Was ist ein Datenleck (Data Breach)?

Ein Datenleck (Data Breach) ist ein Vorfall, bei dem geschützte Daten (persönliche Informationen, Zugangsdaten, Finanzunterlagen, Geschäftsgeheimnisse) ohne Autorisierung zugänglich, offengelegt oder exfiltriert werden. Die Ursache variiert: externe Angreifer, die eine Schwachstelle ausnutzen, ein Mitarbeiterfehler, der eine Datenbank ins offene Internet stellt, ein gestohlenes Gerät oder ein kompromittierter Drittanbieter entlang der Lieferkette. Rechtlich vereint die Kategorie die Offenlegung, nicht die Absicht: Die Definition der DSGVO erfasst versehentliche ebenso wie böswillige Vorfälle, denn der Schaden für die Betroffenen hängt nicht davon ab, warum es passiert ist.

Die Pflichten, die ein Datenleck auslöst

Für Organisationen, die EU-personenbezogene Daten verarbeiten, setzt die DSGVO harte Fristen ab dem Moment der Bestätigung eines Lecks: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden, wenn das Leck ein Risiko für Betroffene darstellt, und direkte Benachrichtigung der Betroffenen bei hohem Risiko. Bußgelder für unzureichende Sicherheit oder verspätete Offenlegung erreichten bei größeren Vorfällen dreistellige Millionenbeträge. Die Unterscheidung Verantwortlicher vs. Auftragsverarbeiter formt, wer welche Pflicht trägt: Ein Leck beim Auftragsverarbeiter löst trotzdem die Meldepflicht des Verantwortlichen aus, weshalb Auftragsverarbeitungsverträge typischerweise vorschreiben, dass Auftragsverarbeiter Vorfälle sofort melden, nicht nach eigenem Zeitplan.

Wo geleakte Daten landen

Ein Datenleck ist selten das Ende der Geschichte: Meist ist es der Anfang einer längeren, die sich im Darknet und in der davon gespeisten Credential-Stuffing-Ökonomie fortsetzt. Login-Zugangsdaten werden zu Combo-Listen zusammengestellt, automatisch gegen jede erreichbare Login-Seite getestet, ausnutzend, wie verbreitet Passwörter über Dienste hinweg wiederverwendet werden. Personendaten speisen Identitätsdiebstahl und verschmelzen mit anderen Quellen zu Fullz. Zahlungsdaten speisen Card-Not-Present-Betrug. Die Verzögerung zwischen Leck und Ausnutzung kann von Stunden bis Jahren reichen, weshalb die eigene Datenleck-Historie eines Unternehmens lange nach dem Verblassen der Schlagzeile weiter zählt: Jeder folgende Login-Versuch gegen die eigene Seite kann Zugangsdaten testen, die das Leck einst herausgegeben hat.

Leck-Risiko und seine Nachbeben reduzieren

Data Minimization verkleinert, was ein Leck überhaupt offenlegen kann: Nie gesammelte Daten können nicht auslaufen. Verschlüsselung bei Speicherung und Übertragung, strikte Zugriffskontrollen und zügiges Patchen schließen die Pfade, über die Lecks typischerweise laufen. Doch weil Lecks anderswo routinemäßig zu Angriffen hier werden (die eigenen Systeme eines Unternehmens können perfekt gesichert sein und trotzdem Wellen von Credential-Stuffing-Verkehr aus dem Datenleck eines fremden Unternehmens abbekommen), brauchen Login- und Kontowiederherstellungs-Endpunkte Abwehren, die davon ausgehen, dass kompromittierte Zugangsdaten eintreffen werden. Menschliche Verifizierung wie CaptchaFox an diesen Endpunkten blockiert das automatisierte Testen, das aus einem fremden Leck einen eigenen Account Takeover macht, die praktische Realität, die jedes Unternehmen von einem branchenweiten Problem erbt, das es selbst nicht verursacht hat.