8 häufige Datenschutzverletzungsarten – reale Beispiele & Auswirkungen

Eine Datenschutzverletzung (Data Breach) ist ein Sicherheitsvorfall, bei dem private/vertrauliche Informationen von einer unbefugten Person eingesehen, kopiert, übertragen oder genutzt werden. Dies kann personenbezogene Daten, Gesundheitsdaten, Finanzinformationen, geistiges Eigentum oder Geschäftsgeheimnisse von Unternehmen betreffen.

Datenschutzverletzungen sind weit mehr als ein vorübergehender Schrecken: Sie können Unternehmen und Verbraucher auf vielfältige Weise schädigen, und die dadurch verursachten Kosten können Reputationen ruinieren und lange zur Reparatur brauchen.

Verletzungen, die Hunderte Millionen oder gar Milliarden Nutzer betreffen, sind mittlerweile common. 2016 bestätigte der Internetdienstleister Yahoo!, dass alle 3 Milliarden Nutzer betroffen waren – die größte Datenschutzverletzung der Geschichte. Geleakt wurden konkrete Nutzerdaten: Namen, Handynummern, E-Mail-Adressen, Geburtsdaten und gehashte Passwörter.

2018 waren der NYC-basierte Videomessaging-Dienst Dubsmash und die Fitness-App MyFitnessPal unter 16 kompromittierten Plattformen, bei denen über 600 Millionen Kundenkonten geleakt und im Darknet zum Verkauf angeboten wurden.

Hunderte ähnlicher Vorfälle ereigneten sich im vergangenen Jahrzehnt. Laut einer Studie des Ponemon Institute kostet eine Datenschutzverletzung ein Unternehmen durchschnittlich 3,86 Millionen US-Dollar.

Angesichts steigender Risiken und Kosten investieren Unternehmen und Regierungen massiv in den Schutz ihrer Kundendaten.

Die meisten Datenschutzverletzungen betreffen verwundbare, unstrukturierte Dokumente, Dateien und sensible Informationen. In diesem Überblicksartikel erklären wir die acht häufigsten Arten von Datenschutzverletzungen und wie sie entstehen.

8. Distributed Denial of Service (DDoS)

Ein 1,3 Tbit/s DDoS-Angriff legte GitHub 2018 für 20 Minuten lahm

Ein böswilliger Versuch, Host-Dienste zu stören

DDoS-Angriffe zielen darauf ab, Websites und Onlinedienste mit mehr Traffic zu überfluten, als Server oder Netzwerk bewältigen können. Sie werden manchmal genutzt, um Cybersicherheitsoperationen abzulenken, während andere Betrugsaktivitäten – wie Netzwerkinfiltration oder Datendiebstahl – im Gange sind.

Diese Angriffe werden mit einer Vielzahl internetfähiger Geräte durchgeführt, die mit Malware infiziert sind. Angreifer steuern diese Einzelgeräte (Bots) remote.

Ein Bot-Cluster nennt man Botnet. Ist es etabliert, kann der Angreifer es nutzen, um einen bestimmten Server oder ein Netzwerk anzugreifen. Jeder Bot sendet Requests an bestimmte IP-Adressen, wodurch die Website oder der Dienst unbrauchbar wird.

Der erste DDoS-Angriff geschah 1996, als einer der ältesten ISPs (Panix) mittels SYN Flood für mehrere Tage lahmgelegt wurde – eine Methode, die zum klassischen DDoS-Angriff wurde. Im nächsten Jahrzehnt wurden solche Angriffe common.

Ein 1-Gbit/s-Angriff reicht, um die meisten Organisationen vom Internet zu trennen. Laut Cisco wird die Gesamtzahl der DDoS-Angriffe bis 2023 15 Millionen erreichen – von 7,9 Millionen 2018.

Beispiel: Im Februar 2020 wurde Amazon Web Services von einem extremen DDoS-Angriff getroffen, der unbekannte Kunden via Connectionless Lightweight Directory Access Protocol (CLDAP) Reflection angriff. Der Angriff erreichte 2,3 Tbit/s Spitze und dauerte 3 Tage.

7. Brute-Force-Angriff

Brute-Force-Angriff auf 5-Bit-Schlüssel

Passwort-Raten via Trial-and-Error

Ein Brute-Force-Angriff besteht darin, Anmeldedaten einzureichen in der Hoffnung, eventualmente richtig zu raten. Angreifer probieren alle möglichen Passwortkombinationen, bis das korrekte gefunden wird.

Diese Angriffsart macht fast 5 % aller Datenschutzverletzungen aus. Angreifer müssen Passwörter nicht manuell eingeben. Stattdessen erstellen sie einen Algorithmus oder nutzen verfügbare Software, um automatisch verschiedene Benutzername-Passwort-Kombinationen durchzulaufen, bis die richtige gefunden ist.

Brute-Force-Hacking-Tools generieren Tonnen von Passwörtern pro Sekunde. Kombiniert mit starker CPU und GPU könnten diese automatisierten Tools einen starken Verschlüsselungsschlüssel in wenigen Tagen knacken.

Da längere Passcodes mehr Variablen haben, sind sie exponentiell schwerer zu knacken als kurze. Heute nutzen die meisten symmetrischen Algorithmen 128- oder 256-Bit-Schlüssel, die per Brute Force nicht knackbar sind.

Konkret: Der schnellste Supercomputer (100 PetaFLOPS) bräuchte 3,67×10⁵⁵ Jahre, um einen 256-Bit-AES-Schlüssel auszuprobieren.

Beispiel: 2018 konnte Firefoxs Master-Passwort-System per Brute Force leicht umgangen werden. Millionen Nutzerpasswörter waren Malware und Hackern schutzlos ausgeliefert. Ein Jahr später veröffentlichte Firefox ein Update, das diese Sicherheitslücke schloss.

6. Ransomware

CryptLocker fordert Lösegeld

Malware, die Geräte infiziert und Nutzer zur Lösegeldzahlung erpresst

Ransomware verhindert, dass Nutzer auf ihre persönlichen Dateien zugreifen, und fordert ein Lösegeld für den Wiederzugriff. Infektion erfolgt auf verschiedene Wege – der häufigste: bösartiger Spam per E-Mail mit täuschenden Links oder Anhängen.

Konventionelle Ransomware sperrt das Gerät so, dass ein versierter Nutzer es umkehren kann. Fortgeschrittene Malware verschlüsselt die Nutzerdateien, macht sie unbrauchbar und fordert Gebühr für Entschlüsselung. Angreifer verlangen Lösegeld meist in schwer nachverfolgbaren Digitalwährungen wie Bitcoin.

Die erste Ransomware „PC Cyborg“ entstand 1989. Sie verschlüsselte alle Dateien im C-Verzeichnis und forderte 189 $ (per Post) für Lizenzverlängerung. Im nächsten Jahrzehnt tauchten verschiedene Varianten auf.

Fortgeschrittene Ransomware kam erst 2004, als GpCode persönliche Daten mit schwacher RSA-Verschlüsselung verschlüsselte. Seither verbreiteten sich Betrugsmaschen weltweit, mit neuen Typen, die Nutzer weiterhin erfolgreich angreifen.

In den ersten sechs Monaten 2018 gab es über 181 Millionen Ransomware-Angriffe. 2019 stiegen neue Ransomware-Varianten um 46 %, mit 68.000 neuen mobilen Ransomware-Trojanern.

Beispiel: Das bekannteste Ransomware-Beispiel ist CryptoLocker (Sept. 2013 – Mai 2014). Ein verschlüsselnder Trojaner, der Windows-Geräte angriff. Die Betreiber erpressten erfolgreich knapp 3 Millionen US-Dollar.

5. Phishing

Ein unrechtmäßiger Versuch, sensible Informationen zu erlangen

Phishing ist eine Technik, um persönliche Informationen – Passwörter, Kreditkartendaten – via betrügerischer Websites und E-Mails zu erlangen. Auch über Instant Messaging und SMS, wo ein Angreifer als vertrauenswürdige Entität auftritt und das Opfer zur Preisgabe persönlicher Details verleitet.

Phishing kann auch Malware ausliefern, indem Nutzer aufgefordert werden, einen Link zu klicken oder ein Dokument herunterzuladen, das heimlich ein bösartiges Skript installiert. In größerem Maßstab wird es genutzt, um Fuß in private Organisationen oder Regierungsnetze zu fassen.

Beispiel: Bei einem Advanced Persistent Threat werden Mitarbeiterdaten kompromittiert, um Sicherheitsparameter zu umgehen, bösartige Programme in einer geschlossenen Umgebung zu verbreiten oder auf private Daten zuzugreifen. Solche Angriffe können lange unentdeckt bleiben.

Laut Verizons Data Breach Investigation Report betrafen 22 % der Verletzungen 2019 Phishing. Etwa 88 % der Organisationen weltweit erlebten Spear-Phishing-Versuche. 65 % der US-Organisationen erlitten 2019 einen erfolgreichen Phishing-Angriff – fast 10 % mehr als der weltweite Durchschnitt.

Beispiel: Einer der folgenreichsten Phishing-Angriffe geschah 2016, als Angreifer das Gmail-Konto von Hillary Clintons Kampagnenchef John Podesta hackten. Stunden nach den US-Wahlergebnissen sendeten russische Hacker Phishing-E-Mails (von gefälschten Harvard-Uni-Adressen), um Fake News zu verbreiten.

4. Wurm (Worm)

Blaster-Wurm zeigt eine Nachricht

Ein eigenständiges, sich selbst replizierendes Malware

Ein Computerwurm verbreitet Kopien sich selbst von Gerät zu Gerät. Er repliziert sich ohne Nutzerinteraktion und heftet sich an ein Softwareprogramm an, um Schaden anzurichten.

Während die meisten Würmer über Anhänge in Spam-E-Mails oder Instant Messages in Geräte gelangen, können sie auch via Software-Schwachstellen übertragen werden. Einmal geöffnet oder installiert, arbeiten sie im Hintergrund still und infizieren Systemdateien.

Würmer können bösartige Skripte injizieren und bestehende Dateien modifizieren/löschen. Manche sind darauf ausgelegt, Systemressourcen – Speicherplatz oder Bandbreite – zu erschöpfen, indem sie sich selbst kopieren und ein geteiltes Netzwerk überlasten.

Würmer können auch Lücken im Betriebssystem, in Anwendungssicherheit oder Netzwerkkonfigurationsfehler ausnutzen, um sich auf vollständig zugängliche Disks zu kopieren und diese Kopien über öffentliche Netze zu verbreiten.

Beispiel: Der erste Computerwurm mit realer Wirkung wurde 1988 von Robert Morris entwickelt. Nach seinem Entwickler benannt, verursachte der Morris Worm Denial of Service für ca. 10 % der 60.000 an ARPANET angeschlossenen Maschinen. 2003 startete der Blaster-Wurm DDoS-Angriffe gegen Microsofts eigene Server und infizierte bis zu 2 Milliarden Geräte.

3. Keylogger

Protokolliert Tastenanschläge auf einer Tastatur ohne Wissen des Nutzers

Keystroke-Logging-Tools sind eine der ältesten Malware-Formen, zurückreichend bis zu Schreibmaschinen. Sie werden noch immer als Teil größerer Cyberangriffe genutzt. Grundlegend: Ein Keylogger protokolliert Tastatureingaben am Computer.

Obwohl es simple Software ist, können Angreifer sie als potentes Werkzeug nutzen, um Nutzerdaten und sensible Informationen zu stehlen, die über Tastatur eingegeben werden. Das gibt Angreifern Zugriff auf E-Mail-IDs, Passwörter, Kontonummern, PIN-Codes und andere vertrauliche Infos.

Hardware-basierte Keylogger können inline zwischen Tastatur und Computer gesteckt oder via BIOS-Firmware installiert werden. Software-basierte Keylogger können durch Webseitenskripte oder Anhangsdateien aus Phishing-Mails installiert werden – automatisch beim Besuch schädlicher Seiten oder Öffnen verdächtiger Anhänge.

Beispiel: 2000 nutzte das FBI einen Keylogger, um zwei russische Cyberkriminelle zu fassen. Der Keylogger wurde verdeckt auf einem Rechner installiert, das FBI nutzte ihn, um auf die Computer der Verdächtigen in Russland zuzugreifen. Das FBI erhielt genug Beweise für eine Anklage. 2018 entfernte Google 145 Apps aus dem Play Store, die Keylogging-Malware enthielten.

2. Menschliches Versagen

Mitarbeiter machen gelegentlich Fehler, die zu schweren Datenschutzverletzungen führen

Menschen sind oft das schwächste Glied in der Datenschutzverteidigung. Beispiel: IT-Teams legen versehentlich Kundendaten offen, indem sie Server fehlerhaft konfigurieren, oder Mitarbeiter leiten Firmenberichte per Massen-E-Mail an Außenstehende weiter.

Laut einer Studie des UK Information Commissioner's Office (ICO) verursachten menschliche Fehler 90 % der Cyber-Datenschutzverletzungen 2019.

CybSafe, eine Cloud-basierte Cybersicherheits-Awareness-Plattform, meldete, dass 9 von 10 der 2.376 an das ICO 2019 gemeldeten Verletzungen durch Endnutzerfehler verursacht wurden – 61 % und 87 % Anstieg gegenüber den beiden Vorjahren.

Beispiel: 2017 lief das SSL-Zertifikat, das LinkedIn für seine Ländersubdomains nutzte, ab. Während www.linkedin.com unbeeinflusst blieb, wurden us.linkedin.com und einige andere Subdomains ungültig. Millionen Nutzer konnten LinkedIn stundenlang nicht nutzen.

Weiterlesen: Was ist eine Firewall? Definition | Typen | Funktionsprinzip

1. Unsachgemäße Entsorgung oder unverantwortlicher Weiterverkauf

Viele Organisationen vernichten veraltete Hardware nicht ordnungsgemäß

Organisationen – speziell kleine – beachten Datensicherheit oft nicht beim Hardware- und Infrastruktur-Upgrade. Das Ende des Hardware-Lebenszyklus ist ein entscheidender Aspekt verantwortungsvollen Speichermanagements.

Nicht alle Datenschutzverletzungen entstehen durch Hacking. Einige resultieren aus unsachgemäßer Entsorgung und unverantwortlichem Weiterverkauf. Um vertrauliche Daten zu schützen, müssen Unternehmen Daten dekommissionieren oder Hardware physisch zerstören.

Das National Institute for Standards and Technology (NIST) veröffentlichte Richtlinien für ordnungsgemäße Mediensanitisierung und Datenentsorgung. Sie empfehlen, dass softwarebasierte Methoden wie Purge-Level-Sanitisierung Daten nicht vollständig aus allen Speicherbereichen des Mediums entfernen können.

Beispiel: 2017 wurden Desktops eines Regierungsbüros in Houston online versteigert. Nach Untersuchung stellte sich heraus, dass 23 von 38 Computern Festplatten voller privater Informationen hatten.

Weiterlesen: 13 verschiedene Computerviren-Typen

Im selben Jahr entdeckte eine ShopRite-Apotheke in New Jersey ein elektronisches Gerät, das ohne vorheriges Löschen des Speichers entsorgt worden war. Es enthielt persönliche Daten von 10.000 Patienten – Namen, Geburtsdaten, Unterschriften, Telefonnummern, medizinische Verschreibungen.