Eine riesige Datenbank, die völlig offen stand

Ein Cybersicherheitsforscher hat eine ungesicherte Online-Datenbank entdeckt, die mit dem Tribeca Festival in Verbindung steht und mehr als 666.000 Datensätze enthält. Unter den exponierten Daten befanden sich Kontaktinformationen einiger der bekanntesten Namen Hollywoods, darunter Jennifer Lawrence, Robert De Niro, Martin Scorsese und Angelina Jolie. Der Datenleck-Vorfall beim Tribeca Festival hat sich schnell zu einem der bemerkenswertesten Datenschutzvorfälle in der Unterhaltungsbranche in diesem Jahr entwickelt – nicht wegen der betroffenen Personen, sondern wegen der Leichtfertigkeit, mit der die Informationen zugänglich waren.

Die Datenbank wurde Berichten zufolge nicht im herkömmlichen Sinne gehackt. Sie wurde offenbar ohne grundlegende Sicherheitsvorkehrungen belassen, sodass jeder, der sie online fand, möglicherweise die darin enthaltenen Kontaktdaten einsehen konnte. Es ist wichtig, diesen Unterschied zu verstehen: Ein durch Fehlkonfiguration verursachtes Leck unterscheidet sich von einem Datenabfluss, der durch einen Angreifer verursacht wird, der Verteidigungsmechanismen überwindet, aber die Folgen für die Personen, deren Daten offengelegt werden, sind oft dieselben.

Warum Kontaktdaten von Prominenten ein echtes Datenschutzrisiko darstellen

Es ist verlockend, eine solche Geschichte als Boulevard-Futter zu betrachten, eine Liste berühmter Namen, die an eine Schlagzeile geheftet wird. Doch die Auswirkungen auf die Privatsphäre gehen weit über bloße Neugier hinaus. Kontaktinformationen, selbst etwas scheinbar Banales wie eine E-Mail-Adresse oder Telefonnummer, können der Ausgangspunkt für ernsthafteren Schaden sein. Einmal offengelegt, können diese Daten für gezielte Phishing-Versuche, Identitätsbetrug, Belästigung oder unerwünschte Werbeansprache genutzt werden. Bei Personen des öffentlichen Lebens können offengelegte Kontaktdaten auch Stalking-Risiken oder unerwünschte direkte Kontaktaufnahmen ermöglichen, die die normalerweise vorhandenen Schutzschichten aus Management und Vertretung umgehen, die die Kommunikation filtern.

Wie bereits in der Berichterstattung über den Vorfall festgestellt wurde, befanden sich Angelina Jolies Informationen unter den vertraulichen Daten, die von der Offenlegung betroffen waren, zusammen mit Details zu Jennifer Lawrence und Robert De Niro. Der Umfang der Datenbank mit über 666.000 Datensätzen deutet darauf hin, dass es sich nicht um einen kleinen Ausrutscher handelte, der nur eine Handvoll VIP-Kontakte betraf. Es weist auf ein breiteres systemisches Problem hin: große Mengen personenbezogener Daten, die für legitime Zwecke wie die Akkreditierung von Festivalteilnehmern, den Ticketverkauf oder die Pressearbeit gesammelt wurden, liegen in einer Datenbank ohne die Sicherheitsvorkehrungen, die eine derart sensible Datenerhebung begleiten sollten.

Wie es immer wieder zu ungesicherten Datenbanken kommt

Diese Art von Vorfall ist branchenübergreifend zu einem vertrauten Muster geworden. Organisationen sammeln Daten für einen bestimmten Anlass oder Zweck, speichern sie aus Bequemlichkeit in einer Cloud-Datenbank oder auf einem Server und versäumen es dann, Passwortschutz, Verschlüsselung oder Zugriffskontrollen einzurichten, bevor das System in Betrieb geht oder länger als beabsichtigt aktiv bleibt. Oft stößt ein Forscher, der nach offengelegten Systemen sucht, als Erster darauf – manchmal lange, nachdem die Datenbank bereits eine Zeit lang öffentlich erreichbar war, und nicht ein raffinierter Angreifer.

Für eine Veranstaltung wie das Tribeca Festival, das Registrierungsdaten, Presseakkreditierungen und Kontaktlisten für prominente Teilnehmer, Gäste und Branchenprofis verwaltet, kann die Menge der gesammelten personenbezogenen Daten erheblich sein. Wenn diese Daten nicht ordnungsgemäß gesichert werden, beschränkt sich die Offenlegung nicht auf Prominente. Branchenmitarbeiter, Pressekontakte und ganz normale Besucher, deren Daten Teil derselben Datenbank waren, sind ebenso betroffen, auch wenn ihre Namen niemals Schlagzeilen machen.

Was das für Sie bedeutet

Die wenigsten Leser sind Jennifer Lawrence oder Martin Scorsese, aber die grundlegende Lehre gilt für alle. Jedes Mal, wenn Sie Kontaktdaten angeben, um sich für eine Veranstaltung zu registrieren, eine Eintrittskarte zu kaufen oder einen Dienst zu abonnieren, liegt die Verantwortung für den Schutz dieser Daten bei jemand anderem – und Vorfälle wie dieser zeigen, dass dieser Verantwortung nicht immer nachgekommen wird. In der Regel können Sie nicht beeinflussen, wie ein Dritter Ihre Daten speichert, aber Sie können steuern, wie viel Sie preisgeben und wem.

Seien Sie wählerisch bei den persönlichen Angaben, die Sie bei der Anmeldung zu Veranstaltungen oder Diensten machen, und ziehen Sie in Betracht, eine separate E-Mail-Adresse für solche Anmeldungen zu verwenden, damit etwaige Spam- oder Phishing-Versuche von Ihren Hauptkonten isoliert bleiben. Falls Sie erfahren, dass Ihre Daten Teil einer offengelegten Datenbank waren, betrachten Sie unerwartete Anrufe, SMS oder E-Mails, die sich auf diese Veranstaltung beziehen, mit besonderer Vorsicht, da offengelegte Kontaktdaten häufig für Phishing-Kampagnen zweckentfremdet werden.

Handlungsempfehlungen

Das Datenleck beim Tribeca Festival erinnert uns daran, dass Prominenz keinen wirklichen Schutz bietet, wenn personenbezogene Daten missbräuchlich behandelt werden. Unabhängig davon, ob Sie ein großes Festival besucht oder sich lediglich für einen Newsletter angemeldet haben, lohnt es sich, regelmäßig zu überprüfen, welche Organisationen Ihre Kontaktdaten besitzen und warum. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Konten, die mit diesen Daten verknüpft sind, achten Sie auf Phishing-Versuche, die sich auf echte Veranstaltungen beziehen, an denen Sie teilgenommen haben, und gehen Sie nicht davon aus, dass eine namhafte Veranstaltung automatisch eine wasserdichte Datensicherheit bedeutet. Sich über Vorfälle wie diesen zu informieren, ist eine der einfachsten Möglichkeiten, den damit verbundenen Risiken einen Schritt voraus zu sein.