Die 6 häufigsten Ursachen für Datenlecks im Jahr 2023
Der Trend der weltweiten Datenschutzverletzungen ist steil und tendiert weiter nach oben. Laut dem jüngsten Untersuchungsbericht zu Datenschutzverletzungen von IBM und dem Ponemon Institute haben die Kosten für Datenschutzverletzungen im Jahr 2021 ein Rekordhoch erreicht. Im vergangenen Jahr beliefen sich die durchschnittlichen Kosten auf 3,83 Millionen US-Dollar, in diesem Jahr erreichten sie einen Höchststand von 4,24 Millionen US-Dollar.
Die Eindämmung dieser Ereignisse erfordert ein umfassendes Management der gesamten Angriffsfläche, einschließlich des Netzwerks von Drittanbietern und sogar Viertanbietern.
Während die zunehmende Cyberkriminalität Unternehmen dazu zwingt, ihre Cybersicherheitsprogramme zu verbessern, übersehen viele immer noch eine der Hauptursachen für Datenschutzverletzungen - Datenlecks.
Lesen Sie weiter, um mehr über die häufigsten Ursachen dieser kritischen Sicherheitsereignisse zu erfahren und zu erfahren, wie Sie Datenschutzverletzungen durch deren Behebung eindämmen können.
Was ist ein Datenleck?
Ein Datenleck ist eine übersehene Offenlegung sensibler Daten. Diese Gefährdungen können physisch - wie ein Post-it-Zettel mit Anmeldeinformationen - oder, was häufiger der Fall ist, elektronisch - durch Software-Schwachstellen erfolgen.
Wenn Cyberkriminelle Datenlecks entdecken, könnten sie die Informationen nutzen, um einen erfolgreichen Cyberangriff zu starten - insbesondere, wenn die offengelegten Daten personenbezogene Daten (PII) enthalten.
Was ist der Unterschied zwischen einem Datenleck und einer Datenschutzverletzung?
Datenlecks werden nicht von Cyberkriminellen initiiert. Sie fallen durch übersehene Schwachstellen und bleiben unwissentlich der Öffentlichkeit zugänglich. Diese Schwachstellen können jahrelang bestehen bleiben, bevor sie schließlich von Cyberkriminellen oder Sicherheitsteams entdeckt werden.
Datenschutzverletzungen hingegen werden ausschließlich von Cyberkriminellen verursacht. Sie sind die beabsichtigten Ziele geplanter Cyberangriffe.
Wenn sensible Daten entweder durch eine Datenschutzverletzung oder einen Ransomware-Angriff gestohlen und im Dark Web veröffentlicht werden, werden diese Ereignisse ebenfalls als Datenlecks eingestuft.
Erfahren Sie, wie Sie sich > gegen Ransomware-Angriffe verteidigen können
Obwohl sie unterschiedliche Ursachen haben, können sowohl Datenlecks als auch Datenschutzverletzungen zur Kompromittierung sensibler Daten führen. Datenlecks treten in der Regel vor Datenschutzverletzungen auf und liefern Cyberkriminellen die notwendige Munition, um Cyberangriffe viel schneller durchführen zu können.
Aber nicht alle Datenlecks entwickeln sich zu Datenschutzverletzungen. Einige Ereignisse könnten den Einsatz von Ransomware-Angriffen erleichtern (die als Datenschutzverletzungen eingestuft werden könnten).
Die 6 häufigsten Ursachen für Datenlecks im Jahr 2023
Da Datenlecks Datenschutzverletzungen ermöglichen, besteht eine enge Beziehung zwischen den Ursachen beider Ereignisse, sodass die folgende Liste die Ursprünge von Datenschutzverletzungen oder Datenlecks beschreiben könnte.
Um die Wirksamkeit der Bemühungen zur Verhinderung von Datenschutzverletzungen zu erhöhen, sollten Informationssicherheitsprogramme bei der Überwachung von Angriffsflächen die Erkennung von Datenlecks bevorzugen. Dadurch werden auf natürliche Weise die Sicherheitsprobleme aufgedeckt und behoben, die beide Cyberbedrohungen befeuern.
Das Management von Schwachstellen mit einer reinen Denkweise zur Verhinderung von Datenschutzverletzungen schränkt das Feld der Bedrohungserkennung ein und fördert die Vernachlässigung kritischer Datenlecks.
Die folgenden Ereignisse sind einige der Hauptursachen für Datenlecks im Jahr 2021.
1. Falsch konfigurierte Softwareeinstellungen
Falsch konfigurierte Softwareeinstellungen können vertrauliche Kundendatensätze offenlegen. Wenn die Leak-Software beliebt ist, könnten Millionen von Benutzern potenziellen Cyberangriffen ausgesetzt sein.
Dies war die Ursache für das Microsoft Power Apps-Datenleck im Jahr 2021.
UpGuard entdeckte das Datenleck erstmals am 24. Mai 2021. Standardmäßig wurde eine kritische Einstellung für den Zugriff auf Benutzerdaten auf "Aus" gesetzt, wodurch mindestens 38 Millionen Datensätze verfügbar gemacht wurden, darunter:
- Informationen über Mitarbeiter
- Daten zur COVID-19-Impfung
- COVID-19-Daten zur Kontaktnachverfolgung
Indem sie Microsoft rechtzeitig über die Offenlegung informierten, leiteten die Forscher von UpGuard eine schnelle Abhilfemaßnahme ein, bevor die Datenlecks von Cyberkriminellen entdeckt wurden. Wäre dies nicht geschehen, hätten Millionen von Nutzern und Unternehmen Opfer eines großflächigen Cyberangriffs werden können.
Diese monumentale Entdeckung zeigt das katastrophale Potenzial von übersehenen Datenlecks.
Laut dem Verizon-Bericht über Datenschutzverletzungen aus dem Jahr 2020 sind Fehlkonfigurationen von Software, wie sie beispielsweise die Offenlegung von Microsoft Power Apps und die Facebook-Sicherheitsverletzung im Jahr 2021 verursacht haben, auf dem Vormarsch.
Erfahren Sie, wie Sie Fehlalarme durch Datenlecks reduzieren können.
2. Sozialtechnik
>Datenlecks werden selten von Cyberkriminellen initiiert, aber wenn doch, ist es in der Regel das Ergebnis taktischer Tricks durch Social Engineering.
Social Engineering ist der Einsatz von psychologischer Manipulation, um sensible Referenzen von Opfern zu garnieren. Phishing ist die häufigste Art von Social-Engineering-Angriffen, die entweder verbal oder elektronisch erfolgen.
Ein Beispiel für einen verbalen Phishing-Betrug ist ein Bedrohungsakteur, der einen Mitarbeiter anruft, während er sich als IT-Techniker ausgibt. Der Bedrohungsakteur könnte Anmeldeinformationen unter dem Vorwand anfordern, den Zugriff als Reaktion auf ein kritisches internes Problem zu verstärken.
In Verbindung mit Provokationen, die ein Gefühl der Dringlichkeit des Unternehmens widerspiegeln, wird die Aufführung für ein ungebildetes Opfer sehr glaubwürdig erscheinen
Experian erlitt eine Datenschutzverletzung, von der 800.000 Unternehmen durch einen verbalen Social-Engineering-Angriff betroffen waren. Ein Cyberkrimineller, der sich als einer der Kunden von Experian ausgab, forderte Dienstleistungen von dem Unternehmen an, was schließlich zur Freigabe sensibler Kundendaten führte.
Nachdem personenbezogene Daten weitergegeben wurden, könnten Hacker das Datenleck nutzen, um einen IT-Perimeter zu durchbrechen und die Anfangsphase einer Cyberangriffssequenz abzuschließen.
Da ahnungslose Mitarbeiter so leicht ausgetrickst werden können, stellt jede Art von Daten, die die Liste potenzieller Opfer erweitern könnten, eine erhebliche Bedrohung für die Datensicherheit dar. Dazu gehören auch scheinbar harmlose Informationen wie Telefonnummern und Sozialversicherungsnummern.
Elektronische Phishing-Angriffe sind immer beliebter, da sie eine größere Liste von Opfern viel schneller erreichen können. Die beliebteste Form des Social Engineering ist das E-Mail-Phishing.
Phishing-E-Mails geben sich als legitime Kommunikation aus zuverlässigen Quellen aus, aber ihr Inhalt enthält infizierte Links. Wenn ein Benutzer auf einen Phishing-E-Mail-Link klickt, kann er entweder die heimliche Installation von Malware initiieren oder eine Dummy-Webseite laden, die zum Datendiebstahl entwickelt wurde.
Phishing-E-Mails werden immer ausgefeilter und schwerer zu erkennen, insbesondere wenn sie die Ängste der Empfänger ausnutzen.
Ein plötzlicher Anstieg solcher unmoralischen Praktiken überschattete die COVID-19-Pandemie. Phishing-E-Mails mit gefälschten Sicherheitsinformationen wurden an die Opfer gesendet, von denen einige sogar behaupteten, von Regierungsbehörden und beliebten Gesundheitseinrichtungen zu stammen.
Das glaubwürdige Design dieser E-Mails, gepaart mit der reduzierten Skepsis, die durch hoffnungsvolle Sehnsüchte geschürt wurde, führte zu einer sehr hohen Anzahl von Datenschutzverletzungen.
3. Recycelte Passwörter
In vielen Fällen führt ein einziges kompromittiertes Passwort zur Kompromittierung mehrerer digitaler Lösungen, da Benutzer dazu neigen, bei allen ihren Anmeldungen dasselbe Passwort zu verwenden.
Diese schlechte Sicherheitspraxis führt zu einem kritischen Datenleck, da gestohlene Kundendaten in der Regel über Dark-Web-Foren verkauft werden.
Sie können überprüfen, ob Ihre E-Mails, Passwörter oder Telefonnummern bei früheren Datenschutzverletzungen kompromittiert wurden, indem Sie Have I Been Pwned besuchen.
Wenn du ein iPhone-Benutzer bist, kannst du mit der Funktion "Sicherheitsempfehlungen" von iOS 14 überprüfen, ob du Passwörter wiederverwendest, damit du sie sofort ändern kannst.
Selbst ein Teil der Passwortinformationen wird als Datenleck eingestuft, da der verbleibende Teil durch Brute-Force-Methoden aufgedeckt werden könnte.
Bei einem Brute-Force-Angriff werden mit Automatisierungstools mehrere Kombinationen aus Benutzername und Passwort versucht, bis eine Übereinstimmung erreicht ist.
Teilweise Passwortinformationen verringern die Anzahl der erforderlichen Versuche und helfen Cyberkriminellen, viel schneller erfolgreich zu sein.
4. Physischer Diebstahl sensibler Geräte
Unternehmensgeräte enthalten vertrauliche Informationen, und wenn diese Geräte in die falschen Hände geraten, können sie genutzt werden, um Sicherheitsverletzungen oder Identitätsdiebstahl zu erleichtern, was zu Datenschutzverletzungen führt.
Zum Beispiel könnte ein Cyberkrimineller den IT-Administrator von einem gestohlenen Laptop aus kontaktieren und behaupten, dass er seine Anmeldeinformationen vergessen hat. Mit der richtigen Überzeugungstaktik wird der IT-Administrator diese Informationen preisgeben und dem Cyberkriminellen helfen, sich aus der Ferne in das private Netzwerk des Unternehmens einzuloggen.
In einem solchen Szenario ist der kompromittierte Laptop der Angriffsvektor, der Datenlecks aufdeckt, die den kompromittierten Mitarbeiter mit dem IT-Administrator des Unternehmens verbinden.
5. Software-Schwachstellen
Software-Schwachstellen, wie z. B. Zero-Day-Exploits, schaffen bequeme Wege zu sensiblen Ressourcen. Dadurch wird die Anfangsphase des Lebenszyklus von Cyberangriffen umgangen und Kriminelle in die Phase der Privilegienausweitung eines Angriffslebenszyklus geleitet - die einzige verbleibende Phase vor einer Datenschutzverletzung.
Einmal ausgenutzt, können diese Schwachstellen zu einer Reihe von Sicherheitsvorfällen führen, darunter unbefugter Zugriff, Malware-Angriffe, Kompromittierung von Social-Media-Konten und sogar Kreditkartendiebstahl (siehe Equifax-Datenschutzverletzung).
6. Verwendung von Standardpasswörtern
Viele der werkseitig üblichen Anmeldedaten, die mit neuen Geräten geliefert werden, sind öffentlich bekannt, sogar Cyberkriminellen. Aus diesem Grund werden unveränderte Werksstandard-Anmeldeinformationen als Datenlecks eingestuft.
IoT-Geräte (Internet of Things) sind von solchen Gefährdungen am stärksten betroffen. Beim Kauf werden diese Geräte mit Standard-Anmeldekombinationen geliefert, um eine schnelle Einrichtung zu unterstützen.
Zu den gängigen Kombinationen aus Benutzername und Passwort gehören "admin" oder "12345".
Die Anweisungen des Herstellers enthalten in der Regel eine fette Warnung, diese Anmeldeinformationen vor der Verwendung zu ändern, aber leider werden sie selten befolgt - eine schlechte Angewohnheit sowohl von kleinen als auch von großen Unternehmen.
Da IoT-Geräte in der Regel miteinander vernetzt sind, könnten diese Datenlecks einen groß angelegten DDoS-Angriff begünstigen.
Genau das ist 2016 passiert. Einer der größten jemals dokumentierten DDoS-Angriffe wurde gegen den Cybersicherheitsblog Kerbs on Security gestartet.
Das Botnet, das den Angriff ausführte, bestand aus 380.000 IoT-Geräten, die nahtlos über ihre Standardpasswörter gehackt wurden.
Wie verhindere ich Datenlecks?
Um Datenlecks zu verhindern, müssen Cybersicherheitsprogramme eine Datenschutzstrategie enthalten. Dies unterstützt nicht nur die Einhaltung gesetzlicher Standards wie der DSGVO, sondern passt auch die Incident-Response-Pläne an, um eine Strategie zur Behebung von Datenlecks einzubeziehen.
Die folgenden Best Practices könnten Datenlecks und die dadurch ermöglichten Datenschutzverletzungen minimieren.
1. Vereinfachen Sie Zugriffsberechtigungen
Dies sollte nicht mit dem Verzicht auf Privileged Access Management verwechselt werden. Das Privileged Access Management ist für die Cybersicherheit von entscheidender Bedeutung, da der Workflow, der die Zugriffsebenen jedes Benutzers verwaltet, vereinfacht werden muss.
Komplexe Workflows für Zugriffsberechtigungen erschweren die Nachverfolgung der Zugriffsebene jedes Benutzers, so dass es sehr einfach ist, einem Benutzer versehentlich einen tieferen Zugriff zu gewähren, als er benötigt.
Überwachen Sie die Zugriffsebenen jedes Benutzers, um sicherzustellen, dass nur diejenigen, die dies unbedingt benötigen, Zugriff auf vertrauliche Ressourcen haben.
Nachdem dies abgeschlossen ist, führen Sie Ihren Benutzerzugriffsworkflow durch einen sehr feinen Filter, um unnötige Komplexitäten zu beseitigen.
2. Mitarbeiter schulen
Eine Strategie zur Verhinderung von Datenlecks sollte sich in erster Linie auf die größte Sicherheitsbedrohung für ein Unternehmen konzentrieren - menschliches Versagen.
Um zu verhindern, dass die Mitarbeiter auf gängige Social-Engineering-Taktiken hereinfallen, sollten sie darin geschult werden, wie sie genau erkennen können, wann ein Angriff stattfindet.
Die beste Form der Ausbildung ist Erfahrung. Richten Sie ein Schulungsprogramm ein, bei dem Mitarbeiter routinemäßig mit kontrollierten Social-Engineering-Angriffen konfrontiert werden, die von Ihrem Sicherheitsteam durchgeführt werden.
Das "Nichtbestehen" eines Tests schafft einen sehr wirkungsvollen und lehrreichen Moment, an den man sich noch viele Jahre erinnern wird.
3. Verwenden Sie die Multi-Faktor-Authentifizierung
Sollte ein Mitarbeiter nach der Schulung immer noch auf cyberkriminelle Tricks hereinfallen, könnte eine Kompromittierung mit einer Multi-Faktor-Authentifizierung immer noch vermieden werden.
Die Multi-Faktor-Authentifizierung stellt eine zusätzliche Hürde dar, die dazu führen könnte, dass Mitarbeiter ihr Handeln während eines Social-Engineering-Angriffs überdenken.
Dies könnte ausreichen, um eine manipulierte Denkweise zurückzusetzen und die Mitarbeiter zu ermutigen, sich von internen Sicherheitsteams überprüfen zu lassen.
3. Verschlüsseln Sie alle Daten
Wenn Daten versehentlich durchgesickert sind, könnten sie für Cyberkriminelle wenig nützen, wenn sie effektiv verschlüsselt werden.
Achten Sie darauf, die sichersten Formen der Verschlüsselung zu verwenden, z. B. AES-Verschlüsselung und PGP-Verschlüsselung.
4. Verwenden Sie einen Passwort-Manager
Standardpasswörter werden verwendet, da Unternehmen zu viele Passwörter haben, die sie sich merken müssen. Ein Passwort-Manager speichert alle Passwörter bequem auf einer einzigen Plattform. Außerdem werden bei jedem neuen Login hochkomplexe Passwortvorschläge erstellt, wodurch die Verwendung von recycelten Passwörtern vermieden wird.
5. Implementieren Sie eine Lösung zur Erkennung von Datenlecks
Jede der oben genannten Strategien fördert Best Practices, die Datenoffenlegungen vermeiden könnten, aber sie erkennen nicht die komplexen Datenlecks, die dennoch durch fortschrittliche Sicherheitslücken fallen könnten.
Um eine Strategie zur Verhinderung von Datenlecks zu entwickeln, sollten Best Practices von einer Lösung zur Erkennung von Datenlecks begleitet werden.
Lösungen zur Erkennung von Datenlecks scannen sowohl die Oberfläche als auch das Dark Web, um Datenlecks in cyberkriminellen Interaktionen zu entdecken. Diese Lösungen können entweder vollständig automatisiert oder von Cybersicherheitsanalysten unterstützt werden.
Der Nachteil einer vollautomatischen Lösung für Datenlecks besteht darin, dass es sich bei diesen Entdeckungen in vielen Fällen um Fehlalarme handelt, die ignoriert werden können. Das Hinzufügen einer internen Strategie zur Filterung von Datenlecks wird die ohnehin begrenzte Bandbreite der Sicherheitsteams nur überfordern und sie von kritischen Sicherheitsaufgaben ablenken, die sofortige Aufmerksamkeit erfordern.
Um dies zu vermeiden, sollte eine Datenleck-Lösung von Cybersicherheitsanalysten unterstützt werden, die Datenlecks im Namen des Opfers manuell auswerten und herausfiltern.
UpGuard bietet einen verwalteten Service zur Erkennung von Datenlecks, bei dem alle entdeckten internen und externen Lecks von Cybersicherheitsexperten analysiert werden, um Fehlalarme zu entfernen, bevor sie als Sicherheitsbedrohungen eingestuft werden.
Sehen Sie sich das Video unten an, um einen Überblick über die Funktionen von UpGuard zur Erkennung von Datenlecks zu erhalten.
Holen Sie sich eine kostenlose Testversion von UpGuard >
Weitere Anleitungen zur Erkennung und Vermeidung von Datenlecks finden Sie in den folgenden Ressourcen:
- Strategien zur Verhinderung von Datenlecks für 2023.
- So verhindern Sie Fehlalarme durch Datenlecks.
- Wie Hochschulen und Universitäten Datenlecks erkennen können.
- Wie Hochschulen und Universitäten Datenlecks verhindern können.
- Wie Finanzunternehmen Datenlecks verhindern können.