Was ist ein Datenleck und was ist zu tun?
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz gesagt: Ein Datenleck liegt vor, wenn Informationen an Unbefugte gelangen oder ihnen zugänglich gemacht werden. Ursache kann ein Angriff, ein menschlicher Fehler oder eine unzureichende Absicherung des Systems sein. Die Daten müssen dabei nicht im Internet veröffentlicht werden. Die Folgen hängen vor allem davon ab, welche Informationen offengelegt wurden: Bei einer E-Mail-Adresse sind andere Maßnahmen erforderlich als bei einem Passwort oder einer PESEL-Nummer.
Wann kommt es zu einem Datenleck?
Von einem Datenleck spricht man beispielsweise, wenn jemand eine Kundendatenbank stiehlt, ein Mitarbeiter ein Dokument an den falschen Empfänger sendet oder ein Ordner mit vertraulichen Dateien ohne Anmeldung öffentlich zugänglich ist. Daten können kopiert werden und trotzdem im Unternehmenssystem verbleiben. Dass keine Dateien verschwinden, ist deshalb kein Beleg für Sicherheit.
Ein Datenleck kann personenbezogene Daten betreffen, also Informationen, mit denen sich ein Mensch identifizieren lässt. Es kann aber auch Geschäftsgeheimnisse, Programmcode oder API-Schlüssel betreffen – Zugangsdaten, mit denen Programme Dienste nutzen können. Nicht jeder Vorfall gefährdet daher die Privatsphäre; manchmal besteht die Gefahr im Zugriff auf die Infrastruktur oder darin, dass vertrauliche Unterlagen offengelegt werden.
Im Zusammenhang mit RODO ist Verletzung des Schutzes personenbezogener Daten der umfassendere Begriff. Er schließt nicht nur die unbefugte Offenlegung oder den unbefugten Zugriff ein, sondern auch m.in. den Verlust, die Zerstörung oder die Veränderung von Daten. Das Wort „Datenleck“ allein beschreibt nicht alle möglichen Verletzungen.
Wie werden Informationen offengelegt?
Die Ursache kann eine Sicherheitslücke in der Software sein, aber ebenso ein einfacher Fehler. Typische Fälle sind:
- Kontoübernahme: Ein Angreifer erlangt das Passwort, etwa durch Phishing. Dabei gibt er sich als vertrauenswürdiger Absender aus, um Informationen zu erschleichen.
- Falsche Zugriffsrechte: Eine Datei, eine Sicherungskopie oder eine Datenbank ist für mehr Personen zugänglich als vorgesehen.
- Fehler beim Versand: Eine Nachricht mit Daten geht an den falschen Empfänger oder legt die Empfängeradressen im Feld „An“ offen.
- Schadsoftware: Ein Programm stiehlt Dateien, Passwörter oder Daten aktiver Sitzungen. Mit diesen Sitzungsdaten lässt sich unter Umständen auf ein Konto zugreifen, ohne sich erneut anzumelden.
- Handlungen einer zugriffsberechtigten Person: Ein Mitarbeiter oder externer Mitarbeitender kopiert Informationen über den erlaubten Umfang hinaus.
Ein Datenleck bei einem Dienstanbieter kann auch Nutzer treffen, die selbst keinen Fehler gemacht haben. Deshalb ist es wichtig, das eigene Gerät abzusichern. Das ersetzt jedoch weder die sorgfältige Auswahl von Diensten noch die Beschränkung der Daten, die man ihnen übermittelt.
Wovon hängen die Folgen eines Datenlecks ab?
Entscheidend ist, festzustellen, was genau offengelegt wurde und mit welchen weiteren Informationen sich diese Daten verknüpfen lassen. Eine E-Mail-Adresse allein reicht normalerweise nicht aus, um sich bei einem Konto anzumelden. Zusammen mit der Einkaufshistorie kann sie jedoch helfen, eine überzeugende Nachricht eines angeblichen Shops zu verfassen.
| Offengelegte Informationen | Hauptgefahr | Erste Maßnahme |
|---|---|---|
| E-Mail-Adresse oder Telefonnummer | Gezielt zugeschnittene Betrugsversuche und unerwünschte Kontaktaufnahme | Überprüfe den Absender über einen unabhängigen Kanal |
| Passwort | Kontoübernahme und Anmeldeversuche bei anderen Diensten | Ändere das Passwort überall, wo du es ebenfalls verwendet hast |
| Zahlungskartendaten | Nicht autorisierte Zahlungen | Kontaktiere deine Bank |
| PESEL oder Ausweisdaten | Versuche, sich als die betroffene Person auszugeben | Erwäge eine Sperre deiner PESEL-Nummer und prüfe weitere Empfehlungen |
| Medizinische Unterlagen oder private Korrespondenz | Verletzung der Privatsphäre, Erpressung | Sichere Beweise und den Zugang zu deinen Konten |
Ein Beispiel: Ein Shop meldet ein Datenleck, das E-Mail-Adressen und Bestellverläufe betrifft, nicht aber Passwörter oder Zahlungsdaten. Die unmittelbarste Gefahr könnte eine gefälschte Aufforderung sein, für eine bestimmte Bestellung nachzuzahlen. Eine solche Meldung bedeutet nicht automatisch, dass du deine Zahlungskarte ersetzen musst. Zahlungsaufforderungen solltest du aber direkt beim Shop überprüfen.
Was tun nach einer Meldung über ein Datenleck?
Prüfe zuerst, ob die Meldung echt ist. Öffne die App des Dienstanbieters oder gib die Adresse seiner Website selbst ein, statt einem Link in einer verdächtigen Nachricht zu folgen. Auch gefälschte Warnungen vor Datenlecks werden genutzt, um Daten zu erschleichen.
- Kläre den Umfang des Vorfalls. Prüfe, welche Daten offengelegt wurden, ob dein Konto betroffen ist und welche Maßnahmen der Dienstanbieter empfiehlt. Eine unklare Meldung ist ein Anlass für Rückfragen, kein Beweis dafür, dass sämtliche Daten offengelegt wurden.
- Sichere gefährdete Konten. Wenn dein Passwort offengelegt wurde, lege ein neues, einzigartiges Passwort fest. Ändere es auch bei anderen Diensten, bei denen du es verwendet hast. Besonders wichtig ist dein E-Mail-Konto, über das sich andere Passwörter zurücksetzen lassen.
- Überprüfe die Zugänge. Beende unbekannte oder alle aktiven Sitzungen, überprüfe die Angaben zur Kontowiederherstellung und aktiviere die Multi-Faktor-Authentifizierung, also eine zusätzliche Bestätigung bei der Anmeldung.
- Passe deine Reaktion an die betroffenen Daten an. Sind Finanzdaten betroffen, kontaktiere deine Bank über einen offiziellen Kanal. Informiere dich auf einer Website der polnischen öffentlichen Verwaltung oder in der App mObywatel über die Regeln und den Schutzumfang einer Sperre der PESEL-Nummer.
- Bewahre die Dokumentation auf. Speichere die Meldung, die jeweiligen Daten, verdächtige Nachrichten und Angaben zu Transaktionen. Im Betrugsfall helfen sie dir, den Vorfall bei der Bank oder der Polizei zu melden.
Gib dein Passwort, deine PESEL-Nummer oder deine Kartendaten nicht in einen beliebigen „Datenleck-Checker“ ein. Auch wenn deine E-Mail-Adresse in einer Datenbank bekannter Vorfälle nicht auftaucht, garantiert das nicht, dass deine Daten nie offengelegt wurden.
Wie lässt sich das Risiko senken und wie sollten Unternehmen reagieren?
Als Nutzer kannst du die Folgen eines künftigen Datenlecks begrenzen: Verwende einzigartige Passwörter, die du in einem Passwortmanager speicherst, nutze eine zusätzliche Bestätigung bei der Anmeldung und lösche nicht mehr benötigte Konten. Diese Maßnahmen verhindern nicht jede Offenlegung von Informationen. Sie erschweren es aber, einen einzelnen Vorfall zur Übernahme von Konten bei weiteren Diensten zu nutzen.
Ein Unternehmen sollte unbefugte Zugriffe eindämmen, Spuren des Vorfalls sichern und dessen Umfang ermitteln. Mitarbeiter sollten unverzüglich die für die Sicherheit verantwortliche Person informieren, statt eigenständig Protokolle oder Beweise zu löschen. Für die Bewertung des Vorfalls kann auch die Mitwirkung des Datenschutzbeauftragten erforderlich sein, sofern einer benannt wurde.
Ob eine Verletzung der Aufsichtsbehörde gemeldet werden muss und die betroffenen Personen informiert werden müssen, hängt von den Umständen und der Risikobewertung ab. Dies ist eine allgemeine Information, keine individuelle Rechtsberatung. Die aktuellen Anforderungen und Fristen sollten anhand von RODO und den Materialien von UODO überprüft werden.
Wenn du gerade eine Warnung erhalten hast, kläre zuerst anhand der offiziellen Meldung, welche Daten offengelegt wurden. Mit dieser Information kannst du gezielt die dringend nötigen Maßnahmen ergreifen, statt wahllos Änderungen vorzunehmen.
Lesen Sie auch
