Was ist eine Sicherheitsverletzung?

Als Sicherheitsverletzung gilt jeder unbefugte Zugriff auf Computerdaten, Anwendungen, Netzwerke oder Geräte mit dem Ziel, ohne Autorisierung an Informationen zu gelangen. In der Regel kommt es zu solchen Vorfällen, wenn es Eindringlingen gelingt, Sicherheitsmechanismen außer Kraft zu setzen.

Sicherheitsverletzungen und Datensicherheitsverletzungen sind dabei streng genommen nicht dasselbe. Eine Sicherheitsverletzung ist das eigentliche Eindringen, während eine Datensicherheitsverletzung bedeutet, dass die Cyberkriminellen tatsächlich Informationen entwenden konnten. Stellen Sie sich einen Einbrecher vor: Wenn er ein Fenster aufbricht und in Ihre Wohnung gelangt, ist das eine Sicherheitsverletzung. Eine Datensicherheitsverletzung begeht er, wenn er Ihre Brieftasche oder Ihren Laptop stiehlt.

Vertrauliche Informationen sind extrem wertvoll und werden häufig im Darkweb gehandelt. Hier lassen sich zum Beispiel gestohlene Namen und Kreditkartennummern erwerben, die dann für Betrugsversuche und Identitätsdiebstahl genutzt werden. Es überrascht also kaum, dass Sicherheitsverletzungen Unternehmen teuer zu stehen kommen können. Große Firmen verlieren im Durchschnitt fast 4 Millionen $.

Wichtig ist, zwischen einer Sicherheitsverletzung und einem Sicherheitsvorfall zu unterscheiden. Ein Vorfall kann eine Malware-Infektion sein, ein DDOS-Angriff oder ein im Taxi vergessener Firmenlaptop. Resultiert aus diesem Vorfall jedoch keine Kompromittierung des Netzwerks und kein Datenverlust, wird er nicht als Sicherheitsverletzung eingestuft.

Beispiele für Sicherheitsverletzungen

Das Medienecho bei Sicherheitsverletzungen in großen Unternehmen oder Institutionen ist enorm. Hier eine Auswahl der wichtigsten Schlagzeilen der letzten Jahre:

• Equifax: 2017 verlor das Unternehmen durch eine Sicherheitslücke in einer Website-Anwendung die personenbezogenen Daten von 145 Millionen US-Bürgern. Gestohlen wurden unter anderem Namen, Sozialversicherungsnummern und Führerscheinnummern. Die Angriffe erfolgten über einen Zeitraum von drei Monaten von Mai bis Juli. Öffentlich gemacht wurde die Sicherheitsverletzung aber erst im September.
• Yahoo: 2013 konnten sich Hacker mit einem Phishing-Angriff Zugriff auf das Netzwerk des Unternehmens verschaffen. Dabei wurden insgesamt 3 Milliarden Benutzerkonten kompromittiert.
• eBay: Hier kam es 2014 zu einer schwerwiegenden Sicherheitsverletzung. Zwar konnten die Hacker keine Kreditkartendaten von PayPal-Benutzern erbeuten, dafür aber die Passwörter zahlreicher Kunden kompromittieren. Das Unternehmen reagierte schnell und bat die Benutzer per E-Mail, zu ihrem Schutz ihr Passwort zu ändern:
• Ashley Madison: Das Seitensprungportal für Verheiratete wurde 2015 Opfer von Hackern. Die Angreifer veröffentlichten eine große Zahl von Kundendaten im Internet. Danach wurden viele der bloßgestellten Kunden erpresst. Unbestätigten Medienberichten zufolge steht die Datensicherheitsverletzung in Zusammenhang mit einer Reihe von Suiziden.
• Facebook: Die Plattform verlor 2018 durch Fehler in der internen Software die persönlichen Informationen von 29 Millionen Benutzern. Besonders peinlich war diese Panne, weil auch das Konto von Firmen-CEO Mark Zuckerberg kompromittiert wurde.
• Marriott Hotels: Die Hotelkette machte 2018 eine Sicherheits- und Datensicherheitsverletzung öffentlich, von der 500 Millionen Kunden betroffen waren. Der eigentliche Angriff auf das Reservierungssystem fand schon 2016 statt, wurde aber erst zwei Jahre später entdeckt.
• Beim vielleicht peinlichsten bekannten Vorfall wurde eine Cybersicherheitsfirma selbst zum Opfer: Das tschechische Unternehmen Avast machte 2019 eine Sicherheitsverletzung öffentlich, bei der ein Hacker die VPN-Anmeldedaten eines Mitarbeiters ausspioniert hatte. Er hatte es allerdings nicht auf Kundendaten abgesehen, sondern wollte Malware in die Produkte von Avast einschleusen.

Noch vor zehn Jahren versuchten viele Unternehmen aus Sorge um einen Verlust des Kundenvertrauens, Sicherheitsverletzungen geheim zu halten. Das passiert heute immer seltener. In der Europäischen Union sind Unternehmen durch die Datenschutz-Grundverordnung (DSGVO) verpflichtet, nicht nur die zuständigen Behörden über sämtliche Verletzungen zu informieren, sondern auch alle Privatpersonen, deren persönliche Daten möglicherweise betroffen sind. Im Januar 2020 waren nur 18 Monate nach Inkrafttreten der DSGVO bereits mehr als 160.000 Datensicherheitsverletzungen gemeldet worden – also mehr als 250 pro Tag!

Arten von Sicherheitsverletzungen

Man unterscheidet Sicherheitsverletzungen nach der Art und Weise, wie sich die Angreifer Zugriff auf ein System verschafft haben:

• Exploits nutzen Sicherheitslücken im System aus, zum Beispiel ein veraltetes Betriebssystem. Besonders anfällig hierfür sind ältere, seit langer Zeit nicht aktualisierte Systeme in Unternehmen, die noch mit alten oder nicht mehr unterstützten Versionen von Microsoft Windows arbeiten.
• Schwache Passwörter lassen sich knacken oder erraten. Auch heute noch verwenden viele Menschen simple Passwörter wie „passwort“. Varianten wie „pa$$wort“ sind trotz Sonderzeichen ebenfalls nicht viel sicherer.
• Malware-Angriffe, beispielsweise über Phishing-E-Mails, verschaffen den Angreifern Zugang zum System. Es genügt, wenn ein einziger Mitarbeiter auf einen Link in einer Phishing-E-Mail klickt – schon kann sich die Schadsoftware im gesamten Netzwerk verbreiten.
• Drive-by-Downloads lauern auf manipulierten oder gefälschten Websites, die mit Viren oder Malware präpariert wurden.
• Social Engineering ist ebenfalls ein beliebtes Mittel, sich unbefugt Zugang zu verschaffen. Die Angreifer behaupten zum Beispiel gegenüber Mitarbeitern, sie seien vom IT-Helpdesk und bräuchten ihr Passwort, um ein Problem mit ihrem Computer zu beheben.

Bei den oben beschriebenen Sicherheitsverletzungen setzten die Angreifer ganz verschiedene Techniken ein, um ihr Ziel zu erreichen: Yahoo wurde Opfer eines Phishing-Angriffs, während bei Facebook ein Exploit verwendet wurde.

Natürlich sind Sicherheitsverletzungen nicht nur in großen Unternehmen ein Problem. Auch Computer und sonstige Geräte von Privatpersonen können zum Ziel werden. Zwar ist es recht unwahrscheinlich, dass Sie Opfer eines Exploits werden – Malware hingegen hat schon viele Computer infiziert, ob versteckt in einem selbst heruntergeladenen Softwarepaket oder im Rahmen eines gut getarnten Phishing-Angriffs. Schwache Passwörter und öffentliche WLANs machen es Cyberkriminellen außerdem leicht, Internetdatenverkehr abzuhören.

Was tun bei einer Sicherheitsverletzung

Wenn Sie als Kunde eines großen Unternehmens von einer Sicherheitsverletzung erfahren oder bemerken, dass Ihr eigener Computer kompromittiert wurde, sollten Sie schnell handeln. Haben Hacker erst einmal Zugriff auf eines Ihrer Konten, können auch andere Konten in Gefahr sein. Das gilt vor allem, wenn Sie dieselben Passwörter verwenden oder es zwischen den Konten häufig zu Transaktionen kommt.

• Betrifft die Sicherheitsverletzung möglicherweise Finanzdaten, sollten Sie alle Banken und Finanzinstitute informieren, bei denen Sie Kunde sind.
• Ändern Sie bei allen Konten das Passwort. Auch Sicherheitsfragen, Antworten oder PINs sollten Sie bei jedem Konto ändern.
• Sperren Sie gegebenenfalls Ihr Konto. Dann können die Kriminellen keine Transaktionen in Ihrem Namen durchführen.
• Holen Sie eine Kreditauskunft ein, um zu prüfen, ob jemand in Ihrem Namen Kredite aufnimmt.
• Finden Sie heraus, welche Daten gestohlen wurden. Dann können Sie den Ernst der Situation besser einschätzen. Bei einem Diebstahl Ihrer Steuernummer oder Ihrer Sozialversicherungsnummer müssen Sie schnell handeln, um Ihre Identität zu schützen. Der Verlust solcher Daten ist gefährlicher als der Verlust von Kreditkartendaten.
• Wenn ein Unternehmen Sie per E-Mail über eine angebliche Datensicherheitsverletzung informiert und nach persönlichen Informationen fragt: Geben Sie die Informationen niemals direkt heraus. Möglicherweise sind Sie Opfer eines Social-Engineering-Versuchs. Recherchieren Sie die neuesten Nachrichtenmeldungen, besuchen Sie die Website des Unternehmens oder rufen Sie den Kundendienst an, um die Echtheit der Nachricht zu klären.
• Rechnen Sie jederzeit mit anderen Social-Engineering-Versuchen. Kriminelle sind ausgesprochen kreativ. Stellen Sie sich zum Beispiel folgendes Szenario vor: Ein Angreifer hackt sich in die Kundenkonten eines Hotels, findet aber keine Finanzdaten. Er ruft einen der Kunden an und fragt ganz harmlos, ob ihm sein Aufenthalt gefallen hat. Gegen Ende des Gesprächs, nachdem ein Vertrauensverhältnis entstanden ist, bietet er eine Rückerstattung der Parkgebühren an und fragt dafür nach der Kreditkartennummer. Bei einem überzeugenden Gesprächspartner würden die meisten Kunden ihre Daten sicher sofort preisgeben.
• Achten Sie auf verdächtige Aktivitäten bei Ihren Konten. Leiten Sie sofort entsprechende Maßnahmen ein, wenn Sie eine Transaktion nicht nachvollziehen können.

So schützen Sie sich vor Sicherheitsverletzungen

Einen absolut zuverlässigen Schutz gegen Datensicherheitsverletzungen gibt es nicht. Wenn Sie einige grundlegende Regeln der Computersicherheit befolgen, können Sie Ihr Risiko jedoch reduzieren und den Schaden im Ernstfall geringhalten. Mit unseren Tipps können Hacker nicht mehr so leicht an die persönlichen Daten auf Ihrem Computer und Ihren anderen Geräten gelangen.

• Verwenden Sie starke Passwörter. Sie sollten aus zufälligen Kombinationen von Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen bestehen. Solche Passwörter sind sehr viel schwieriger zu knacken als einfachere Varianten. Verwenden Sie keinesfalls leicht zu erratende Passwörter wie Familiennamen oder Geburtstage. Schützen Sie Ihre Passwörter außerdem mit einem Passwort-Manager.
• Verwenden Sie für jedes Konto ein eigenes Passwort. Wenn Sie immer dasselbe Passwort verwenden und ein Hacker sich Zugriff auf eines der Konten verschaffen kann, hat er damit auch Zugriff auf alle übrigen. Bei unterschiedlichen Passwörtern wird nur das eine Konto kompromittiert.
• Löschen Sie ungenutzte Konten. Das verringert die Wahrscheinlichkeit einer Sicherheitsverletzung. Wenn Sie ein Konto nicht verwenden, bemerken Sie einen Angriff möglicherweise gar nicht und die Hacker könnten über dieses Konto auch weitere Ihrer Konten kompromittieren.
• Ändern Sie Ihre Passwörter regelmäßig. Viele öffentlich gewordene Sicherheitsverletzungen wurden über einen langen Zeitraum hinweg begangen und erst Jahre später bekannt. Wenn Sie Ihre Passwörter regelmäßig ändern, sinkt das Risiko, dass Ihnen durch nicht öffentlich gewordene Datensicherheitsverletzungen Schaden entsteht.
• Wenn Sie Ihren Computer entsorgen: Löschen Sie die alte Festplatte richtig. Es genügt nicht, einfach nur die Dateien zu löschen. Verwenden Sie stattdessen ein spezielles Datenlöschprogramm, das die Festplatte komplett leert und alle Daten überschreibt. Auch mit einer kompletten Neuinstallation des Betriebssystems lässt sich eine Festplatte restlos löschen.
• Sichern Sie Ihre Dateien. Bei einigen Datensicherheitsverletzungen verschlüsseln die Angreifer die Dateien ihres Opfers und verlangen anschließend Lösegeld für die Entschlüsselung. Wenn Sie ein Datenbackup auf einer Wechselfestplatte haben, sind Ihre Daten auch in einem solchen Fall sicher.
• Schützen Sie Ihr Smartphone. Aktivieren Sie die Bildschirmsperre und aktualisieren Sie regelmäßig die Software des Smartphones. Führen Sie keinesfalls ein Rooting oder einen Jailbreak durch. Auf gerooteten Smartphones können Hacker eigene Software installieren und Einstellungen ändern.
• Schützen Sie Ihren Computer und alle anderen Geräte mit Antivirensoftware und Anti-Malware-Software.Kaspersky Antivirus ist die ideale Wahl, um Ihren Computer vor Infektionen zu schützen und Hacker von Ihrem System fernzuhalten.
• Denken Sie nach, bevor Sie auf einen Link klicken. Wenn Sie unaufgefordert eine E-Mail mit Links erhalten, könnte das ein Phishing-Versuch sein. Manche E-Mails sehen sogar so aus, als kämen sie von einem Ihrer Kontakte. Prüfen Sie immer die Echtheit der Nachricht, bevor Sie einen Anhang öffnen oder auf einen Link klicken, und lassen Sie Anhänge von einem Antivirenprogramm scannen.
• Greifen Sie nur über das sichere HTTPS-Protokoll auf Ihre Konten zu, niemals nur über HTTP.
• Prüfen Sie regelmäßig Ihre Kontoauszüge und Ihre Daten bei den Kreditauskunfteien. Gestohlene Daten können noch Jahre nach der ursprünglichen Datensicherheitsverletzung im Darkweb auftauchen. Jemand könnte Ihre Identität stehlen, wenn Sie schon längst vergessen haben, dass das betreffende Konto überhaupt einmal kompromittiert wurde.
• Machen Sie sich bewusst, wie wertvoll Ihre persönlichen Daten sind. Geben Sie sie nur heraus, wenn es absolut notwendig ist. Zu viele Websites möchten viel zu viel über ihre Benutzer wissen. Warum muss beispielsweise ein Wirtschaftsmagazin Ihr Geburtsdatum kennen? Was will ein Auktionsportal mit Ihrer Steuernummer?

Genauso, wie Sie Ihre Haustür kaum den ganzen Tag sperrangelweit offenlassen, sollten Sie auch Ihren Computer nicht ungeschützt lassen. Geben Sie die Zugangsdaten zu Ihrem Netzwerk und Ihre persönlichen Daten niemals weiter und lassen Sie Hackern so wenige Einfallstore wie möglich.

Weitere interessante Artikel:

So schützen Sie Ihre Online-Banking-Daten vor Diebstahl

Schützen Sie Ihre privaten Daten gegen Diebstahl

Tipps, wie Sie sich vor Cyberkriminalität schützen können