Was ist eine Datenschutzverletzung? Wie man es verhindert

Inhaltsverzeichnis Verbergen

Was ist eine Datenschutzverletzung?
Was wird bei Datenschutzverletzungen anvisiert?
Was verursacht Datenschutzverletzungen?
Die Folgen einer Datenschutzverletzung
Was Sie tun können, um zu verhindern, Opfer einer Datenschutzverletzung zu werden
So kommen Sie nach einer Datenpanne wieder auf Kurs
Beispiele für Datenschutzverletzungen

Sie haben kürzlich erfahren, dass Ihr Unternehmen von einer Datenschutzverletzung betroffen war. Sie fragen sich zweifellos, was als nächstes zu tun ist, wenn Hacker persönliche Daten von Ihrem Unternehmensserver gestohlen haben, ein Insider Kundendaten gestohlen hat oder Daten fälschlicherweise auf der Website Ihres Unternehmens offengelegt wurden.
Was sollten Sie tun und wen sollten Sie benachrichtigen, wenn persönliche Daten kompromittiert wurden? In diesem Artikel finden Sie Antworten auf diese Fragen sowie dazu, wie Sie eine Datenschutzverletzung verhindern können, die Folgen einer Datenschutzverletzung und einige bemerkenswerte Beispiele.

Was ist eine Datenschutzverletzung?

Eine Datenschutzverletzung ist ein Cyberangriff, bei dem auf sensible, vertrauliche oder anderweitig geschützte Daten unrechtmäßig zugegriffen oder diese offengelegt werden. Von kleinen Unternehmen bis hin zu großen Konzernen können Datenschutzverletzungen in Organisationen jeder Größe auftreten. Persönliche Gesundheitsinformationen (PHI), persönlich identifizierbare Informationen (PII), Geschäftsgeheimnisse und andere vertrauliche Informationen können enthalten sein.
Persönliche Informationen wie Kreditkartennummern, Sozialversicherungsnummern, Führerscheinnummern und Krankenakten sind häufig Angriffspunkte für Datenschutzverletzungen, ebenso wie Unternehmensinformationen wie Kundenlisten und Quellcodes.

Was wird bei Datenschutzverletzungen anvisiert?

Obwohl eine Datenschutzverletzung aufgrund eines unbeabsichtigten Fehlers auftreten kann, kann ein tatsächlicher Schaden entstehen, wenn die Person mit unbefugtem Zugriff personenbezogene Daten (PII) stiehlt und verkauft oder Business Intelligence Daten für finanziellen Gewinn oder um Schaden zuzufügen.
Böswillige Kriminelle folgen einem einfachen Muster: Das Angriffsziel eines Angriffs auf ein Unternehmen erfordert eine vorausschauende Planung. Sie führen Untersuchungen zu ihren Opfern durch, um Schwachstellen wie fehlende oder fehlgeschlagene Upgrades und die Anfälligkeit der Mitarbeiter für Phishing-Taktiken zu identifizieren.

Hacker identifizieren die Schwachstellen eines Ziels und entwickeln dann eine Kampagne, um Insider dazu zu bringen, Malware herunterzuladen. Manchmal zielen sie direkt auf das Netzwerk ab.

Einmal drinnen, haben gefährliche Hacker vollen Zugriff auf die Daten, nach denen sie suchen – und viel Zeit dafür, da die durchschnittliche Verletzung mehr als fünf Monate dauert, um sie zu identifizieren.
Böswillige Angreifer nutzen häufig die folgenden Schwachstellen aus:

#1. Schwache Anmeldeinformationen.

Die überwiegende Mehrheit der Datenschutzverletzungen ist das Ergebnis gestohlener oder kompromittierter Anmeldeinformationen. Wenn skrupellose Diebe an Ihren Benutzernamen und Ihr Passwort gelangen, haben sie Zugriff auf Ihr Netzwerk. Da die meisten Menschen ihre Passwörter wiederverwenden, können Cyberkriminelle Brute-Force-Angriffe einsetzen, um Zugriff auf E-Mails, Websites, Bankkonten und andere Quellen für personenbezogene Daten oder Finanzinformationen zu erhalten.

#2. Gestohlene Anmeldeinformationen.

Phishing-bezogene Sicherheitsverletzungen sind ein ernstes Problem, und wenn Cyberdiebe diese persönlichen Informationen erhalten, können sie damit auf Dinge wie Ihre Bank- und Internetkonten zugreifen.

#3. Kompromittierte Vermögenswerte

Malware-Angriffe verschiedener Art werden verwendet, um standardmäßige Authentifizierungsmaßnahmen zu umgehen, die normalerweise einen Computer schützen würden.

#4. Betrügerische Verwendung einer Kreditkarte.

Karten-Skimmer sind Geräte, die an Zapfsäulen oder Geldautomaten angeschlossen werden und Daten erfassen, wenn eine Karte geklaut wird.

#5. Zugriff von einem Dritten.

Trotz Ihrer Bemühungen, Ihr Netzwerk und Ihre Daten sicher zu halten, können skrupellose Hacker Drittanbieter ausnutzen, um Zugriff auf Ihr System zu erhalten.

#6. Mobiltelefone.

Wenn Mitarbeiter ihre eigenen Geräte (BYOD) zur Arbeit mitbringen dürfen, können unsichere Geräte leicht mit Malware beladene Programme herunterladen, die Hackern den Zugriff auf auf dem Gerät gespeicherte Daten ermöglichen. Dies enthält häufig geschäftliche E-Mails und Dateien sowie die persönlich identifizierbaren Informationen des Eigentümers.

Was verursacht Datenschutzverletzungen?

Es wird davon ausgegangen, dass eine Datenschutzverletzung das Ergebnis eines externen Hackers ist, obwohl dies nicht immer der Fall ist.
In einigen Fällen lassen sich die Ursachen von Datenschutzverletzungen auf vorsätzliche Angriffe zurückführen. Es kann aber auch an einem einfachen Fehler von Mitarbeitern oder an Schwachstellen in der Infrastruktur eines Unternehmens liegen.
Im heutigen Cyber-Ökosystem gehören zu den wahrscheinlichen Ursachen einer Datenschutzverletzung folgende:

#1. Unbeabsichtigtes Datenleck oder Offenlegung.

Konfigurationsfehler oder Fehleinschätzungen bei Daten können Angreifern Chancen bieten.

#2. Daten verschieben

Unverschlüsselte Daten können während der Übertragung innerhalb eines lokalen Unternehmensnetzwerks, über ein Weitverkehrsnetzwerk oder zu einer oder mehreren Clouds abgefangen werden. Organisationen können ihren Datenschutz stärken, indem sie einheitliche Cloud-Sicherheit und End-to-End-Datenverschlüsselung implementieren.

#3. Malware, Ransomware oder strukturierte Abfragesprache

Der Zugriff auf Systeme oder Anwendungen ermöglicht Malware und Malware-bezogene Verhaltensweisen wie SQL-Injection.

#4. Phishing.

Während Phishing häufig Malware einsetzt, um Daten zu stehlen, kann es auch verschiedene Methoden anwenden, um Informationen zu erhalten, die für den Zugriff auf Daten verwendet werden können.

#5. Verteilter Denial-of-Service (DDoS).

Bedrohungsakteure können einen DDoS-Angriff verwenden, um Sicherheitsadministratoren abzulenken, damit sie auf andere Weise Zugriff auf Daten erhalten. Darüber hinaus können Änderungen, die von der Organisation vorgenommen werden, um einen Angriff zu bekämpfen, zu Fehlkonfigurationen führen, die zusätzliche Datendiebstahlchancen bieten.

#6. Tastenanschläge werden aufgezeichnet.

Diese Art von Schadsoftware protokolliert jeden Tastendruck auf einem Computer und verwendet ihn, um Benutzernamen und Passwörter zu stehlen, die für den Zugriff auf Daten verwendet werden können.

#7. Passwörter erraten.

Tools zum Knacken von Passwörtern können verwendet werden, um Zugriff auf Systeme und Daten zu erhalten, wenn unbegrenzte Passwortversuche erlaubt sind oder einfache Passwörter akzeptiert werden. Passwortverwaltungsprogramme sind ein Ansatz, um Benutzern dabei zu helfen, komplexe Passwörter zu verwalten und Anmeldeinformationen organisiert und zentral zu sichern.

#8. Verletzung der physischen Sicherheit.

Der Zugriff auf einen physischen Ort oder ein Netzwerk, in dem sensible Daten gespeichert sind, kann zu erheblichen Verlusten oder Schäden für ein Unternehmen führen.

#9. Card Skimmer und Point-of-Sale-Intrusion.

Ein benutzerorientierter Angriff liest Kredit- oder Debitkarteninformationen und verwendet sie dann, um Sicherheitsmechanismen zu durchbrechen oder zu umgehen.

#10. Verlegte oder gestohlene Hardware

Unbeaufsichtigte oder ungesicherte Hardware bietet eine einfache und Low-Tech-Technik, um Daten zu stehlen.

Cyberkriminelle nutzen menschliche Manipulation, um illegalen Zugriff auf Systeme oder Prozesse zu erlangen. Diese Bedrohungen zielen in der Regel auf Kommunikations- und Kollaborationsplattformen sowie in letzter Zeit auf Identitätsdiebstahl in sozialen Medien ab.

#12. Fehlende Zugangskontrollen.

Fehlende oder veraltete Zugangskontrollen sind ein klarer Zugangspunkt, der zu einer Verletzung eines Systems mit dem zusätzlichen Risiko einer seitlichen Bewegung führen kann. Die Nichtimplementierung der Multifaktor-Authentifizierung (MFA) auf allen Systemen und Anwendungen ist ein Beispiel für fehlende Zugriffskontrollen.

#13. Hintertür.

Jeder undokumentierte Zugriff, ob beabsichtigt oder unbeabsichtigt, ist ein klares Sicherheitsproblem, das häufig zu Datenverlust führt.

#14. Insider-Gefahr.

Viele Cybersicherheitsprobleme werden von internen Benutzern verursacht, die Zugriff auf oder Kenntnisse über Netzwerke und Systeme haben. Aus diesem Grund ist das Verfolgen von Benutzeraktionen so wichtig.

Die Folgen einer Datenschutzverletzung

Viele Datenschutzverletzungen können nicht einfach durch das Ändern von Passwörtern behoben werden. Ein Datenleck kann langfristige Folgen für Ihren Ruf, Ihre Finanzen und andere Vermögenswerte haben.

Für Unternehmen: Eine Datenschutzverletzung kann verheerende Auswirkungen auf den Ruf eines Unternehmens sowie auf sein finanzielles Ergebnis haben. Equifax, Target und Yahoo zum Beispiel sind alle Opfer von Datenschutzverletzungen geworden. Und viele Personen assoziieren/erinnern sich heute eher an diese Organisationen als an das Problem der Datenschutzverletzung und nicht an ihre eigentlichen Unternehmensabläufe.
Für Regierungsbehörden: Beschädigte Daten können bedeuten, dass sensible Informationen an ausländische Parteien weitergegeben werden. Militärische Operationen, politische Verhandlungen und Informationen über kritische nationale Infrastrukturen können alle eine erhebliche Bedrohung für eine Regierung und ihre Bürger darstellen.
Für Einzelpersonen: Identitätsdiebstahl ist eine erhebliche Gefahr für Opfer von Datenschutzverletzungen. Datenlecks können alles von Sozialversicherungsnummern bis hin zu Bankdaten preisgeben. Sobald ein Krimineller Ihre Informationen hat, kann er jede Art von Betrug in Ihrem Namen begehen. Identitätsdiebstahl kann Ihren Kredit ruinieren und Sie in rechtliche Schwierigkeiten bringen, und es ist schwierig, sich zu wehren.

Während dies gängige Szenarien sind, können die durch Datenschutzverletzungen verursachten Schäden weit darüber hinausgehen. Daher ist es wichtig, dass Sie untersuchen, ob Ihre Daten bereits kompromittiert wurden.

Die beste Methode, sich zu verteidigen, besteht natürlich darin, zu vermeiden, überhaupt zum Opfer zu werden. Kein Sicherheitsplan ist fehlerlos, aber es gibt Schritte, die Sie unternehmen können, um sich zu schützen, egal ob Sie eine Einzelperson oder ein Unternehmen sind.

Was Sie tun können, um zu verhindern, Opfer einer Datenschutzverletzung zu werden

Jeder auf allen Ebenen, von Endbenutzern bis hin zu IT-Mitarbeitern und allen dazwischen, muss an der Verhinderung von Datenschutzverletzungen beteiligt sein.
Wenn es darum geht, Datenschutzverletzungen oder -lecks zu verhindern, ist Sicherheit nur so gut wie das schwächste Glied. Jede Person, die mit einem System interagiert, hat das Potenzial, eine Schwachstelle zu sein. Auch kleine Kinder mit einem Tablet, das mit Ihrem Heimnetzwerk verbunden ist, können eine Bedrohung darstellen.
Hier sind einige Best Practices zur Vermeidung von Datenschutzverletzungen.

Implementieren Sie Patches und Softwareaktualisierungen, sobald sie verfügbar sind.
Verschlüsselung auf höchstem Niveau für sensible Daten.
Upgrade von Geräten, wenn die Software des Herstellers nicht mehr unterstützt wird.
Durchsetzung von BYOD-Sicherheitsvorschriften, z. B. die Vorgabe, dass alle Geräte einen VPN-Anbieter der Unternehmensklasse und Virenschutz verwenden müssen.
Um ein besseres Cybersicherheitsverhalten der Benutzer zu fördern, setzen Sie starke Anmeldeinformationen und Multi-Faktor-Authentifizierung durch. Es kann von Vorteil sein, Menschen zu ermutigen, einen Passwort-Manager zu verwenden.
Schulung der Mitarbeiter zu angemessenen Sicherheitsverfahren und zur Vermeidung von Social-Engineering-Angriffen.

So kommen Sie nach einer Datenpanne wieder auf Kurs

Wenn eine Datenschutzverletzung entdeckt wird, ist Zeit wichtig, damit Daten möglicherweise wiederhergestellt und weitere Verletzungen begrenzt werden können. Bei der Reaktion auf einen Verstoß können die folgenden Maßnahmen als Richtlinie dienen:

#1. Identifizieren und isolieren Sie alle betroffenen Systeme oder Netzwerke.

Cybersicherheitstechnologien können Unternehmen dabei unterstützen, den Umfang einer Datenschutzverletzung zu bestimmen und betroffene Systeme oder Netzwerke von der übrigen Unternehmensinfrastruktur zu isolieren. Diese Lösungen tragen auch dazu bei sicherzustellen, dass böswillige Akteure sich innerhalb eines Netzwerks nicht seitlich bewegen können, wodurch möglicherweise mehr Daten preisgegeben werden.

#2. Formalisieren Sie Ihre Risikobewertung der Umstände.

In dieser Phase müssen sekundäre Bedrohungen für Benutzer oder Systeme identifiziert werden, die möglicherweise noch vorhanden sind. Beispiele sind die Kompromittierung von Benutzer- oder Systemkonten sowie kompromittierte Backdoors. Forensische Tools und Spezialisten können Systeme und Software sammeln und analysieren, um festzustellen, was passiert ist.

#3. Wiederherstellen von Systemen und Beheben von Sicherheitslücken.

In dieser Phase werden betroffene Systeme so gut wie möglich mit sauberen Backups oder brandneuer Hardware oder Software wiederhergestellt und wiederhergestellt. Dieser Prozess umfasst auch Sicherheitsupdates oder Problemumgehungen, um Sicherheitslücken zu schließen, die während der Risikobewertung nach einem Verstoß entdeckt wurden.

#4. Benachrichtigen Sie die Betroffenen.

Sobald die Systeme und Software wieder betriebsbereit sind, besteht der nächste Schritt darin, alle relevanten Parteien über die Datenschutzverletzung und die damit verbundenen Auswirkungen auf Datendiebstahl zu informieren. Diese Liste ändert sich abhängig von den vorliegenden Daten. Sie umfasst jedoch häufig Folgendes: Rechtsabteilungen; Mitarbeiter, Kunden und Partner; Kreditkartenunternehmen und Finanzinstitute; und Versicherungsunternehmen für Cyberrisiken.

#5. Verfolgen Sie die Lektionen, die Sie gelernt haben.

Aus der Verletzung gewonnene Informationen und Erkenntnisse sollten sorgfältig dokumentiert werden, um das Vorkommnis für zukünftige Bezugnahmen schriftlich aufzubewahren und den beteiligten Personen dabei zu helfen, zu verstehen, welche Fehler gemacht wurden, damit sie nicht wieder vorkommen.

Beispiele für Datenschutzverletzungen

Laut dem „Data Breach Investigations Report“ von Verizon 2022 weist das Bankgeschäft die meisten verifizierten Datenschutzverletzungen auf, gefolgt von Informationsdiensten, Fertigung und Bildung. In den letzten Jahren kam es sowohl bei großen Unternehmen als auch bei Regierungsinstitutionen zu zahlreichen massiven Datenschutzverletzungen.

#1. Koloniale Pipeline-Gesellschaft

Colonial Pipeline, ein großer Ölpipeline-Betreiber in den Vereinigten Staaten, erlag im Mai 2021 einem Ransomware-Angriff, der die automatisierte Betriebstechnologie zur Überwachung des Ölflusses beeinträchtigte. Dieser Vorfall betraf mehr als ein Dutzend Ostküstenstaaten und erforderte mehrere Monate für die vollständige Reparatur, obwohl das Unternehmen das Lösegeld bezahlte, um wichtige Daten und Software wiederherzustellen, die gestohlen und nicht mehr funktionsfähig waren.

#fünfzehn. Microsoft

Microsoft berichtete im März 2021, dass es das Ziel eines riesigen Cyber-Angriffs war, von dem weltweit 60,000 Unternehmen betroffen waren. In diesem Szenario nutzten Hacker eine Reihe von Zero-Day-Schwachstellen in Microsoft Exchange aus. Die E-Mails derjenigen, die die gestohlenen E-Mail-Server benutzten, wurden offengelegt, und Hacker implantierten Malware und Hintertüren, um unwissende Organisationen und Regierungen weiter anzugreifen.

#3. Sony Pictures Entertainment

Das Unternehmensnetzwerk von Sony Pictures Entertainment wurde Ende 2014 heruntergefahren, nachdem Angreifer Malware eingesetzt hatten, die Workstations und Server deaktivierte. Guardians of Peace, eine Hackerorganisation, übernahm die Verantwortung für die Datenpanne; Die Bande lud unveröffentlichte Filme hoch, die aus dem Sony-Netzwerk beschlagnahmt wurden, sowie private Mitteilungen von Führungskräften des Unternehmens.
Guardians of Peace wurde verdächtigt, Verbindungen zu Nordkorea zu haben, und Cybersicherheitsexperten und die US-Regierung machten schließlich Nordkorea für die Datenschutzverletzung verantwortlich.

Während des Einbruchs bedrohte die Hacker-Gang Sonys Komödie „The Interview“ aus dem Jahr 2014, was dazu führte, dass das Unternehmen seine Kinopremiere absagte. Die Handlung des Films drehte sich um die Ermordung einer fiktiven Version des nordkoreanischen Führers Kim Jong-un.

#4. Ziel

Target Corp. meldete 2013 eine erhebliche Datenschutzverletzung, bei der Kundennamen und Kreditkarteninformationen offengelegt wurden. Die Datenschutzverletzung von Target betraf 110 Millionen Kunden und führte zu mehreren Klagen, die von Kunden, Landesregierungen und Kreditkartenanbietern eingereicht wurden. Die gerichtlichen Vergleiche beliefen sich für das Unternehmen auf mehrere zehn Millionen Dollar.