2009: Ein schwarzes Jahr für den Datenschutz

Datenschutz

Um die IT- und Datensicherheit in Unternehmen war es im Jahr 2009 schlecht bestellt – so das ernüchternde Fazit des Sicherheitsspezialisten Sophos.

Die Kette gravierender Fälle von Datenmissbrauch riss im Jahr 2009 nicht ab. In skandalöser Weise wurden Millionen sensibler Daten bewusst oder unbewusst gefährdet oder unzulässig verwendet.

Zwar gibt es inzwischen nach der BDSG Novelle neue gesetzliche Vorschriften, wie die Meldepflicht (§42a BDSG) bei Datenverlusten, die Unternehmen zu einem verantwortungsvolleren Umgang mit vertraulichen Daten verpflichtet (Siehe auch Artikel: Alles zum neuen BDSG zum 01.09.09 ). Noch immer sind sich viele Firmen der IT- und Datensicherheitsrisiken jedoch nicht bewusst: Lösungen zur Sicherung der Daten werden nur unzureichend genutzt und Mitarbeiter selten im richtigen Umgang mit sensiblen Daten geschult. Die Folge: Vertrauliche Geschäftsinformationen, viel Geld (Bußgeldtatbestand in § 43 Abs. 1 Nr. 2b BDSG) und der gute Ruf von Unternehmen stehen auf dem Spiel.

„Das Jahr 2009 war ein schwarzes Jahr für den Datenschutz und die Datensicherheit“, sagte Sascha Pfeiffer, Principal Security Consultant bei Sophos. Selbst Großkonzerne hätten offenbar den Umgang mit vertraulichen Kundendaten nicht im Griff. „Sie müssen sich fragen lassen, warum sie nicht geeignete Vorkehrungen dagegen treffen, dass Mitarbeiter, Partner und sogar Unberechtigte vollen Zugang zu allen Informationen in Kundendatenbanken erhalten.“

Die Fälle der letzten zwölf Monate machen deutlich, dass nicht nur private Nutzer gefährdet sind, vertrauliche Daten, wie Online-Zugangsdaten, PIN und TAN, an Cyberkriminelle zu verlieren. Auch Unternehmen und Organisationen können Opfer gezielter Spionage-Attacken und damit um vertrauliche Daten gebracht werden (Siehe auch Artikel „Wie reagiert man richtig bei einer Datenpanne?„)

Erschwerend komme hinzu, dass etliche Datenpannen des Jahres 2009 auch dadurch verursacht wurden, dass Inhalte vollständiger Datenbanken auf mobile Speichermedien kopiert oder per E-Mail weitergeleitet wurden. „Missbrauch, wie dem illegalen Weiterverkauf von Kundendaten, wird damit Tür und Tor geöffnet.“ Einige spektakuläre Datenpannen des Jahres 2009 im Überblick:

– Persönliche Daten von 18.000 DSDS-Bewerbern im Web einsehbar
Im Februar waren Informationen zu Hobbys, Freizeit und Talenten aus der Bewerber-Datenbank der sechsten Folge von ‚Deutschland sucht den Superstar‘ ungeschützt im Internet zugänglich. Es handelte sich um Daten von rund 18.000 Bewerbern.

– Kabel Deutschland verbreitet Kundendaten ungesichert
Kabel Deutschland hat im März Hunderttausende vollständige Kundendatensätze per Excel-Dateien an Subunternehmer weitergegeben. Es war nicht mehr möglich, den Weg der Daten nachzuvollziehen. Kabel-Deutschland-Kunden sahen sich anschließend einer Vielzahl an Anrufen von Telefonverkäufern von Kabel Deutschland ausgesetzt.

– Einwohnermeldedaten über Jahre hinweg frei zugänglich
Im Juni wurde bekannt, dass über mehrere Jahre Daten wie Familienstand, Geburtsdatum oder Religionszugehörigkeit ahnungsloser Bürger offen im Netz verfügbar waren. Ein Software-Dienstleister veröffentlichte versehentlich Zugangsdaten auf seiner Website, über die die Melderegister zahlreicher deutscher Kommunen einsehbar waren.

– Datendiebstahl bei SchülerVZ
Im Oktober legte offenbar ein einzelner Täter Kopien der Profile einzelner SchülerVZ-User an, die allerdings keine Angaben über Post- und E-Mail-Adressen, Zugangsdaten, Fotoalben und Telefonnummern enthielten. Er bediente sich dabei eines Crawlers und hackte sich mit den normalen Log-in-Daten in das Netzwerk ein, um die Datensätze zu kopieren.

– Dienstleister verursacht größte Kreditkartenumtauschaktion
Im November mussten über 100.000 Kreditkarten deutscher Kunden aus dem Verkehr gezogen werden, um Datenmissbrauch vorsorglich zu verhindern. Vorausgegangen war ein Datenklau in Spanien: Einem spanischen Dienstleister wurden unbestätigten Berichten zufolge die Daten tausender deutscher Kunden gestohlen – davon betroffen könnten alle Banken und Bankkunden sein, auch solche, die nicht in Spanien waren. Schadensfälle sind noch keine bekannt.

und und und… viele weitere Beispiele gibt’s hier: https://adressdaten.wordpress.com/2009/11/05/datenschutz-ist-sexy-datensammeln-auch/

Zum Schutz der IT-Systeme und Daten sollten Unternehmen ihre Mitarbeiter regelmäßig schulen. Darüber hinaus sollten Unternehmen klare Regeln zum Umgang mit Daten, E-Mail und Internet definieren und durchsetzen. Die Voraussetzung für ganzheitliche IT- und Datensicherheit schaffen sie durch den Einsatz integrierter Lösungen. Diese schützen IT-Systeme vor externen Bedrohungen, wie Malware- und Hacker-Attacken, und ermöglichen die Verschlüsselung der auf mobilen Endgeräten, Festplatten und Speichermedien abgelegten oder per E-Mail übertragenen Daten.

In diesem Sinne, immer Augen auf!

Beste Grüße aus Essen,
Jan-Philip Ziebold
http://www.dz-media.de