Folge 12 von 13 · Anatomie eines Hacks
Der Mitarbeiter war nicht mehr im Unternehmen. Sein Zugang schon.
Er lud Berichte herunter – wie an jedem anderen Arbeitstag.
Dezember 2021, ein US-Finanzdienstleister. Ein ehemaliger Mitarbeiter ruft interne Berichte ab. Er hatte das Unternehmen zu diesem Zeitpunkt bereits verlassen.
- Technisch war daran nichts auffällig. Es waren dieselben Berichte, die er zuvor beruflich abgerufen hatte, über denselben Weg, mit demselben Zugang.
- Die Berichte enthielten Namen, Depotnummern, Depotwerte und Bestände von Kundinnen und Kunden.
- Es gab keinen Einbruch, keine Schadsoftware, keine ausgenutzte Lücke. Nur einen Zugang, der die Beschäftigung überdauert hat.
- Öffentlich wurde der Vorfall erst im April 2022 – über eine Pflichtmitteilung an die Börsenaufsicht, mehr als vier Monate später.
Die Folgen
- 8,2 Millionen Kundinnen und Kunden mussten benachrichtigt werden
- über vier Monate zwischen Vorfall und Veröffentlichung
- Jahre später ein Vergleich über 15 Millionen US-Dollar
Warum ich diese Geschichte teile
Weil das der Fall ist, den ich in kleinen Unternehmen am häufigsten finde. Jemand geht – und der Zugang bleibt. Meist nicht aus Nachlässigkeit, sondern weil niemand eine vollständige Liste hat, was überhaupt abzuschalten wäre. Drei Punkte:
- Der Zugang endet am letzten Arbeitstag. Nicht „demnächst“. Und zwar alle: Firmennetz, Cloud-Dienste, VPN, Fernwartung, Sammelkonten, Diensthandy.
- Ohne Liste kein Offboarding. Sie können nur abschalten, wovon Sie wissen. Diese Liste einmal anzulegen ist die eigentliche Arbeit – sie danach zu pflegen, ist wenig.
- Und der unbequeme Teil: Würden Sie es überhaupt bemerken? Hier wurde keine Tür aufgebrochen. Es wurden Berichte heruntergeladen, ganz normal. Wer große Datenmengen exportiert, sollte auffallen.
Die gute Nachricht: Beides lässt sich prüfen. Bei einem Penetrationstest sehen wir uns an, welche Zugänge es tatsächlich gibt – auch die, die in keiner Übersicht stehen – und wie weit man mit einem davon käme.
Ehrliche Frage: Wenn heute jemand kündigt – wüssten Sie aus dem Stand, welche Zugänge Sie alle schließen müssten?
Quelle: öffentlich dokumentiert (Insider-Vorfall bei Cash App / Block, 2021/2022; u. a. die Pflichtmitteilung des Unternehmens an die US-Börsenaufsicht, BleepingComputer, heise online).