Schlagwort: Datenleck
27. Dezember 2022
Die irische Datenschutzbehörde Data Protection Commissioner (DPC) hat nach eigenen Angaben Untersuchungen gegen Twitter eingeleitet. Hintergrund ist ein Datenleck des Social Media-Konzerns, bei dem mehrere gesammelte Datensätze mit personenbezogenen Daten von Twitter-Nutzern im Internet zur Verfügung gestellt worden waren. Es sollen dabei weltweit ca. 5,4 Millionen Nutzer betroffen gewesen sein.
Twitter-IDs, E-Mail-Adressen und Telefonnummern betroffen
Das Datenleck war im Januar 2022 bekannt und dann innerhalb von fünf Tagen von Twitter geschlossen worden. In den Datensätzen sollen Twitter-IDs, E-Mail-Adressen sowie Telefonnummern den betroffenen Personen zugeordnet worden sein. Diese Datensätze wurden in Hacking-Plattformen zum Kauf angeboten.
Womöglich ist die Zahl an Betroffenen sogar noch größer als geschätzt. Laut dem israelischen Sicherheitsforscher Alon Gral sollen sogar Daten von 400 Millionen Twitter-Konten aus einem Datenleck – möglicherweise aus demselben Leck – Elon Musk direkt zum Kauf angeboten worden sein. Daraus angebotene Probedatensätze enthielten die Daten prominenter Personen.
Austausch zwischen DPC und Twitter
Auch wenn Twitter die genauen Zahlen der Betroffenen nicht bestätigt hat, hat das Unternehmen den Vorfall der DPC gemeldet, welche die für Twitter zuständige Datenschutzbehörde ist. In der nachfolgenden Korrespondenz ergab sich für die DPC der Eindruck, dass eine oder mehrere Bestimmungen der Datenschutzgrundverordnung (DSGVO) verletzt worden sein könnten. Bereits im November hatte die Vorsitzende der DPC, Helen Dixon, im Interview mit POLITICO Bedenken hinsichtlich Twitters Datenschutzpraxis ausgedrückt.
DPC als Aufsichtsbehörde der Tech-Giganten
Die DPC ist neben Twitter auch für Tech-Giganten wie Google und Facebook zuständig. Diese haben ihre Niederlassungen in Irland und unterfallen damit regelmäßig dem Zuständigkeitsbereich der irischen Datenschutzaufsicht. Aus diesem Grund hat die DPC Twitter 2021 eine Geldbuße von 450.000 Euro auferlegt. Zuletzt war eine massive Geldbuße gegen Meta erfolgt.
Wenn sich der Vorwurf im Untersuchungsverfahren bestätigt, ist angesichts der hohen Sanktionsmöglichkeiten seitens der DPC erneut ein empfindliches Bußgeld zu erwarten. Die DSGVO ermöglicht in Art. 83 Sanktionen von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres.
3. November 2022
Wie nach Recherchen von Cybernews bekannt wurde, gab es bei Thomson Reuters kürzlich ein Datenleck, bei dem mindestestens drei seiner Datenbanken, darunter die drei Terrabyte große Datenbank ElasticSearch für jedermann zugänglich war.
Die betroffenen Daten
Thomson Reuters, der Nachfolger der Nachrichtenagentur Reuters, ist ein Medienkonzern mit Hauptsitzen in New York und Toronto. Der Konzern bietet seinen Kunden verschiedene Produkte wie das Medientool Reuters Connect, die Datenbank Westlaw oder auch andere Recherche-Suites an. Die von dem Datenleck betroffene Datenbank ElasticSearch enthält Informationen aus allen Plattformen des Konzerns und wird bevorzugt von Unternehmen eingesetzt, die mit umfangreichen, ständig aktualisierten Datenmengen arbeiten.
Laut Cybernews waren die Daten mehrere Tage lang verfügbar. Es waren sensible Daten betroffen, wie beispielsweise Informationen zu Lieferketten, Zugangsdaten zu Servern Dritter und Anmelde- und Kennwortrücksetzungsprotokolle, in denen die E-Mail-Adresse der Kontoinhaber und die genaue Zeit, zu der die Passwortänderung gesendet wurde, ersichtlich waren.
Die Reaktion des Konzerns
Thomson Reuters reagierte unverzüglich auf den Hinweis, schaltete die Server ab und leitete eine Untersuchung ein. Laut dem Unternehmen seien zwei der drei betroffenen Server so konzipiert gewesen, dass sie öffentlich zugänglich waren. Der dritte sei als sogenannter nicht-produktiver Server nur mit einer kleinen Untergruppe von Kunden verbunden gewesen und enthalte keine Anwendungsdaten. Zudem habe das Leck überwiegend Kunden in den USA betroffen, welche informiert worden seien.
Dagegen zweifeln die Forscher von Cybernews an, dass das Leck so harmlos war, wie es Thomson Reuters erscheinen lässt. Ihnen zufolge hat das Unternehmen Daten zugänglich gemacht, die in kriminellen Foren wegen des möglichen Zugriffs auf andere Systeme Millionen wert wären.
Fazit
Von außen lässt sich kaum beurteilen, wie schwer das Datenleck tatsächlich war. Es zeigt jedoch, wie wichtig es für Unternehmen ist, ihre digitale Infrastruktur kontinuierlich zu überprüfen, damit Sicherheitslücken nicht wie im vorliegenden Fall tagelang ungesehen bestehen bleiben und das Unternehmen angreifbar machen.
28. Oktober 2021
Die Schul-App Scoolio hat die personenbezogenen Daten ihrer Nutzerinnen und Nutzer, also minderjähriger Schüler, nicht ausreichend geschützt. Das hat die IT-Sicherheitsaktivistin Lillith Wittmann mit ihren Kollegen des IT-Sicherheitskollektiv “Zerforschung” herausgefunden. Laut dem App-Anbieter wurden die Sicherheitslücken inzwischen geschlossen.
Die Sicherheitsforscher konnten über einen sogenannten Person-in-the-Middle-Proxy nachvollziehen, dass die Schnittstellen in der Kommunikation zwischen der App und den Nutzern nicht ausreichend gesichert waren. Dadurch konnten sie auf alle Daten von allen Nutzern zugreifen, also Nicknames, Geburtsdaten, E-Mail-Adresse und auch den Standort.
Die Missbrauchs-Potentiale sind groß, in der App können Chaträume wie “Christen” oder “LGBTQ” erstellt werden, sodass über die Mitgliedschaften auch Informationen über besondere Kategorien personenbezogener Daten erlangt werden können. Außerdem kann die App für Cybergrooming von Erwachsenen missbraucht werden. Es sei möglich gewesen, ein Profil für eine 33 Jahre alte Person anzulegen und damit Zutritt zur Chatgruppe “Suche Freund zwischen 12 und 13” zu bekommen.
Die in Dresden ansässige Scoolio GmbH hat die Sicherheitslücken nach mehr als 30 Tagen geschlossen, wichtige Schutzmaßnahmen aber kurzfristig umgesetzt. Aus diesem Grund hat der Datenschutzbeauftragte Sachsens keine weiteren Maßnahmen oder Bescheid erlassen. Der Verantwortliche habe sich kooperativ gezeigt und dankte auch den Sicherheitsforschern. Zusätzlich interessant ist, dass der Technologiegründerfonds Sachsen mit öffentlichem Geld aus Sachsen und der EU in Scoolio investiert hat.
20. Mai 2020
Die Fluggesellschaft räumte ein, dass sie Ziel eines Hackerangriffs geworden ist. Die Angreifer hatten Zugriff auf die Daten von rund neun Millionen Kunden. Auch Kreditkartendaten sind teilweise betroffen.
Dies teilte Easyjet am Dienstag mit. Die Angreifen konnten unter anderem auf E-Mail-Adressen sowie Reisedetails zugreifen. Zum jetzigen Zeitpunkt gebe es keine Hinweise darauf, dass die Daten missbraucht worden seien. Die Airline will alle Betroffenen bis zum 26. Mai über den Angriff informieren, um so das Risiko möglicher Phishing-Attacken einzudämmen. “Wenn Sie nicht kontaktiert werden, dann wurde auf ihre Daten nicht zugegriffen”, betonte die Airline.
Wer nicht darauf warten möchte, kann hier durch Eingabe seiner Email auf der Website “Have I been pwned?” überprüfen, ob er vom Datenleck betroffen ist.
Bei mehr als 2200 Kunden gelang es den Hackern darüber hinaus die Kreditkartendaten zu erbeuten. Erste Hinweise auf die Attacke hatte Easyjet im Januar 2020. Wer dahinter steckt, ist dem Unternehmen nicht bekannt.
“Es tut uns leid, dass das passiert ist”, verlautbarte das Unternehmen. Die zuständigen Behörden seien informiert.
17. September 2019
Patienten aus Deutschland und den USA betroffen.
Datensätze von weltweit mehreren Millionen Patienten sind im Netz für jedermann frei zugänglich. Auf dieses Datenleck stießen Reporter vom Bayrischen Rundfunk und von ProPublica, einer amerikanischen Plattform für investigativen Journalismus, während einer gemeinsamen Recherche.
Teil der betroffenen Datensätze sind auch Bilder aus medizinischen Untersuchungen, welche unter anderem Brustkrebsscreenings, Wirbelsäulenbilder und Röntgenaufnahmen eines Brustkorbs zeigen. Der Großteil der Datensätze weist einen Personenbezug auf: Geburtsdatum, Vor- und Nachname, Termin der Untersuchung und Informationen über den behandelnden Arzt oder die Behandlung selbst. Diese sensiblen und damit besonders schützenswerten Daten lagen auf ungeschützten Servern.
Betroffen sind in Deutschland rund 13.000 Datensätze, wovon der größte Teil von Patienten aus dem Raum Ingolstadt (Bayern) und aus Kempen (Nordrhein-Westfalen) stammt. Doch auch weltweit sind nach Auswertungen von ProPublica Patientendaten betroffen. In den USA sei das Ausmaß besonders hoch.
Der Bundesbeauftragte für Datenschutz, Ulrich Kelber, zeigte gegenüber dem BR auf, welche Konsequenzen ein solches Datenleck haben kann: “Sie möchten nicht, dass ein Arbeitgeber, ein Versicherungskonzern, eine Bank diese Daten kennt und ihnen keinen Vertrag oder keinen Kredit gibt.”
Laut Informationen des Bayrischen Rundfunks wurde der Fall Ingolstadt bei dem Bayerischen Landesamt für Datenschutzaufsicht, der zuständigen Behörde, angezeigt. Welche aufsichtsbehördlichen Maßnahmen die Behörde treffen wird, bleibt abzuwarten.
29. Juli 2019
Im Internet sind Daten von mehr als 2000 Thailand-Reisenden ungeschwärzt einsehbar gewesen, darunter auch Gesundheitsdaten. Unter den Betroffenen sind auch ca. 130 deutsche Touristen.
Bei den betroffenen Daten handelt es sich um Passkopien, Handynummern und private E-Mail-Adressen. Darüber hinaus wurden auch Informationen über Krebs-Erkrankungen, Herzleiden und psychiatrischen Klinik-Aufenthalten sowie Arzneimittelverschreibungen der Touristen öffentlich.
Die thailändische Botschaft teilte auf Anfrage mit, sie werde die Angelegenheit prüfen. Der Grund für das Speichern der Daten sind dem Bericht zufolge thailändische Vorschriften, die für die Einfuhr verschreibungspflichtiger Arzneimittel eine Bescheinigung des behandelnden Arztes voraussetzen.
9. Oktober 2018
Nach Facebook räumt auch Google eine Datenpanne ein. Der Hamburger Datenschutzbeauftragte Johannes Caspar hat die Ermittlung gegen das Online-Netzwerk Google Plus aufgenommen.
Durch eine Software-Panne bei Google Plus sollen Basis-Profilinformationen wie Name, E-Mail-Adresse, Geschlecht oder das Alter der Nutzer jahrelang für die App-Entwickler ohne Erlaubnis abrufbar gewesen sein. Diese Datenpanne sei im März 2018 bei Google entdeckt worden, welche sie für ein halbes Jahr für sich behielt. Dies räumte Google am Montag ein. Andere Daten seien jedoch nicht betroffen. Der Fehler sei unmittelbar durch Google behoben worden.
Als Reaktion wird die 2011 als Konkurrenz zu Facebook gestartete Plattform für die Verbraucher dichtgemacht. Darüber hinaus sollen auch die Möglichkeiten für App-Entwickler, auf Nutzerdaten auf Smartphones mit dem Google-System Android zuzugreifen, zukünftig eingeschränkt werden,
Das “Wall Street Journal” berichtete unter Berufung auf interne Unterlagen Googles, dass dieses Datenleck bereits seit 2015 bestand. Google habe zwar keine Hinweise auf einen Datenmissbrauch, jedoch auch nicht genug Informationen, um einen solchen vollständig auszuschließen. Aus Sorge vor Vergleichen mit Facebook habe sich der Konzern im März dazu entschieden, die Öffentlichkeit nicht über die Entdeckung zu informieren.
Google selbst hat bisher keine Angaben dazu gemacht, wie lange diese Lücke tatsächlich bestand. Es könnten potentiell Profile von bis zu 500 000 Konten bei Google Plus betroffen sein. Genauere Angaben könne der Konzern nicht machen, weil Nutzungslogs nur zwei Wochen lang gespeichert würden.
14. März 2016
Medienberichten zufolge gibt es bei Deutschlands zweitgrößter Krankenkasse Barmer GEK ein Datenleck. Unbefugte könnten durch das Vortäuschen einer falschen Identität mit wenigen Telefonaten und ein paar Mausklicks Details zu Diagnosen, verordneten Arzneien, Klinikaufenthalten und andere intime Informationen abfragen. Einem von einer Zeitung beauftragten Tester sei es gelungen, sich über einen Online-Zugang der Kasse in Patientendaten einzuloggen. Der Tester habe ausschließlich den Namen, das Geburtsdatum und die Versichertennummer des Datenopfers zur Verfügung gehabt. Die Kasse soll der Darstellung, Unbefugte könnten sich mühelos Zugriff auf Versichertendaten im Internet verschaffen, widersprochen haben. Bei der Aktion habe es sich “eher um einen simulierten Diebstahl einer Versichertenkarte, gegen die sich keine Institution wehren kann” gehandelt, so der Sprecher der Krankenkasse. In dem konkreten Fall habe der Sprecher aber eine Panne eingeräumt. Der Tester der Zeitung sei bei einem Telefonanruf nicht – wie sonst vorgeschrieben – zusätzlich nach den letzten vier Ziffern der Kontonummer des Versicherten gefragt worden, dessen Identität er vorgetäuscht habe. Dadurch habe er sich Zugang zu den Daten verschaffen können.
Die Bundesdatenschutzbeauftragte Andrea Voßhoff ist nach dem Medienbericht alarmiert. Sie werde “beim Bundesversicherungsamt nochmals dringend anregen, die Thematik im Rahmen seiner Zuständigkeit zu untersuchen”. Außerdem wolle sie den Fall zum Anlass nehmen, den Datenschutz der Kassen bei telefonischen Kundenkontakten, insb. das Authentifizierungsverfahren bei telefonischen Kundenkontakten, “grundsätzlich zu überprüfen”.
10. November 2015
Der Allgemeine Deutsche Automobil-Club (ADAC) ist abermals mit Negativschlagzeilen in Erscheinung getreten. Wer auf der Homepage des ADAC das Antragsformular für eine ADAC-Kreditkarte aufrief, soll Medienberichten zufolge seit Anfang Oktober auch den Namen, Mitgliedsnummern, Eintrittsdatum und Art der Mitgliedschaft anderer ADAC-Mitglieder gesehen haben. Zwar seien keine weiteren Daten angezeigt worden (wie z. B. Bankinformationen), dennoch könne ein Missbrauch nicht ausgeschlossen werden.
Nachdem diese Panne bekannt wurde, sei die Antragsseite umgehend entfernt worden. Eigentlich habe man prüfen wollen, wie viele Betroffene es gibt, damit diese persönlich informiert werden. Nach neueren Berichten wird der ADAC davon jedoch Abstand nehmen. Man könne nicht mehr genau feststellen, wer genau betroffen war.
3. August 2012
Aus einer Veröffentlichung in dem firmeneigenen Blog des Cloud-Anbieters Dropbox geht hervor, dass aus dem Account eines Mitarbeiters Kundendaten durch unbekannte Angreifer entwendet werden konnten. Bekannt wurde der “Diebstahl”, als im Anschluss an diesen Mitte Juli die aus dem Dokument mit den Kundendaten entnommenen E-Mail Adressen vermehrt mit Spam-Mails belästigt wurden. Noch unklar ist, an wie viele E-Mail Adressen die Angreifer auf diese Weise gelangen konnten. Nach Angaben des Unternehmens erfolgte der unberechtigte Zugriff mittels eines gestohlenen Zugangspassworts eines Mitarbeiters, der anscheinend sein Passwort für den Zugriff auf die Cloud auch bei anderen Web-Dienstleistern verwendet hat. Auf die gleiche Weise haben die Angreifer auch auf „eine kleine Anzahl“ weiterer Dropbox-Accounts Zugriff erhalten.
Dropbox hat auf den Zwischenfall mit zweierlei Maßnahmen reagiert. Zum einen können sich Nutzer des Dienstes mit dem neu eingerichteten Zugriffsverlauf darüber informieren, wer zu welchem Zeitpunkt auf den Account zugegriffen hat. Zum anderen wird in den nächsten Wochen optional eine Zwei-Faktor-Authentifizierung angeboten, bei der neben der Online-Anmeldung auch eine Bestätigung per Mobiltelefon notwendig ist.
Ob bei Dropbox intern Maßnahmen ergriffen wurden, um solche Zwischenfälle in Zukunft zu vermeiden, lässt sich hingegen nicht in Erfahrung bringen. Der Vorfall zeigt nichts desto weniger wieder einmal schmerzlich auf, dass das Thema Datensicherheit, insbesondere für sensible Bereiche wie das Cloud-Computing, nicht ernst genug genommen werden kann.
