem vertrauten Muster: Ein Bedrohungsakteur oder ein Darknet-Eintrag taucht auf, die Organisation untersucht den Vorfall, und die Öffentlichkeit bleibt zurück und wartet auf eine Aufklärung, die manchmal nie vollständig erfolgt. Indiens Defence Research and Development Organisation sah sich mit einer ähnlichen Situation konfrontiert, als Berichte auftauchten, dass sensible Daten zum Verkauf im Darknet angeboten würden – eine Behauptung, deren Überprüfung Zeit brauchte und die sich später ausweitete, als 31 GB angeblicher Verteidigungsdateien öffentlich gelistet wurden. Beide Fälle zeigen, dass Behauptungen und Bestätigungen sehr unterschiedliche Zeitpläne haben können und warum es echte Fragen offen lassen kann, wenn man sich ausschließlich auf die ursprüngliche Stellungnahme eines Unternehmens verlässt, ohne nachzufassen.

Was TCS-Mitarbeiter und Kundenunternehmen jetzt überprüfen sollten

Für aktuelle und ehemalige TCS-Mitarbeiter ist eine Unternehmensmeldung „keine glaubwürdigen Beweise für eine Sicherheitsverletzung“ beruhigend, ersetzt aber nicht die persönliche Wachsamkeit. Es ist sinnvoll zu prüfen, ob Ihre berufliche E-Mail-Adresse oder persönliche Identifikatoren in öffentlich indizierten Leck-Datenbanken auftauchen, auf ungewöhnliche Anmeldeversuche bei mit Ihrer Beschäftigung verbundenen Konten zu achten und wachsam gegenüber Phishing-Versuchen zu sein, die Ihren Arbeitgeber namentlich nennen, denn durchgesickerte oder behauptete Mitarbeiterdaten werden oft genutzt, um Betrugs-E-Mails überzeugender erscheinen zu lassen.

Kundenunternehmen, die IT-Dienstleistungen von TCS beziehen, sollten ihre Teams für das Lieferantenrisikomanagement um Einzelheiten bitten: Welche Daten wurden angeblich offengelegt, wie alt sind sie und welche Überwachung ist für die Zukunft vorgesehen. „Keine Beweise für eine Sicherheitsverletzung in Kundenumgebungen“ ist ein nützlicher Ausgangspunkt, aber Unternehmenskunden haben in der Regel vertraglich das Recht, mehr Details zu verlangen, und dieses Recht auszuüben ist angesichts der Menge operativer und finanzieller Daten, die über große IT-Anbieter fließen, angemessen.

Was das für Sie bedeutet

Ob Sie Mitarbeiter oder Kunde sind – der sicherste Ansatz zu den Behauptungen eines TCS-Datenlecks besteht darin, die Stellungnahme des Unternehmens als einen Datenpunkt zu behandeln, nicht als das letzte Wort. Warnmeldungen von Bedrohungsinformationen können falsch, veraltet oder auf recycelten Daten basierend sein, sie können aber auch Frühwarnungen für etwas Ernsthafteres sein, dessen vollständige Bestätigung Wochen dauert. Passiv auf weitere Updates zu warten ist keine Strategie; die eigene Gefährdung unabhängig zu überprüfen, schon.

Konkrete Handlungsschritte

  • Durchsuchen Sie Ihre beruflichen und privaten E-Mail-Adressen in seriösen Leck-Überwachungstools, um zu sehen, ob sie in bekannten Lecks auftauchen.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung für alle beruflich genutzten Konten, falls noch nicht geschehen.
  • Seien Sie besonders vorsichtig bei E-Mails oder Anrufen, die sich auf Ihren Arbeitgeber beziehen, insbesondere bei solchen, die Sie auffordern, Zugangsdaten zu bestätigen oder Links zu klicken.
  • Wenn Sie in einem Unternehmen arbeiten, das Verträge mit TCS hat, fragen Sie Ihr Sicherheits- oder Beschaffungsteam, welche konkreten Zusicherungen der Anbieter über die öffentliche Stellungnahme hinaus gegeben hat.
  • Behalten Sie die weitere Berichterstattung im Auge, denn erste „Keine Sicherheitsverletzung gefunden“-Aussagen großer Anbieter markieren nicht immer das Ende der Geschichte.