Bei der Angabe von Daten im Internet sind die meisten Menschen mittlerweile schon vorsichtiger geworden. Bevor persönliche Informationen oder gar Kreditkartendaten herausgegeben werden, muss es schon ein gewisses Vertrauensverhältnis zum Empfänger der Daten geben. Kunden vertrauen darauf, dass die Unternehmen ihre preisgegebenen Daten bestmöglich schützen. Das Daten aber auch auf indirektem Wege in Datenbanken von Unternehmen landen können und auch dort gehackt werden können, das haben weniger Kunden im Blick. Das Vertrauen gegenüber einer realen Person, die diese Daten für einen eingibt, ist erheblich größer.
Ein Fall, in dem dieses Vertrauen nicht gerechtfertigt war geht derzeit durch die Presse. Hinter dem etwas technischen Namen „Starwood Guest Reservation Database Security Incident“ versteckt sich ein Kundendatenklau von riesigem Ausmaß. Die Starwood Hotelkette, eine Tochter der Marriott Hotels musste im letzten Monat eingestehen, dass Daten von bis zu 500 Millionen Kunden durch Dritten eingesehen werden konnten. Neben den Reservierungsdaten gehören insbesondere auch Kreditkartendaten und Informationen zu Ausweisdokumenten zu den entwendeten Daten. Das betroffene Unternehmen kann noch nicht mit Sicherheit sagen, ob dabei die für die Entschlüsselung notwendigen Schlüssel, ebenfalls entwendet wurden. Dies wäre besonders schlimm, da durch diese Schlüssel die Kundendaten im Klartext lesbar wären.
Was hinter dem Datenklau steckt ist noch nicht final geklärt, mögliche Spuren nach China werden in den Nachrichten derzeit diskutiert. Was Kriminelle mit einer Datenbank dieser Größe jedoch alles anstellen könnten lässt sich kaum ausmalen: wenn man mal überlegt, wie viele Daten bei einer Hotelreservierung angegeben werden müssen wird schnell klar, das für ein komplettes Bild über einen Gast kaum noch etwas fehlt, ein Identitätsdiebstahl lässt sich nur noch schwer verhindern. Kommt dann auch noch Leichtsinn, wie etwa das Verwenden von gleichen Passwörtern auf mehreren Plattformen hinzu, dann sind den Kriminellen kaum noch Grenzen gesetzt.
Die Analysen unserer Experten zeigen, dass auf den einschlägigen Darknet-Plattformen noch keine der Daten verfügbar sind. Gerade bei Bekanntwerden eines solchen Hacks würden sich hier in den Communities Hacker dazu bekennen, um Ansehen in der Community zu erwerben. Auszüge aus den erbeuteten Daten sind dabei ein gängiges Mittel für den Beweis eines vollzogenen Hacks. Manche Hacker gehen gar so weit, komplette Datensätze online zu stellen. Frei verfügbar oder zum Verkauf – alles ist hier möglich. Prominent sind etwa die Daten aus einem älteren Vorfall bei LinkedIn, bei dem E-Mailadressen und Passwort Kombinationen erbeutet wurden. Bei einer nicht unerheblichen Anzahl von Benutzern bedeutet dies, dass auch die E-Mail-Konten selber offen sind, da das gleiche Passwort verwendet wurde.
Dies kann nicht nur eine Gefahr für die Privatperson an sich darstellen, sondern auch gegebenenfalls für das Unternehmen, indem die Person arbeitet. Gerade Bei Hotelreservierungen wird oft die berufliche E-Mail-Adresse oder Kreditkarte verwendet, woraus sich wiederum eine potentielle Angriffsoberfläche auf das Unternehmen selbst ergibt.
Hier empfiehlt sich sowohl als Unternehmen für eine entsprechende Mitarbeiterawereness zu sorgen, dass Passwörter regelmäßig geändert werden, als auch selbige Ableitung für die Privatperson. Durch eine mögliche Verwendung von Unternehmenskreditkarten kann auch dem Unternehmen ein finanzieller Schaden entstehen. Denn ob wir wollen oder nicht. Unabhängig von Unternehmen oder Privatperson, wir alle können durch solche Datenleaks zu einem für Angreifer potentiell lohnenswerten Ziel werden.
Viele Grüße
Felix
