Folge 8 von 13 · Anatomie eines Hacks
Die BBC wurde nicht gehackt. Ihr Lohnabrechner wurde gehackt.
Betroffen sein, ohne selbst angegriffen worden zu sein.
Juni 2023. Eine Angriffswelle trifft weltweit tausende Organisationen gleichzeitig – über ein Werkzeug, das die meisten Betroffenen selbst nie eingesetzt haben.
- Die Angreifer finden eine unbekannte Lücke in einer weit verbreiteten Software für sicheren Dateiaustausch. Sie suchen sich kein Opfer aus – sie greifen automatisiert ab, was über das Internet erreichbar ist.
- Sie verschlüsseln nichts. Sie kopieren nur. Es fehlt hinterher keine einzige Datei – und genau deshalb fällt es viel später auf als eine Erpressung.
- Unter den Betroffenen ist ein britischer Dienstleister für Lohnabrechnung. Bei ihm liegen die Gehaltsdaten der Belegschaften seiner Kunden.
- Damit sind auf einen Schlag Personaldaten bei BBC, British Airways, Boots und weiteren betroffen. Unternehmen, die diese Software nie installiert hatten und selbst gar nicht angegriffen wurden.
Die Folgen
- mehr als 2.500 Organisationen weltweit betroffen
- Personaldaten von vielen Millionen Menschen
- viele erfuhren erst Wochen später überhaupt, dass es sie betrifft
- Sammelklagen und Verfahren laufen bis heute
Warum ich diese Geschichte teile
Weil die meisten Sicherheitskonzepte am eigenen Firmennetz aufhören. Ihre Daten tun das nicht. Drei Punkte:
- Machen Sie die Liste. Wer außerhalb Ihres Hauses verarbeitet Ihre Daten? Lohnbuchhaltung, Steuerberater, Versicherungsmakler, Cloud-Dienste, Bewerberportal. Die wenigsten haben sie je erstellt – obwohl die DSGVO sie ohnehin verlangt.
- Rufen Sie einmal an. Eine Frage an jeden Dienstleister: Was passiert, wenn es bei Ihnen passiert – und wie schnell erfahre ich davon? Die Antwort sagt mehr als jedes Zertifikat auf der Website.
- Klären Sie vorher, wer informiert. Fließen Personaldaten ab, müssen Ihre Mitarbeiter es erfahren – und die DSGVO-Frist läuft ab dem Moment, in dem Sie davon wissen. Nicht ab dem, in dem Sie sich sortiert haben.
Die gute Nachricht: Diese Liste ist an einem Nachmittag gemacht und auch ohne Angriff etwas wert. Bei einem Penetrationstest schauen wir nicht nur auf Ihr Netz, sondern auch darauf, welche Daten es verlassen – und wohin.
Ehrliche Frage: Könnten Sie aus dem Stand sagen, bei wie vielen Stellen außerhalb Ihres Hauses Personaldaten Ihrer Mitarbeiter liegen?
Quelle: öffentlich dokumentiert (Angriffswelle über eine Dateitransfer-Software, Juni 2023, bekannt als MOVEit-Vorfall; u. a. Mitteilungen der Betroffenen, BBC, heise online).