Was ist ein Datenleck oder eine Datenschutzverletzung?

Datenschutzverletzungen bei Unternehmen und Privatpersonen werden immer häufiger. Allein im Jahr 2020 gab es schätzungsweise mehr als 1.000 Datenschutzverletzungen in den Vereinigten Staaten. In Europa ist Deutschland der Spitzenreiter wenn es um Datenschutzverletzungen geht und es werden von Jahr zu Jahr mehr. Bestimmte Branchen wie das Gesundheitswesen, Finanzdienstleistungen und Behörden gelten als vorrangige Ziele für Angriffe auf die Cybersicherheit. Trotzdem ist kein Unternehmen vor Datenschutzverletzungen sicher, es sei denn, es trifft die richtigen Vorsichtsmaßnahmen.

Dieser Leitfaden zum Thema Datenschutzverletzungen macht deutlich, was Datenschutzverletzungen und Datenlecks sind, wie sie passieren und wie Sie Ihr Unternehmen davor schützen können.

Was ist eine Datenschutzverletzung?

Eine Datenschutzverletzung ist ein digitaler Vorfall, bei dem eine unbefugte dritte Partei entweder absichtlich oder unabsichtlich auf sensible Informationen zugreift. Geraten Daten in die falschen Hände, besteht für Privatpersonen wie für Unternehmen das Risiko, finanziell oder anderweitig geschädigt zu werden. Dritte, die unerlaubt in den Besitz von Daten gelangen, können sie für kriminelle Zwecke wie Erpressung und Finanzbetrug nutzen.

Das Heimtückische an einer Datenverletzung ist, dass der Eigentümer oft erst bemerkt, dass auf seine Daten zugegriffen oder sie gestohlen wurden, wenn es zu spät ist. Dann hat die dritte Partei die Daten bereits gestohlen und sie möglicherweise zu ihrem Vorteil genutzt.

Heute sind Datenschutzverletzungen häufig die größte Sicherheitsbedrohung für Unternehmen. Sie können das Image schädigen, zu Verlust von Kunden und geistigem Eigentum führen und bringen auch rechtliche Konsequenzen mit sich. Für Privatpersonen resultieren Datenschutzverletzungen häufig in finanziellen Problemen, etwa durch verminderte Kreditwürdigkeit oder abgezweigte Gelder.

Datenlecks vs. Datenschutzverletzungen

Datenschutzverletzungen, Datenlecks und Datenverlust sind drei Begriffe, die meist synonym verwendet werden. Mit Datenschutzverletzung meinen die meisten Menschen Diebstahl, Verlust oder unbefugten Zugriff auf sensible Daten. Eine Datenschutzverletzung kann die Integrität oder Vertraulichkeit von Daten beeinträchtigen.

Per Definition sind Datenschutzverletzungen absichtlich, strategisch und gut organisiert. Sie beinhalten oft umfangreiche Nachforschungen seitens des Angreifers, um die individuellen Schwachstellen eines bestimmten Ziels zu entdecken. 

Ein Datenleck oder eine Datenpanne hingegen bezieht sich in der Regel auf ein weit weniger gravierendes Ereignis, bei dem Informationen versehentlich oder aufgrund von Fahrlässigkeit des Eigentümers an Dritte weitergegeben werden. Bei einem Datenleck handelt es sich nicht um einen ausgeklügelten Angriff, sondern um die Ausnutzung einer bestehenden Sicherheitslücke oder eines falschen Handlings von Informationen. 

Doch unabhängig davon, ob ein Datenleck versehentlich oder absichtlich entstanden ist, ist das Ergebnis dasselbe: Sensible Informationen sind kompromittiert.

Häufig betroffene Informationen von Datenschutzverletzungen

Datenschutzverletzungen zielen häufig auf eine bestimmte Branche, ein bestimmtes Unternehmen oder eine bestimmte Person ab, die über entsprechende Informationen verfügen. Obwohl Datenschutzverletzungen ein finanzielles Motiv haben können, sind es nicht immer finanzbezogene Informationen, die gestohlen werden. Unternehmen und Privatpersonen verfügen über verschiedene Arten von sensiblen Informationen, die für Dritte von Nutzen wären. Die Art der Informationen, die bei einer Datenschutzverletzung durchsickern, hängt davon ab, wer das Ziel ist und was der Zweck des Angriffs ist. 

Im Folgenden sind vier Arten von Informationen aufgeführt, die bei einer Datenschutzverletzung oder einem Datenleck besonders gefährdet sind. 

1. Persönliche Gesundheitsinformationen

Nach dem Health Insurance Portability and Accountability Act (HIPAA) sind persönliche Gesundheitsinformationen (PHI) "Informationen, die von einem Gesundheitsdienstleister erstellt werden [und] sich auf die vergangene, gegenwärtige oder zukünftige körperliche oder geistige Gesundheit oder den Zustand einer Person beziehen".

PHI kann Folgendes umfassen:

• Diagnosen und Verordnungen
• Behandlungen, Verfahren und Operationen
• Krankengeschichte und genetische Informationen
• Informationen zum primären Gesundheitsdienstleister

2. Personenbezogene Informationen

Personenbezogene Daten (PII) sind sämtliche Daten, die es einem Dritten ermöglichen, Sie zu identifizieren, zu kontaktieren oder zu lokalisieren.

PII können umfassen:

• Vollständiger Name, Adresse, E-Mail und Telefonnummer
• Geburtsdatum und Geburtsort
• Sozialversicherungsnummer
• Reisepass, Führerschein und Kfz-Kennzeichen
• Nutzernamen, Passwörter und Codewörter

3. Finanzielle Informationen

Finanzielle Informationen sind sämtliche Daten, die das Geldsystem oder den finanziellen Status einer Person oder eines Unternehmens betreffen, einschließlich Kredit- und Bankinformationen, IRS-Daten und anderer Konten mit finanziellem Bezug.

Finanzielle Informationen können umfassen:

• Informationen zur Kreditkarte
   
• Zahlen zum Bankwesen
• Rechnungen und Abrechnungen
• Steuerformulare
• Jahresabschlüss

4. Geistiges Eigentum

Geistiges Eigentum sind immaterielle Vermögenswerte, die durch kreative intellektuelle Leistungen einer Person, einer Firma oder eines Unternehmens entstanden sind. Geistiges Eigentum wird genutzt, um etwas Wertvolles zu entwickeln, zu gestalten und zu erschaffen.

Geistiges Eigentum kann beinhalten:

• Patente, Marken, Symbole und Namen
• Pläne und Entwürfe
• Geschäftsgeheimnisse
• Kunden- und Lieferantenlisten
• Verträge, Lizenzen und Vereinbarungen 
• Geschäftssysteme und -prozesse

Wie kommt es zu einer Datenschutzverletzung?

Das Durchsickern gesicherter Daten kann je nach Art des Vorfalls auf verschiedene Weise erfolgen. Generell können Datenlecks entweder absichtlich oder unabsichtlich auftreten, und sie können von innen oder von außen kommen.

Im Folgenden zeigen wir drei Ansätze für Datenschutzverletzungen auf, die genutzt werden, um an kompromittierte Informationen zu kommen. 

1. Insiderlecks

Ein besonders heimtückische Datenleck ist das Insiderleck, denn es bedeutet, dass Personen, die über Insiderinformationen verfügen, z. B. Mitarbeiter, Kunden oder Lieferanten, wissentlich und willentlich private Daten stehlen. Zu Insidermotiven zählen: Unternehmensinformationen gewinnbringend auf dem Schwarzmarkt zu verkaufen, ein eigenes Unternehmen zu gründen oder ein eigenes Produkt zu entwickeln.

Ein gefährliches Insiderleck kann durch den absichtlichen Missbrauch von Berechtigungen und Privilegien oder durch einen Mitarbeiter passieren, der sein Insiderwissens benutzt, um Informationen abzurufen, zu denen er sonst keinen Zugang hätte. 

Nicht alle Insiderlecks geschehen böswillig. Ein Mitarbeiter kann die Daten eines Kollegen versehentlich einsehen oder unbeabsichtigt Informationen an einen Außenstehenden weitergeben, indem er eine E-Mail oder einen Chat an den falschen Empfänger sendet. Selbst wenn diese durchgesickerten Informationen niemals verwendet werden, gelten sie dennoch als kompromittiert.

2. Innerer oder äußerer Verlust oder Diebstahl

Zu Datenschutzverletzungen kann es auch ohne den Einsatz von Technologie kommen. Daten können durch physischen Diebstahl entwendet und kompromittiert werden. Beispielsweise, wenn Mitarbeiter, Kunden oder Lieferanten Geräte, Papiere oder Gegenstände, die Daten enthalten, absichtlich mitnehmen. Das Gleiche gilt auch für Privatpersonen, wenn ihr Mobiltelefon, Laptop oder Notebook gestohlen oder ihre Bankkonten am Geldautomaten geplündert werden. 

Bei Datenlecks gehen physische Informationen oft unbeabsichtigt verloren, weil Mitarbeiter oder Privatpersonen keinen Überblick über ihre Geräte oder Notebooks haben. Das führt jedoch nicht zwangsläufig dazu, dass diese kompromittierten Daten auch verwendet werden.

3. Externe Kriminelle

Die letzte Kategorie von Datenlecks ist der vorsätzliche taktische Angriff durch externe Kriminelle. Im Allgemeinen gibt es drei kriminelle Ansätze, um von außen an sichere Daten zu gelangen. Jeder einzelne unterscheidet sich in seinem Grat der Heimtücke: Phishing, Malware und Brute-Force-Angriffe.

Phishing

Beim Phishing nutzen Betrüger Social Engineering, um eine scheinbar harmlose Situation zu erfinden, die eine reale menschliche Interaktion imitiert. Die Angreifer geben sich als Personen aus, denen Sie vertrauen, um Sie zur Herausgabe vertraulicher Informationen zu bewegen. Phishing erfolgt häufig per E-Mail.

Malware

Bei Malware-Angriffen nutzen Kriminelle Sicherheitslücken Ihres Systems aus, um Programme in Ihr System einzuschleusen, Ihr Verhalten auszuspionieren und Ihre Daten abzurufen. Malware ist ein invasiver, heimtückischer Ansatz, um in Daten einzudringen, der vom Opfer fast immer unentdeckt bleibt.

Brute-Force-Angriffe

Bei Brute-Force-Angriffen nutzen Hacker Tools, um Ihre Passwörter zu finden. Die Angreifer könnten eine Kombination aus Malware und eigener Software verwenden, um Ihr Gerät zu kapern und Sie auszusperren, während sie Ihre Passwörter erraten. Je nach der Stärke Ihrer Passwörter können diese Attacken wenige Sekunden dauern.

Der Zyklus von Datenschutzverletzungen

Datenschutzverletzungen sind von Natur aus zyklisch. Sobald eine Sicherheitsverletzung initiiert wurde, ist es nur eine Frage der Zeit, bis sie entdeckt wird. Indem das Angriffsziel erkennt, welche Arten von Daten während der Datenverletzung oder des Datenlecks kompromittiert wurden, kann es sich für die Zukunft besser schützen. 

Hier sind die fünf Zyklusphasen einer Datenschutzverletzung. 

1. Schwachstellen werden ermittelt

Eine Datenschutzverletzung beginnt, wenn ein Angreifer oder eine unbefugte Person eine Schwachstelle entdeckt, über die sie an Informationen gelangen kann. Je nach Art der Datenschutzverletzung könnte der Angreifer entweder sein Ziel gründlich auskundschaften oder eine unerwartete Gelegenheit nutzen. 

Wenn der Datenschutzverstoß in böswilliger Absicht erfolgt, sucht der Angreifer in der Regel nach dem besten Zugang zum System. Bei besonders ausgeklügelten Plänen sammelt der Angreifer detaillierte Informationen über sein Angriffsziel, einschließlich der Funktionen von Mitarbeitern oder Managern im Unternehmen, deren Postings in sozialen Medien und andere öffentlich verfügbare Informationen. 

2. Strategie wird entwickelt

Basierend auf den Informationen, die ein Angreifer erhalten möchte, entwickelt er eine umfassende Strategie. Sie kann spezielle Phishing E-Mails oder Nachrichten und die Einrichtung von Betrugsseiten beinhalten, die die Website des Unternehmens imitieren. Oft werden Tools wie Malware oder Spyware verwendet, um das System der Zielperson zu infizieren. 

Hacker sind dafür bekannt, dass sie sich im Deep- und Dark-Web treffen, um Strategien auszutauschen und Angriffsziele zu identifizieren. Die beste Möglichkeit Attacken zu erkennen bevor Sie Ihnen zum Opfer fallen ist es, immer auf dem aktuellen Stand gängiger Strategien und Ansätze krimineller Hacker zu bleiben.

3. Datenschutzverletzung erfolgt

Mit einem detaillierten Profil und einem ausgeklügelten System versucht der Angreifer in das Zielsystem einzudringen. Ist der Angriff erfolgreich, hat er Zugriff auf die gewünschten Informationen. Je nachdem, auf welche Daten es der Angreifer abgesehen hat, muss er vielleicht sehr tief in das System eindringen und Störungen verursachen um Zeit zu gewinnen. In dieser Zyklusphase verwenden Kriminelle häufig Command-and-Control-Tools, um langfristig die Kontrolle über das System zu erlangen.

Tools für Datenschutzverletzungen werden immer raffinierter. Viele kriminelle Gruppen setzen inzwischen auf Programme, die den Sicherheitsanalysten während des Einbruchs vorgaukeln, dass alles in bester Ordnung ist. 

4. Informationen werden gestohlen und verkauft

Bei kriminellen Datenschutzverletzungen haben Angreifer in der Regel das Ziel Daten entweder auf dem Schwarzmarkt zu Geld zu machen oder das System des Opfers zu zerstören. Manchmal ist auch beides der Fall.

Sobald die Angreifer im Besitz der Informationen sind, könnten sie diese Daten im Dark Web anbieten. Hier tummeln sich Kriminelle, die auf der Suche nach urheberrechtlich geschützten, geheimen oder finanziellen Daten sind. Paste-Sites sind Webseiten, auf denen kriminelle Hacker gestohlene Daten veröffentlichen und sie öffentlich zugänglich machen. Alternativ könnte sich ein Hacker auch direkt an das Opfer wenden und Lösegeld für die kompromittierten verlangen. Diese Attacken können politisch motiviert sein.

5. Datenschutzverletzung wird entdeckt

Irgendwann wird das Opfer den Sicherheitsverstoß entdecken. Laut dem IBM-Bericht "2020 Cost of a Data Breach Report" dauerte es im Durchschnitt 280 Tage, bis ein Unternehmen eine Sicherheitsverletzung entdeckte und unter Kontrolle hatte. Je länger eine Datenschutzverletzung unentdeckt bleibt, desto mehr Schaden können die Angreifer anrichten.

Wurde eine Datenschutzverletzung entdeckt, gilt es zuerst sämtliche Informationen über die Angriffsquelle, die Art und Dauer des Angriffs und die kompromittierten Daten zu sammeln. In der folgenden Post-Breach-Phase entscheidet das geschädigte Unternehmen, welche neuen Sicherheitsmaßnahmen eingeführt werden und wie es Ihren Kunden oder anderen Betroffenen helfen kann. Die Schnelligkeit und Effizienz der Reaktion eines Unternehmens auf eine Sicherheitsverletzung kann über seine Reputation entscheiden.

Vermeidung von Datenlecks

Datenlecks können verhindert werden, wenn Unternehmen und Privatpersonen sich die Zeit nehmen, bekannte Schutzmaßnahmen gegen Datenlecks sorgfältig umzusetzen. 

Nachfolgend finden Sie einige bewährte Maßnahmen, um Datenverluste zu vermeiden.

Verwenden Sie unterschiedliche und sichere Passwörter

Laut einer Umfrage von Google und Harris Poll unter Internetnutzern aus dem Jahr 2019 verwenden 52 % der Befragten dasselbe Passwort für mehrere Konten. Die Mehrfachverwendung von Passwörtern macht es Hackern leicht, soviel Schaden wie möglich anzurichten. Denn wenn sie ein Passwort erraten haben, können sie diesen Code oder Variationen davon verwenden, um Zugang zu mehreren Systemen zu erhalten.

Nutzer sollten immer unterschiedliche und starke Passwörter für ihre verschiedenen Konten verwenden. Je länger das Passwort, desto sicherer ist es. Starke Passwörter enthalten sowohl Groß- und Kleinbuchstaben als auch eine Kombination aus Zahlen und Symbolen. Da die meisten Angst davor haben, Passwörter zu vergessen, könnte es ein Passwortmanager einfacher machen, komplizierte Kombination für Passwörter zu nutzen. 

Verwenden Sie eine Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung (2FA) ist ein Anmeldeprotokoll, das Netzwerke zum Schutz der Privatsphäre der Nutzer verwenden. Da Cyberattacken immer häufiger werden, ist die 2FA für Unternehmen und Organisationen eine wichtige Sicherheitsmaßnahme zum Schutz vor Datenlecks. Bei einer Zwei-Faktor-Authentifizierung verlangen Netzwerke von Ihren Nutzern das Passwort – als ersten Faktor – und eine zusätzliche Verifizierung, wenn sie sich anmelden. 

Die zweite Verifizierung bestätigt, dass die Person, die auf das Konto zugreift, tatsächlich ist, wer sie behauptet zu sein. Der Benutzer muss auf eine Verifizierungsaufforderung antworten. In der Regel ist das eine geheime Frage, die beantwortet werden muss oder ein per E-Mail oder Text gesendeter Code zur Bestätigung der Identität. Die Zwei-Faktor-Authentifizierung ist ein zusätzlicher Sicherheitslevel, der Datenlecks verhindert.

Führen Sie Schwachstellenanalysen durch

Unternehmen, die auf Benutzerdaten zugreifen und diese speichern, müssen alles tun, um Kundendaten zu schützen. Dazu gehört auch die laufende Bewertung ihrer Sicherheitssysteme. Sicherheitsanalysten suchen nach Schwachstellen in ihren Systemen und ermitteln anhand von Auswertungen den besten Ansatz zur Schließung dieser Lücken.

Auch Privatpersonen können eine Schwachstellenanalyse ihrer persönlichen Daten durchführen. Es gibt viele Ressourcen zur Bewertung der digitalen Datenschutz- und Sicherheitseinstellungen. Normalerweise werden Maßnahmen zur Verbesserung der Datensicherheit - inklusive regelmäßiger Sicherheitsupdates, Passwortänderungen und andere Schutzmaßnahmen empfohlen. Kreditberichte sollten routinemäßig gecheckt und Konten auf verdächtige Aktivitäten überprüft werden. 

Bieten Sie Aus- und Weiterbildung an

Für Unternehmen ist eine der besten proaktiven Maßnahmen, um Datenlecks zu verhindern, ihre Mitarbeiter in Sachen Datensicherheit zu schulen. Die Sensibilisierung jedes Einzelnen für gängige oder mögliche Phishing-Betrügereien kann ihnen helfen, „Socially Engineered“-Angriffe zu erkennen. 

Wichtig ist die Erstellung hausinterner Protokolle für den richtigen Umgang mit verdächtigen Aktivitäten, in denen auch festgelegt wird, wem sie zu melden sind und was sie beim Verdacht einer Bedrohung mit dem entsprechenden Gerät machen sollen. Fortlaufende Schulungen können Unternehmen dabei unterstützen, den neuesten Hacker-Angriffsstrategien und Tools zur Infiltrierung der Systeme ihrer Opfer einen Schritt voraus zu sein.

Verwenden Sie sichere und verschlüsselte Softwareprogramme und Tools

Sowohl Unternehmen als auch Privatpersonen nutzen immer mehr SaaS-Programme, Apps und andere Konten, die passwortgeschützte Anmeldungen erfordern. Einem Bericht zufolge verwendet das durchschnittliche Kleinunternehmen 102 verschiedene SaaS-Anwendungen, während Großunternehmen im Durchschnitt 288 einsetzen.

Unternehmen, die sensible Informationen über ihre Mitarbeiter, Kunden, Lieferanten oder andere private Daten speichern, brauchen hochsichere Softwareprogramme und -tools. Durch den Einsatz verschlüsselter SaaS-Programme zeigen sie, dass sie proaktiv gegen Datenschutzverletzungen vorgehen. Unternehmen, die mit Software von Drittanbietern arbeiten, die ein hohes Maß an Datenverschlüsselung und Sicherheit bieten, können sich darauf verlassen, alle einschlägigen Branchen- und Regierungsvorschriften einzuhalten.

Was Sie tun, wenn Ihre Daten von einer Datenschutzverletzung betroffen sind?

Hat ein Unternehmen oder eine Privatperson eine Datenschutzverletzung entdeckt, muss als Erstes herausgefunden werden, welche Art von Informationen gestohlen wurden. Dann müssen die betroffenen Institutionen und Personen benachrichtigt werden.

Folgende Schritte können Unternehmen dabei helfen, sich schnell von einer Datenschutzverletzung zu erholen:

• Mitarbeiter und Kunden darum bitten ihre Passwörter zu ändern und zu verstärken 
   
• Patching und Aktualisierung von Software, wenn eine neue Version verfügbar ist
• Geräte upgraden, wenn ein Hersteller die erforderliche Software nicht mehr unterstützt
• Mitarbeiter verpflichten, geschäftliche Geräte nur in einem gesicherten Netzwerk zu benutzen
• Einen gründlichen Audit zur Cybersicherheit durchführen

Privatpersonen können folgenden Vorsichtsmaßnahmen helfen, die Auswirkungen eines Datenlecks einzugrenzen und es in Zukunft zu vermeiden:

• Kontoverläufe überprüfen und verdächtige Aktivitäten dem Dienstanbieter und der örtlichen Polizei melden
• Eine monatliche Kreditauskunft anfordern, um vor einem möglichen Identitätsdiebstahl gewarnt zu werden
• Passwörter aktualisieren und verstärken 
• Für jedes Online-Konto ein anderes Passwort verwenden
• Anmeldeinformationen in einem sicheren Passwortmanager speichern 

Unternehmen sind gesetzlich verpflichtet, der Polizei Verstöße gegen personenbezogene Daten zu melden. Privatpersonen können das ebenfalls tun und einen Identitätsdiebstahl zur Anzeige bringen. Damit leisten sie einen wertvollen Beitrag zur Ergreifung von Datendieben und helfen, neue Fälle zu verhindern.

Wie Box dabei hilft Datenlecks zu verhindern

Box ist das Cloud Content Management-Programm mit höchstem Anspruch an den Schutz von Daten. Nutzen Sie hervorragende Produktivitäts- und Workflow-Funktionen, ohne Kompromisse bei der Sicherheit einzugehen zu müssen und verhindern Sie Datenlecks mit Box. 

Box stellt Sicherheitsfeatures bereit, die Ihre Daten vor Datenlecks und Datenverletzungen schützen. Einige Box-Tools, um Datenlecks zu verhindern, sind:

• Dateiverschlüsselung durch integrierte Kontrollen, die eine starke Benutzerauthentifizierung gewährleisten
• Sicherheitsprotokolle, die Sie bei der Erfüllung von Compliance- und Governance-Kriterien unterstützen
• Intelligente Technologie zur Bedrohungserkennung mithilfe von Machine Learning
• Umfassende Transparenz mit Audit-Protokollen und Admin-Reporting-Tools

Erfahren Sie, wie Ihnen die erweiterten Sicherheitsfunktionen von Box dabei helfen, Datenverluste zu vermeiden.

Erfahren Sie mehr über das Angebot von Box

Integrierte Sicherheits- und Compliance-Funktionen sind nur ein Aspekt des Box-Leistungsangebotes. Die Content Cloud ist unsere zentrale Plattform für den gesamten Lebenszyklus Ihrer Inhalte. Es unterstützt Sie Ihre Workflows zu optimieren, die Zusammenarbeit zu verbessern und Ihren Content zu schützen. Mit mehr als 1.500 App-Integrationen ermöglicht Box Ihnen immer und überall auf Ihre Inhalte zuzugreifen und verhilft Ihrem Team zu höherer Produktivität und effizienteren Abläufe.

Finden Sie heraus, warum mehr als 100.000 Unternehmen bei der Verwaltung ihrer Inhalte und Daten auf Box vertrauen. Entdecken Sie alles, was Box zu bieten hat. Wenn Sie mehr über Datenschutz erfahren möchten, kontaktieren Sie uns noch heute.

Auch wenn wir uns nach wie vor dafür einsetzen, Produkte und Dienstleistungen anzubieten, die sich durch erstklassigen Datenschutz, Sicherheit und Compliance auszeichnen, stellen die in diesem Blogpost enthaltenen Informationen keine Rechtsberatung dar. Wir empfehlen potenziellen und aktuellen Kunden dringend, ihre eigene Sorgfaltspflicht bei der Beurteilung der Einhaltung geltender Gesetze zu erfüllen.