Persönliche Daten auf verkauften Secondhand-Geräten entdeckt

Das Global Research & Analysis Team (GReAT) von Kaspersky hat die Sicherheit bei Secondhand-Geräten überprüft. Marco Preuss und Christian Funk, beide Leiter des Forschungs- und Analyse-Teams der DACH-Region, haben gegen Ende 2020 zwei Monaten lang unterschiedliche gebrauchte Geräte unter die Lupe genommen, darunter Laptops, Festplatten und Speicherkarten.

Es ging nicht darum, die Geräte auf die Unterschiede je nach Geräteart zu prüfen, sondern vielmehr bestand das Ziel darin herauszufinden, welche Verbindung elektronische Daten mit Privatverkauf oder anderen Arten des Verkaufs von gebrauchten Artikeln haben. Welche Spuren hinterlassen die Verkäufer auf den Geräten? Wie schafft es ein Käufer eines Secondhand-Geräts, dass es sich wie ein brandneues Gerät verhält? Vor allem, ist es überhaupt sicher ein solches Gerät zu verwenden, bis man sich über dieses Thema im Klaren ist?

Ergebnisse unserer Sicherheitsforscher

Auf einer überwältigenden Anzahl der analysierten Geräte wurden Datenspuren hinterlassen – Bei den meisten handelte es sich um persönliche Daten, allerdings waren auch Daten von Unternehmen darunter und über 16 % der Geräte gewährten den Forschern direkten Zugriff. Bei 74 % der analysierten Speichermedien konnten die Forscher mithilfe der Methode des File Carvings die Daten wiederherstellen. Nur auf 11 % der Speichermedien wurden die Daten richtig gelöscht.

Preuss und Funk fanden allerlei Daten, von eher harmlosen Informationen, bis hin zu Daten, deren Veröffentlichung schreckliche und teilweise sogar gefährliche Folgen hätte – Kalendereinträge, Meeting-Notizen, Zugriffsdaten für Unternehmensressourcen, interne Dokumente, persönliche Fotos, medizinische Informationen, Steuerunterlagen und vieles mehr. Funk deutete darauf hin, dass personenbezogene Daten mit der Zeit nicht an Wert verlieren – man kann nicht einfach darauf vertrauen, dass das Risiko mit der Zeit von alleine abnimmt und sich dadurch sicherer fühlen. (Mal abgesehen davon, dass ein sicheres Gefühl keinesfalls ein Anzeichen von geringerem Risiko ist.)

Zusätzlich zu den direkt brauchbaren Informationen wie Kontaktlisten, Steuerunterlagen und medizinische Berichte (oder Zugriff darauf durch gespeicherte Passwörter), enthielten die elektronischen Geräte auch Informationen, die von Cyberkriminellen ausgenutzt werden könnten, ähnlich wie die Daten, die die Verbrecher unerlaubt den Profilen und Posts auf den sozialen Medien entnehmen. Die Inhalte von digitalen Geräten enthalten allerdings wesentlich umfangreichere Informationen.

Haben wir bereits Malware erwähnt?

Es ist davon auszugehen, dass nicht alle Benutzer dieselben strengen Sicherheitsmaßnahmen für digitale Geräte einhalten. Möglicherweise hat Ihr Vorgänger seine Daten sogar noch sicherer gespeichert als Sie, aber beim Kauf eines gebrauchten Gerätes kann es vorkommen, dass Sie nicht nur die Daten des ehemaligen Besitzers kaufen, sondern auch noch seine Malware dazu geschenkt bekommen. 17 % der Geräte, die von Preuss und Funk analysiert wurden, lösten bei unserem Virenscanner einen Alarm aus.

Prequel – Ein Blick auf die Vorgeschichte

Die Forschung, über die wir hier berichten, begann mit einer Studie, die Kaspersky dem Meinungsforschungsinstitut Arlington Research in Auftrag gab. In der Umfrage wurden mehrere Tausend volljährige Verbraucher im UK, in Deutschland sowie in Österreich befragt. Die ursprüngliche Studie diente dazu die Befürchtung zu bestätigen, dass der Verkauf von gebrauchten, digitalen Geräten tatsächlich erhebliche Datenlecks zu Folge hat – nur weniger als die Hälfte der Befragten fanden keine Fotos, „eindeutige Materialien“, Kontaktdaten, sensible Dokumente, wie Reisepässe oder Anmeldedaten auf den gekauften Secondhand-Geräten.

Auf was Verkäufer achten sollten

Auch wenn 10 % der Befragten angaben, Geräte mit Daten des vorherigen Besitzers gekauft zu haben, haben nur wenige davon die Daten ignoriert, sofort gelöscht, den Verkäufer darüber informiert oder es den Behörden gemeldet. Abgesehen von denen, die nur einen flüchtigen Blick auf die gefundenen Informationen warfen, (74 % der Befragten hatten die Möglichkeit das zu tun), gaben mehr als 1 von 10 an, dass sie die Daten möglicherweise verkaufen würden, wenn sie damit Geld verdienen könnten.

Ratschläge und Tipps

Die nationale technische Behörde für Cybersicherheit in Großbritannien, das National Cyber Security Centre (NCSC) bietet nützliche Tipps für Käufer und Verkäufer von elektronischen Geräten, die vom Back-up der persönlichen Daten bis hin zum gründlichen und sicheren Löschen aller Datenreste reichen.

Für Verkäufer

Als Verkäufer besteht Ihre oberste Priorität darin, alle Informationen vom Gerät zu entfernen, damit es sicher ist und die Privatsphäre geschützt wird. Ja, es ist auch wichtig zu gewährleisten, dass das Gerät sicher ist. Wir hoffen natürlich, dass Sie dies bereits während der Benutzung getan haben, jetzt geht es allerdings darum, alle Ihre Informationen für sich zu behalten.

• Machen Sie eine Sicherungskopie von allen Ihren Daten: Egal, ob sich die Daten auf einem Smartphone, einem Computer, einer Speicherkarte oder einem anderen Speichermedium befinden, erstellen Sie ein Back-up, bevor Sie alle Daten vom Gerät löschen, das Sie verkaufen möchten.
• Entfernen Sie die SIM-Karte und ggf. die Speicherkarte vom Smartphone. Sollten Sie eine eSIM verwenden, löschen Sie diese.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für jegliches Konto, das diese Funktion unterstützt. Melden Sie sich dann von allen Services ab, die Sie auf dem Gerät verwenden, das Sie verkaufen werden (Banken, E-Mail, soziale Medien usw.).
• Je nach Art des Geräts können Sie es auf Werkseinstellungen zurücksetzen oder die Speichermedien formatieren.
• Denken sie daran, dass in vielen Fällen Daten nach dem Zurücksetzen auf Werkseinstellungen oder einer Formatierung mit wenig Aufwand wiederhergestellt werden können. Daher ist es erforderlich zusätzliche Maßnahmen zu ergreifen, um sicherzustellen, dass alle Daten vollkommen und für immer von Ihrem Gerät gelöscht wurden. Wie das geht hängt von dem Gerätetyp, dem Modell und den Einstellungen ab. Informieren Sie sich über die Vorgehensweise zum sicheren Löschen und Vernichten von Informationen.

Für Käufer

Käufern von gebrauchten Geräten raten wir dasselbe wie den Verkäufern, allerdings mit einigen Zusatzmaßnahmen, weil davon auszugehen ist, dass nicht alle Daten korrekt gelöscht wurden. Verbeugen ist besser als Heilen.

• Je nach Art des Geräts, setzten Sie es auf Werk zurück oder formatieren Sie die Speichermedien.
• Installieren und aktiveren Sie sofort eine zuverlässige Sicherheitslösung – falls möglich sogar schon bevor Sie das Gerät kaufen — um das Risiko von Malware auszuschließen und das Gerät einem kompletten Sicherheitsscan zu unterziehen, bevor Sie es zum ersten Mal verwenden.