„Die blühendsten Imperien begannen mit einer Usurpation.“
Der Mathematiker Jean Sylvain Bailly ahnte nicht, wie aktuell dieser Satz auch heute noch sein würde. Cyberkriminelle hingegen scheinen ihn voll und ganz verinnerlicht zu haben.
Die „Datenpannen“ gehören zu den wichtigsten Aktivitäten in bestimmten Dark-Web-Foren, und Identitätsdiebstähle sind zweifellos die lukrativsten darunter.
Ob in organisierter Form oder durch gezielte Gelegenheitsangriffe, Cyberkriminelle weiten ihre Aktivitäten ständig aus, diversifizieren ihre Ziele und nutzen immer raffiniertere Methoden, um an einen der heiligen Grale der Daten zu gelangen: personenbezogene Informationen.
- Definition des Begriffs Identitätsdiebstahl
- Ist das Bewusstsein für die Risiken von Identitätsdiebstahl wirklich vorhanden?
- Was sind die Ursachen für den Verlust oder Diebstahl dieser Daten?
- Die Folgen von Identitätsdiebstahl
Definition des Begriffs Identitätsdiebstahl
Um die Folgen eines Diebstahls personenbezogener Daten richtig zu verstehen, muss man zunächst versuchen, den Rahmen dafür abzustecken.
Laut demICO(Information Commissioner Office im Vereinigten Königreich ist eine Verletzung des Schutzes personenbezogener Daten definiert als „eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“. Dies ist sowohl sehr weit gefasst als auch sehr präzise. Man kann daraus jedoch eine Klassifizierung ableiten, deren drei Hauptkategorien wie folgt lauten:
Verletzung der Integrität
Sie betrifft Fälle der unbefugten oder versehentlichen Veränderung personenbezogener Daten. Dies ist häufig bei der betrügerischen Verwendung offizieller Dokumente wie Ausweispapieren der Fall.
Verletzung der Vertraulichkeit
Sie betrifft im Wesentlichen Fälle der unbefugten oder versehentlichen Offenlegung von oder des Zugangs zu personenbezogenen Daten. Der kürzliche Fall der Veröffentlichung von Millionen Patientendaten der AP-HP, die auf COVID-19 getestet wurden, im Darknet ist ein eklatantes Beispiel dafür..
Verlust der Verfügbarkeit
Sie folgt in der Regel auf einen Zugriffsverlust oder eine Vernichtung personenbezogener Daten. Jeder Ransomware-Angriff auf öffentliche Einrichtungen, Finanzinstitute oder Gesundheitsorganisationen ist ein trauriges Beispiel. Diese Cyberangriffe haben diese Organisationen daran gehindert, auf die Daten ihrer Patienten oder Nutzer zuzugreifen, und haben teilweise zu dramatischen Folgen geführt.
Es versteht sich von selbst, dass eine Datenverletzung nicht auf eine einzige dieser Kategorien beschränkt ist und dass sie alle drei Kategorien gleichzeitig betreffen kann. Dies ist bei hochkarätigen Ransomware-Angriffen mit Mechanismen der doppelten, dreifachen oder vierfachen Erpressung der Fall.
Sobald dieser Rahmen bekannt ist, bleibt die Frage, was unter „personenbezogenen Daten“ zu verstehen ist. Laut der CNIL gilt: „Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.“[1]
Hier ist das, was heute problemlos im Darknet zum Verkauf angeboten wird:
- Geburtsdatum
- Reisepass
- Kreditkartennummer
- Biometrische Daten
- Sozialversicherungsnummer
- Adresse
- Finanzunterlagen
- Fotos
- Führerscheinnummer
- Telefonnummer
All diese Daten, die dazu geeignet sind, eine natürliche Person direkt oder indirekt zu identifizieren,sind personenbezogene Daten. Ihre Bedeutung für Cyberkriminelle wird von viel zu wenigen Menschen erkannt.
Ist das Bewusstsein für die Risiken von Identitätsdiebstahl wirklich vorhanden?
Hier sind einige statistische Daten, die zum Nachdenken über die eigene Risikowahrnehmung anregen und darüber, wie leichtfertig die Mehrheit ihre persönlichen Informationen „preisgibt“.
Laut einer Studie von Le Figaro [2] :
- 65 % der Franzosen fühlen sich nicht von Datendiebstahl bedroht
- 60 % halten sich für gut vor einem solchen Vorfall geschützt
Doch laut The Trade Desk 2021:
- 3 von 4 Franzosen geben an, dass sie das Gefühl haben, ihre Online-Daten nicht ausreichend kontrollieren zu können.[4]
Eine Studie aus dem Jahr 2020 des Marketingunternehmens IntoTheMinds geht davon aus, dass fast 60 % der Internetnutzer die Nutzungsbedingungen von Websites akzeptieren, ohne auch nur eine Zeile davon zu lesen [5]. Für manche sind diese Bedingungen jedoch schlicht inakzeptabel: zu umfangreiche Datenerfassung (Name, Vorname, Standort, E-Mail-Adresse usw.), missbräuchliche Nutzung... Die Möglichkeiten, diese erfassten Daten zu schützen, sind nahezu nicht vorhanden. Glücklicherweise schützt uns in Europa seit 2018 die DSGVO (Datenschutz-Grundverordnung). Leider reicht das nicht aus, denn ein Nullrisiko gibt es nicht.
„Bis 2025 wird geschätzt, dass 75 Milliarden Geräte mit dem Internet verbunden sein werden, gegenüber 25 Milliarden im Jahr 2019. »[6] Diese explosionsartige Zunahme der Anzahl exponierter Geräte wird zwangsläufig dazu führen, dass immer mehr personenbezogene Daten vernetzt, verfügbar und somit stehlbar sind. Es scheint mittlerweile selbstverständlich und normal zu sein, dass unser Kühlschrank heute unsere E-Mails lesen und uns über unser Twitter-Konto benachrichtigen kann, dass die Butter bald abläuft...
Der Markt für personenbezogene Daten boomt im Darknet. Es wurden sogar ganz spezifische Bereiche geschaffen, die es Cyberkriminellen ermöglichen, ihre Geschäfte zu tätigen. Hier sind einige Beispiele für das, was dort gehandelt wird:
Was sind die Ursachen für den Verlust oder Diebstahl dieser Daten?
Die Statistiken zeigen es: die Hauptursachen für Verlust oder Diebstahl sind die Unachtsamkeit der Nutzer und die Überexposition ihrer persönlichen Daten. Leider vergessen sie dabei oft deren eigentlichen Wert.
Es gibt auch andere, teils technischere Gründe, die zu diesen Datenschutzverletzungen führen können.
Dazu zählen beispielsweise:
- die Schwachstellen bei der Anwendungsentwicklung die diese Daten nutzen und Cyberkriminellen die Möglichkeit geben, Sicherheitsmechanismen zu umgehen
- die Vervielfältigung der Hosting-Standorte dieser Daten, was zu einem Kontrollverlust über die Schutzmaßnahmen führt
- die Testumgebungen von Unternehmen, die nach der Inbetriebnahme vernachlässigt wurden, aber für Cyberkriminelle weiterhin zugänglich sind
- der Wunsch, den Nutzern das Leben immer weiter zu vereinfachen, auf Kosten grundlegender Sicherheitsregeln (ungesichertes WLAN, Erstellung von QR-Code-Systemen zur Zentralisierung sensibler Informationen usw.)
- die mangelnde Absicherung bestimmter Einkaufsseiten im Internet
- usw.
Die möglichen Ursachen sind zahlreich und eine vollständige Auflistung ist nahezu unmöglich. Zwischen technischen und technologischen Problemenund dem unberechenbaren menschlichen Verhalten ist es offensichtlich, dass all diese Daten nicht sicher sind. Diese Unsicherheit kann schwerwiegende Folgen haben.
Die Folgen von Identitätsdiebstahl
Der Diebstahl oder Verlust sensibler Daten ist eine der Hauptfolgen bei Cyberangriffen. Diese können das Unternehmensvermögen, geistiges Eigentum oder den Diebstahl von Patenten betreffen, beispielsweise im Rahmen von Industriespionage.
Es ist zudem wichtig, die Auswirkungen zu berücksichtigen, die der Missbrauch personenbezogener Daten auf eine Einzelperson oder deren Familie haben kann.
Die persönlichen Auswirkungen
Die weiteren, eher persönlichen und für ein Unternehmen weniger greifbaren Folgen sind Reputationsschaden. Ein beschädigter Ruf kann zum Verlust von Schlüsselpersonal, zu gestörten Beziehungen zu Kunden oder Geschäftspartnern sowie zu einer Verschlechterung des medialen Images führen.
Im Alltag kann dies soziologische, psychologische und sogar physische Auswirkungen haben.
Ein Identitätsdiebstahl kann traumatisierend sein, ganz zu schweigen von dem bürokratischen Aufwand, um die eigene Identität nachzuweisen und wiederherzustellen. Betroffene beschreiben diesen Prozess oft als „Hölle“ und benötigen mitunter Jahre, um wieder die volle Kontrolle über ihre Identität zu erlangen.
Psychologische und soziale Folgen sind nicht die einzigen Auswirkungen. Es können weitere, ebenso verheerende Konsequenzen auftreten.
Rechtliche Konsequenzen
Die Zunahme von Cyberrisiken zwingt Unternehmen dazu, von einer reinen Sicherheitsstrategie zu einer umfassenden Schutzstrategie überzugehen. Sie müssen daher rechtliche Vorkehrungen treffen, wie etwa den Abschluss von Versicherungen oder die Aufnahme entsprechender Vertragsklauseln mit Partnern. Im Falle eines Angriffs sind sie sowohl Opfer (hinsichtlich administrativer, ethischer und strafrechtlicher Verantwortung sowie der DSGVO-Konformität) als auch Verantwortliche. Es liegt daher in ihrem eigenen Interesse, sich abzusichern.
Finanzielle Folgen
Die finanziellen Auswirkungen sind das Erste, woran wir bei einem Cyberangriff denken.
Doch die indirekten Kosten werden oft übersehen (zum Beispiel Ermittlungskosten). Man vergisst leicht, dass Betriebsunterbrechungen Wiederherstellungskosten für die Reparatur oder den Ersatz beschädigter Netzwerke und Geräte nach sich ziehen.
Immaterielle Folgen durch entgangene Geschäftsmöglichkeiten oder Vertrauensverlust können zudem die Wettbewerbsfähigkeit eines Unternehmens lähmen und sogar dessen Rentabilität gefährden. Diese indirekten Kosten, die in den meisten Fällen schwer zu beziffern sind, dürfen nicht unterschätzt werden.
Datenverletzungen: Ein komplexes Thema
Datenverletzungen sind ein komplexes Thema, da sie eine Vielzahl technischer, rechtlicher, finanzieller und psychologischer Komplikationen nach sich ziehen.Neben dem gesunden Menschenverstand gibt es eine Reihe einfacher Maßnahmen, die unter den Begriff „IT-Hygiene“ fallen. Einige davon werden auf der offiziellen Website cybermalveillance.fr hervorragend erklärt. Andere Maßnahmen sind eher technischer Natur.
Technologien, die einen ganzheitlichen Ansatz bieten oder sich beispielsweise auf den Schutz mobiler Geräte konzentrieren, gehören dazu. Die TEHTRIS XDR Platformsowie TEHTRIS MTD ermöglichen es insbesondere, die eigenen Geräte vor jeglichem abweichenden Verhalten zu schützen, und bilden ein erstes wirksames Bollwerk gegen den Kontrollverlust über Daten.
[1] https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/personal-data-breaches/
[2] https://www.cnil.fr/fr/definition/donnee-personnelle
[3] https://www.lefigaro.fr/actualite-france/2011/10/05/01016-20111005ARTFIG00700-usurpation-d-identite-les-francais-inquiets.php
[4] https://comarketing-news.fr/lost-in-data-les-francais-ne-se-sentent-plus-maitres-de-leurs-donnees/
[5] https://www.intotheminds.com/blog/statistiques-rgpd-europe/
[6] Bis 2025 wird geschätzt, dass 75 Milliarden Geräte mit dem Internet verbunden sein werden, gegenüber 25 Milliarden im Jahr 2019.
