Was ist ein Datenleck? Hören Sie auf, Cyberkriminellen freien Zugang zu gewähren

Ein Datenleck liegt vor, wenn sensible Daten versehentlich physisch, im Internet oder in anderer Form, einschließlich verlorener Festplatten oder Laptops, offengelegt werden, sodass Cyberkriminelle ohne Aufwand unbefugten Zugriff auf die sensiblen Daten erhalten können. Wenn nach einem Cyberangriff sensible Daten im Dark Web veröffentlicht werden, werden diese Ereignisse ebenfalls als Datenlecks eingestuft, da sie dazu beitragen, Datenschutzverletzungen zu beschleunigen.

Die Begriffe Datenschutzverletzung und Datenleck werden oft synonym verwendet, aber das ist falsch, da es sich um zwei getrennte Kategorien von Datenkompromittierung handelt.

Eine Datenschutzverletzung liegt vor, wenn bei einem erfolgreichen Angriff auf sensible Daten zugegriffen und diese kompromittiert werden.
Ein Datenleck ist die Offenlegung sensibler Daten, die verwendet werden könnten, um zukünftige Datenschutzverletzungen zu beschleunigen. So werden beispielsweise gestohlene Daten, die in Ransomware-Blogs gepostet werden, als Datenlecks eingestuft, da sie mit weniger Aufwand zur Kompromittierung von IT-Netzwerken verwendet werden könnten. Schlechte Datensicherheitspraktiken, wie z. B. Fehlkonfigurationen von Software, verursachen ebenfalls Datenlecks.

Erfahren Sie mehr über die Unterschiede zwischen Datenlecks und Datenschutzverletzungen bei betweek >

Wenn ein Cyberkrimineller ein Datenleck erkennt, könnten die offengelegten Daten für die Planung eines erfolgreichen Cyberangriffs verwendet werden. Durch das Erkennen und Beheben von Datenlecks, bevor sie entdeckt werden, wird das Risiko von Datenschutzverletzungen erheblich reduziert.

Eine häufige Form von Datenlecks wird als Cloud-Leck bezeichnet. Ein Cloud-Leak liegt vor, wenn ein Cloud-Datenspeicherdienst wie S3 von Amazon Web Service die sensiblen Daten eines Benutzers dem Internet aussetzt. AWS sichert zwar standardmäßig S3-Buckets, aber wir glauben, dass die S3-Sicherheit fehlerhaft ist und die meisten Benutzer ihre S3-Berechtigungen überprüfen müssen.

S3 ist nicht der einzige Schuldige. Eine Azure-Dateifreigabe und ein falsch konfiguriertes GitHub-Repository können sich bei schlechter Konfiguration als unzureichender Datenschutz erweisen und zu unbeabsichtigten Datenlecks führen.

Das Schlimmste daran ist, dass es nach einer Datenoffenlegung extrem schwierig ist zu wissen, ob auf die Daten zugegriffen wurde. Das bedeutet, dass Ihre vertraulichen Daten, Geschäftsgeheimnisse, Quellcodes, Kundendaten, persönlichen Daten und alles andere, was in Informationssystemen gespeichert ist, offengelegt oder im Rahmen der Unternehmensspionage verwendet werden könnten.

Datenlecks werden durch einfache Fehler verursacht, aber diejenigen, deren Daten offengelegt werden, interessieren sich nicht dafür, wie die Daten offengelegt wurden, sondern nur dafür, dass sie offengelegt wurden. Die Anforderungen an die Benachrichtigung über Datenschutzverletzungen bei Datenlecks sind die gleichen, ebenso wie das Potenzial für Reputations-, Finanz-, Rechts- und Regulierungsschäden.

Cloud-Dienste bieten große Vorteile gegenüber On-Premise, bringen aber auch neue Risiken mit sich, die durch Datenlecks zu Sicherheitsverletzungen führen können.

Worauf achten Cyberkriminelle bei Datenlecks?

Das Wichtigste, wonach Cyberkriminelle suchen, sind persönlich identifizierbare Informationen (PII). Zu den personenbezogenen Daten gehören Sozialversicherungsnummern, Kreditkartennummern und andere persönliche Daten, die zu Identitätsdiebstahl führen könnten. Beachten Sie, dass nicht alle personenbezogenen Daten (PII) das sind, was Sie traditionell als vertrauliche Informationen betrachten würden. Auch einfache Daten wie ein Name oder der Mädchenname der Mutter sind Ziele.

Ein weiteres häufiges Ziel sind medizinische oder geschützte Gesundheitsinformationen (PHI), wie sie im US-amerikanischen HIPAA-Standard definiert sind, "Informationen, die von einem Gesundheitsdienstleister erstellt werden [und] sich auf die vergangene, gegenwärtige oder zukünftige körperliche oder geistige Gesundheit oder den Zustand einer Person beziehen".

Kundeninformationen

Diese Daten sind von Unternehmen zu Unternehmen unterschiedlich, aber es gibt in der Regel einige gemeinsame Faktoren:

Identitätsinformationen: Name, Adresse, Telefonnummer, E-Mail-Adresse, Benutzername, Passwort
Aktivitätsinformationen: Bestell- und Zahlungsverlauf, Surfgewohnheiten, Nutzungsdetails
Kreditkarteninformationen: Kartennummern, CVV-Codes, Ablaufdaten, Postleitzahlen der Rechnung

Informationen, die unternehmensspezifisch sind, können ebenfalls offengelegt werden. Dabei kann es sich um Finanzdaten für Banken und Investmentgruppen, medizinische Unterlagen für Krankenhäuser und Versicherer oder sensible Dokumente und Formulare für Regierungsbehörden handeln.

Unternehmensinformationen

Kundeninformationen sind nicht das Einzige. Unternehmensinformationen können durchgesickert sein, darunter:

Interne Kommunikation: Memos, E-Mails und Dokumente, in denen die Geschäftstätigkeit des Unternehmens detailliert beschrieben wird
Metriken: Leistungsstatistiken, Prognosen und andere gesammelte Daten über das Unternehmen
Strategie: Messaging-Details, Roadmaps, Rolodexe und andere wichtige Geschäftsinformationen

Die Offenlegung dieser Art von Informationen kann Unternehmensprojekte behindern, Wettbewerbern Einblicke in die Geschäftsabläufe geben und die interne Kultur und Persönlichkeit offenbaren. Je größer das Unternehmen, desto größer ist das Interesse an dieser Art von Daten.

Geschäftsgeheimnisse

Dies ist das Gefährlichste, was bei einem Datenleck aufgedeckt werden kann. Informationen, die für Ihr Unternehmen und seine Wettbewerbsfähigkeit von entscheidender Bedeutung sind. Zu den Geschäftsgeheimnissen gehören:

Pläne, Formeln, Entwürfe: Informationen über bestehende oder kommende Produkte und Dienstleistungen
Code und Software: Proprietäre Technologie, die das Unternehmen verkauft oder für den internen Gebrauch entwickelt hat
Kommerzielle Methoden: Marktstrategien und Kontakte

Die Offenlegung dieser Art von Daten kann die Produkte und Dienstleistungen, die Ihr Unternehmen anbietet, abwerten und jahrelange Forschung zunichte machen.

Analytik

Analysen stützen sich auf große Datensätze, die mehrere Informationsquellen enthalten, die Trends, Muster und Verläufe im Großen und Ganzen aufzeigen. So wichtig Analysen für viele Unternehmen auch sind, die Daten, die für die Durchführung der Analysen benötigt werden, können ein Angriffsvektor sein, wenn sie nicht richtig gesichert sind. Zu den Analysedaten gehören:

Psychografische Daten: Präferenzen, Persönlichkeitsmerkmale, Demografie, Nachrichten
Verhaltensdaten: Detaillierte Informationen darüber, wie jemand eine Website nutzt, zum Beispiel
Modellierte Daten: Vorhergesagte Attribute basierend auf anderen gesammelten Informationen

Analysen bieten Ihnen die Möglichkeit, Einzelpersonen als eine Reihe von Datenpunkten zu verstehen und ihre nächsten Aktionen mit einem hohen Maß an Genauigkeit vorherzusagen. Das mag abstrakt klingen, aber diese Art von Daten kann genutzt werden, um Wähler zu beeinflussen und das Blatt bei Wahlen zu wenden, indem man in großem Maßstab überzeugt. Schauen Sie sich Cambridge Analytica, Aggregate IQ und Facebook an, wenn Sie nicht glauben, dass diese Informationen den Ruf schädigen können.

Warum kommt es zu Datenlecks?

Um zu verstehen, warum es zu Datenlecks kommt, müssen wir einen Schritt zurücktreten und verstehen, wie Informationen generiert, manipuliert und verwendet werden. Heutzutage ist es fast schon eine ausgemachte Sache, dass riesige Mengen sensibler Daten existieren und Unternehmen sie nutzen.

Wenn wir uns mit der Informationssicherheit befassen, wird deutlich, dass es schwierig ist, einen resilienten Prozess in großem Maßstab zu organisieren. Betriebliche Lücken, Prozessfehler und mangelndes Bewusstsein für Cybersicherheit können zu verwundbaren Assets führen, die zu Datenlecks führen.

Die Vorteile und Risiken digitaler Daten sind die gleichen. Digitale Daten können kostengünstig und ohne Beeinträchtigung reproduziert werden. Unternehmen verfügen über viele Kopien von Produktionsdaten, die Kundendaten, Geschäftsgeheimnisse und andere vertrauliche Informationen enthalten. Tools zur Verhinderung von Datenverlust (Data Loss Prevention, DLP), Lagerhaltung, Disaster Recovery, Entwicklungs- und Testumgebungen, Analysedienste und die Laptops, die Ihre Mitarbeiter mit nach Hause nehmen, können Kopien Ihrer und der sensibelsten Daten Ihrer Kunden enthalten.

Der Punkt ist, dass viele Kopien von Daten existieren, und je mehr Kopien von Daten vorhanden sind, desto höher ist die Wahrscheinlichkeit, dass etwas oder jemand sie versehentlich offenlegen könnte.

Anwendungssicherheit und die Datenverwahrungskette

Wenn Sie Daten verarbeiten, fließen sie effektiv durch eine Kontrollkette. Es kann so einfach sein wie der Weg zu Ihrem Computer oder so komplex wie das Durchlaufen mehrerer Cloud-Dienste in mehreren Regionen.

Das Wichtigste ist, dass schlechte Anwendungssicherheits- und Cybersicherheitsmaßnahmen in jedem Teil der Kontrollkette zu einem Datenleck führen können. Aus diesem Grund sind das Risikomanagement von Drittanbietern und das Risikomanagement von Anbietern für jedes Unternehmen von grundlegender Bedeutung. Es sind nicht mehr nur Rüstungsunternehmen und Finanzdienstleister, die sich um die Datensicherheit kümmern müssen. Es sind alle.

Die Digitalisierung verändert die Wirtschaft grundlegend und die Auswirkungen betreffen kleine Unternehmen ebenso wie große multinationale Konzerne. Auch wenn Sie nicht im Geschäft mit Daten tätig sind, generieren Sie dennoch eine Menge davon. Selbst wenn Sie physische Güter wie Autos verkaufen oder eine Dienstleistung wie das Gesundheitswesen anbieten, besteht die Möglichkeit, dass Sie Daten irgendwo generieren, verarbeiten und sogar auslagern.

Und auch wenn Ihr Unternehmen über Sicherheitstools und Malware-Schutz verfügt, könnten Ihre Daten dennoch offengelegt werden, wenn die Drittanbieter, die Ihre Daten verarbeiten, dies nicht tun.

Wie können Datenlecks ausgenutzt werden?

Es gibt vier gängige Methoden, mit denen Datenlecks ausgenutzt werden:

1. Soziales Ingenieurwesen

Die effektivsten Social-Engineering-Operationen sind als Phishing-Angriffe bekannt. Dies ist der Fall, wenn ein Cyberkrimineller eine gezielte gefälschte E-Mail auf der Grundlage bekannter Informationen sendet, um sich besser als eine Autoritätsperson oder Führungskraft auszugeben. Informationen, die in Datenlecks offengelegt werden, insbesondere psychografische und verhaltensbezogene Daten, sind genau die Art von Daten, die benötigt werden, um Social-Engineering-Angriffe zu schärfen und Cyberkriminellen die Möglichkeit zu geben, Informationen gegen ein Ziel zu verwenden, das sie normalerweise nicht kennen würden.

2. Doxxing

Personenbezogene Daten (PII) können für mehr als nur Kreditkartenbetrug verwendet werden. Doxxing ist eine Praxis, bei der die Informationen einer Person gegen ihren Willen erworben und veröffentlicht werden. Doxxing wird aus einer Vielzahl von Gründen durchgeführt. In Fällen von politischem Extremismus, Rachefeldzug, Belästigung oder Stalking können offengelegte personenbezogene Daten Menschen echten Schaden zufügen.

3. Überwachung und Aufklärung

Psychografische Daten haben viele Verwendungszwecke. Sein eigentlicher Zweck ist es, Meinungen vorherzusagen und zu formen. Politische Kampagnen nutzen sie, um Stimmen zu gewinnen, und Unternehmen nutzen sie, um Kunden zu gewinnen.

4. Störung

Datenlecks können genutzt werden, um den Geschäftsbetrieb zu verlangsamen oder zu stoppen und sensible Informationen der Öffentlichkeit zugänglich zu machen. Informationen, die in einem Datenleck offengelegt werden, können drastische Folgen für Regierungen, Unternehmen und Einzelpersonen haben.

Warum sind Datenlecks wichtig?

Stellen Sie sich folgendes Szenario vor:

Ihr Marketingteam muss Ihre E-Mail-Liste von einem E-Mail-Dienstanbieter zu einem anderen verschieben und die Daten in einem ungenutzten S3-Bucket speichern, während es sich für das neue Tool entscheidet. Sobald das Tool festgelegt ist, werden die Kontakte in das neue Tool hochgeladen und alles ist gut. Außer dass das Marketingteam vergessen hat, den S3-Bucket zu löschen, und er zufällig für den vollständigen öffentlichen Zugriff konfiguriert ist.

Das mag wie menschliches Versagen erscheinen, und das ist es auch. Das Problem ist nicht, dass jemand einen Fehler gemacht hat, das Problem ist, dass nichts vorhanden war, um den Fehler von vornherein zu verhindern oder zumindest zu erkennen, dass er passiert ist, damit er sofort behoben werden kann.

Sie denken vielleicht, dass dies keine große Sache ist, es sind nur E-Mails, aber was wäre, wenn es Ihre Kundenliste oder schlimmer noch die personenbezogenen Daten (PII) Ihres Kunden wären? Auch E-Mail-Adressen sind eine große Sache und können zu einem unwiderlegbaren Reputationsschaden führen. Resilienz muss in die Verfahrensarbeit eingebaut werden, die Tag für Tag geleistet wird.

Das Wichtigste ist, dass Datenlecks wie Datenschutzverletzungen ausgenutzt werden können. Hier sind vier gängige Methoden, wie Datenlecks ausgenutzt werden:

Kreditkartenbetrug: Cyberkriminelle können durchgesickerte Kreditkarteninformationen ausnutzen, um Kreditkartenbetrug zu begehen.
Schwarzmarktverkäufe: Sobald die Daten offengelegt sind, können sie im Dark Web versteigert werden. Viele Cyberkriminelle sind darauf spezialisiert, ungesicherte Cloud-Instanzen und anfällige Datenbanken zu finden, die Kreditkartennummern, Sozialversicherungsnummern und andere personenbezogene Daten (PII) enthalten, um sie für Identitätsbetrug, Spam oder Phishing-Operationen weiterzuverkaufen. Es kann so einfach sein wie die Verwendung von Suchanfragen in Google.
Erpressung: Manchmal werden Informationen über den Kopf eines Unternehmens gehalten, um Lösegeld zu erpressen oder um Reputationsschäden zu verursachen.
Minderung von Wettbewerbsvorteilen: Wettbewerber können Datenlecks ausnutzen. Alles, von Ihren Kundenlisten bis hin zu Geschäftsgeheimnissen, geben Ihren Konkurrenten Zugriff auf Ihre Ressourcen und Ihre Strategie. Dies kann so einfach sein wie das, woran Ihr Marketingteam arbeitet, oder komplexe logistische Abläufe.

Wie können Datenlecks verhindert werden?

Die Art und Weise, wie mit Informationen umgegangen wird, unterscheidet sich von Branche zu Branche, von Unternehmen zu Unternehmen und sogar von Person zu Person. Es gibt allgemeine Richtlinien, die Sie befolgen müssen, wenn Sie in einer regulierten Branche wie PCI DSS, HIPAA oder FERPA tätig sind.

Letztendlich liegt es jedoch an Ihrem Unternehmen und seinen Arbeitgebern, die Präventions- und Schutzstandards im Alltag zu befolgen. Um es einfach auszudrücken: Die meisten Datenlecks sind betriebliche Probleme und keine traditionellen Cybersicherheitsprobleme. Datenlecks werden nicht von Cyberkriminellen verursacht, aber sie können von ihnen ausgenutzt werden.

Die drei gängigen Methoden zur Verhinderung von Datenschutzverletzungen sind wie folgt:

1. Überprüfen Sie Cloud-Speicherkonfigurationen

Mit der zunehmenden Verbreitung von Cloud-Speichern nimmt die Datenmenge, die in und aus Cloud-Speichern verschoben wird, exponentiell zu. Ohne einen ordnungsgemäßen Prozess können sensible Daten in einem ungesicherten Bucket offengelegt werden. Aus diesem Grund müssen Cloud-Speicherkonfigurationen bei der Bereitstellung und während der Zeit, in der sensible Daten gehostet werden, validiert werden. Kontinuierliche Validierungen minimieren das Cybersicherheitsrisiko, dass Daten offengelegt werden, und können Sie sogar proaktiv benachrichtigen, wenn ein öffentlicher Zugriff erfolgt.

2. Automatisieren Sie Prozesskontrollen

In einem ausreichend großen Maßstab wird es schwierig, die Validierung zu überwachen. Computer sind weitaus besser darin, die Einheitlichkeit zu wahren, als Menschen. Automatisierte Prozesskontrollen sollten als ausführbare Dokumentation dienen, die sicherstellt, dass der gesamte Cloud-Speicher sicher ist und sicher bleibt.

3. Überwachen Sie das Risiko von Drittanbietern

Ihre Anbieter können Ihre Informationen so einfach wie möglich offenlegen. Selbst wenn Sie die Daten Ihrer Kunden nicht offenlegen, werden Sie in den Augen Ihrer Kunden und oft auch Ihrer Aufsichtsbehörden für das Datenleck zur Rechenschaft gezogen. Daher ist die Bewertung von Third-Party-Risiken, Fourth-Party-Risiken und Cyber-Security-Risikobewertungen genauso wichtig wie das interne Cyber-Security- und Informationsrisikomanagement.

Erfahren Sie mehr darüber, wie Sie Datenlecks verhindern können.

Beispiele für Datenlecks

Drei Beispiele für Datenlecks, die massiven Schaden angerichtet haben:

Ungefähr 6,2 Millionen E-Mail-Adressen wurden vom Wahlkampfkomitee der Demokraten in einem falsch konfigurierten Amazon S3-Speicher-Bucket offengelegt. Die durch Kommas getrennte Liste von Adressen wurde 2010 von einem DSCC-Mitarbeiter in den Bucket hochgeladen. Sowohl der Eimer als auch der Dateiname beziehen sich auf "Clinton", was vermutlich mit einer von Hillary Clintons früheren Kandidaturen für das Amt des Senators von New York zu tun hat. Die Liste enthielt E-Mail-Adressen von großen E-Mail-Anbietern sowie von Universitäten, Regierungsbehörden und dem Militär.
Ein UpGuard-Forscher entdeckte drei öffentlich zugängliche Amazon S3-Buckets, die mit Attunity in Verbindung stehen. Einer davon enthielt eine große Sammlung interner Geschäftsdokumente. Die Gesamtgröße ist ungewiss, aber der Forscher lud eine Stichprobe von etwa einem Terabyte Größe herunter, darunter 750 Gigabyte komprimierte E-Mail-Backups. Backups der OneDrive-Konten der Mitarbeiter waren ebenfalls vorhanden und umfassten die breite Palette an Informationen, die die Mitarbeiter für ihre Arbeit benötigen: E-Mail-Korrespondenz, Systempasswörter, Kontaktinformationen für Vertrieb und Marketing, Projektspezifikationen und mehr.
Ein Cloud-Speicher-Repository mit Informationen von LocalBlox, einem Suchdienst für persönliche und geschäftliche Daten, wurde öffentlich zugänglich gemacht und enthüllte 48 Millionen Datensätze mit detaillierten persönlichen Informationen über Dutzende Millionen von Personen, die aus mehreren Quellen gesammelt und gescrapt wurden.

Erfahren Sie, wie Sie Fehlalarme durch Datenlecks verhindern können.

Sehen Sie sich das Video unten an, um einen Überblick über die Funktionen von UpGuard zur Erkennung von Datenlecks zu erhalten.

Weitere Anleitungen zur Erkennung und Vermeidung von Datenlecks finden Sie in den folgenden Ressourcen:

8 Strategien zur Verhinderung von Datenlecks für 2023.
Wie Tech-Unternehmen Datenlecks erkennen können
So verhindern Sie Fehlalarme durch Datenlecks.
Wie Hochschulen und Universitäten Datenlecks erkennen können.
Wie Hochschulen und Universitäten Datenlecks verhindern können.
Die häufigsten Ursachen für Datenlecks im Jahr 2023.