Datenleaks, was ist das eigentlich?

Man liest immer wieder von Datenleaks, aber was genau ist das eigentlich? Was ist ein innerer und äußerer Datenleak und wie kann man sich als Anwender davor schützen? [...]

Datenleak ist ein relativ neuartiger und unwirklicher Begriff. Gerade diese Unwirklichkeit führt dazu, dass er von der Allgemeinheit oft nicht ernst genommen wird. „Ein Leck im Computer aus dem Daten tropfen? – Komische Sache.“

Übrigens: Laut Statistik ist jede zweite Privatperson schon ein- oder mehrmals Opfer eines Datenleaks geworden.

Zugegeben, das Wort „Datenleak“ ist etwas eigenartig. Das kommt vielleicht auch daher, dass das Wort eine Deutsch-Englische Wortkombination (Denglisch) ist. Es setzt sich aus dem deutschen Wort „Daten“ und dem englischen Wort „leak“ für „Leck“ zusammen.

Trotz der Eigenheit des Begriffs wird er gerne aufgegriffen und hat sich bei den meisten Medien gegenüber dem rein deutschen Wort „Datenleck“ durchgesetzt. Beide Begriffe bedeuten ein und dasselbe: der Diebstahl und die Offenlegung von (privaten) Daten.

Aufgrund der Neuartigkeit des Begriffs gibt es im Deutschen keine eindeutige Unterscheidung zwischen Datendiebstahl von innen und dem von außen. Es wird dabei immer nur von „Datenleak“ gesprochen. Das mag für eine Privatperson keine große Bedeutung haben, für Unternehmen und IT-Experten sehr wohl. Im Englischen gibt es diese Unterscheidung mit „data leak“ und „data breach“.

Der Unterschied zwischen „data leak“ und „data breach“

Im deutschsprachigen Raum wird, wie erwähnt, häufig nur von Datenleak/Datenleck gesprochen, was sich von „data leak“ ableitet. Bei den meisten Vorfällen handelt es sich jedoch um „data breaches“ und nicht um „data leaks“. Hier die Erklärung der Begriffe:

„Data leaks“ sind nicht autorisierte Übertragungen von Informationen innerhalb eines Unternehmens nach außen. Dabei wird nicht zwischen der physischen (USB-Stick) und digitalen (E-Mail) Übertragung unterschieden. Das kann beispielsweise ein Kollege sein, der Kundendaten an andere Unternehmen oder Hacker verkauft. Hauptmerkmal eines „data leaks“ ist, dass es von innen nach außen passiert. Deshalb ist diese Art des Datendiebstahls für Unternehmen schwer zu verhindern. Übrigens: Sollte das datenverarbeitende Unternehmen schuldhaft gehandelt haben, indem es nicht für die ausreichende Sicherheit der Daten gesorgt hat, haftet dieses für alle entstandenen Schäden.

„Data breaches“ sind das Offenlegen vertraulicher Daten von einer externen Quelle. Es handelt sich dabei um einen direkten Angriff von außen mit dem Ziel des Datendiebstahls. Bekannte Unternehmen, die Opfer dieser Attacken wurden, sind beispielsweise Yahoo, Facebook, Adobe, Ebay u.v.m. Hauptmerkmal eines „data breaches“ ist, dass es von außen nach innen passiert.

Merke: Wenn wir von „Datenleak“ lesen und sprechen sind das in den meisten Fällen im eigentlichen Sinne „data breaches“. Sprich – Datendiebstahl von außen.

Wie lange dauert es bis ein Datenleak auffällt und geschlossen wird?

Die Frage, wann ein Datenleak auffällt, ist nicht einfach zu beantworten. Es kommt dabei primär auf die unternehmensinternen Sicherheitsmaßnahmen an.

Große Unternehmen haben eigene Abteilungen für die IT-Sicherheit, doch gerade mittelständische und Kleinunternehmen tun sich schwer damit, da solche Sicherheitsmaßnamen viel Geld verschlingen und kaum greifbar sind.

Oft ist es so, dass Unternehmen erst durch externe Quellen erfahren, dass ihre Daten (beispielsweise im Darknet) aufgetaucht sind und zum Verkauf stehen. Das kann fallweise Jahre dauern oder gar nicht erst auffallen. Daraus hat sich ein eigenes Geschäft entwickelt. Es gibt Unternehmen, die das Überwachen bekannter Daten-Marktplätze im Darknet als Dienstleistung anbieten.

Dadurch, dass IT-Sicherheit ein abstraktes und nicht greifbares Thema ohne erkennbare Ergebnisse ist, führt es dazu, dass viele IT-Kollegen sich rechtfertigend vor der Geschäftsleitung wiederfinden und heftig argumentieren müssen, warum es eine neue Firewall, ein neues Sicherheits-Programm oder die Lizenz für das Programmupgrade braucht. Nur um dann festzustellen, dass ihr Anliegen aufgrund zu hoher Kosten abgelehnt wurde. Frei nach dem Motto „Ich sehe kein Problem, also haben wir keines.“

Die Maßnahmen müssen natürlich auch im Verhältnis stehen. Ein Kleinunternehmen wird in den seltensten Fällen eine 40k€ Firewall oder ein Oracle-Real-Application-Cluster (wieso hilft der gegen data leaks?) benötigen. Der Mittelweg sollte das Ziel sein. Oder unternehmerisch ausgedrückt, der Kosten-Nutzen-Faktor muss stimmen und von beiden Seiten anerkannt werden.

Bedauerlicherweise wird in der Realität oft erst Geld für wichtige IT-Themen locker gemacht, wenn schon etwas passiert ist. Ich kenne das aus eigener Erfahrung. Deshalb an dieser Stelle ein shout-out an meine IT-Kollegen: Lasst den Kopf nicht hängen und kämpft weiter! Auch wenn es ein undankbarer Job ist, manchmal führt es zum Erfolg.

Tipp: Die beste Zeit solche Anliegen vorzubringen ist, wenn gerade ein bekanntesUnternehmen oder der Konkurrent Opfer einer Cyberattacke wurde.

Beim Thema Schließung von Datenleaks haben Deutschland, Österreich und die Schweiz klar die Nase vorn. Von der Kenntnisnahme bis zur endgültigen Schließung dauert es durchschnittlich 160 Tage.

160 Tage, das ist im internationalen Vergleich recht ordentlich und kann sich sehen lassen. Luft nach oben gibt es immer. Die Kosten sind mit durchschnittlich 4,5 Millionen Euro nicht zu unterschätzen.

Wie schützt man sich als Anwender vor Datenleaks?

Da kann ich eines vorwegnehmen: gar nicht. Zumindest nicht vor dem Datenleak selbst. Außer Sie sagen der Online Welt ab und leben im digitalen Zölibat. Das ist eher unrealistisch und deshalb sprechen wir über die Möglichkeiten, wie Sie zumindest den Schaden begrenzen können.

In Bezug auf geleakte Zugangsdaten, ist die beste Methode für Privat und Businessanwender, die Verwendung eines Passwort-Managers.

Mit einem Passwort-Manager können Sie einfach mehrere Konten mit verschiedenen Passwörtern verwalten. Sie müssen sich dabei nur das Master-Passwort für den Passwort-Manger merken und sonst nichts.

Sollten Ihre Zugangsdaten durch einen Datenleak enthüllt werden, haben Sie nicht mehr das Problem, dass mehrere Konten, auf denen Sie dieselbe E-Mail-Adresse und dasselbe Passwort verwenden, in Gefahr sind.

Das hat mittlerweile auch im Unternehmen eine Relevanz. Dort verwenden Mitarbeiter immer häufiger Onlinekonten anderer Unternehmen, Kundenportale und selbstverständlich auch die internen Onlineplattformen.

Die bekanntesten Passwort-Manager-Anbieter sind sich dessen bewusst und bieten dementsprechende Leistungen an. Hauptfeature ist das zentrale Verwalten der Passwörter aller Mitarbeiter. Dabei hat man aus Datenschutzgründen keine Einsicht auf die Daten im Klartext, sondern auf die Metadaten wie etwa Alter und Stärke des Passworts und einiges mehr.

Tipp: Um noch sicherer zu sein, können Sie die Doppelblind-Methode verwenden. Dabei verwenden Sie für jedes Passwort im Passwort-Manager am Ende zusätzlich 3–6 Ziffern, die nur Sie auswendig wissen und beim Login einfach am Ende des eigentlichen Passworts anhängen. Ich verwende diese Methode für meine wichtigsten Login Daten.

Zusätzlich empfehle ich die regelmäßige Prüfung, ob die eigenen Daten in Datenleaks aufgetaucht sind. Dafür gibt es die Webseite vom Microsoft-Experten Troy Hunt.

Dort können Sie einfach Ihre E-Mail-Adresse angeben und erfahren binnen Sekunden, ob Ihre Daten in einem Datenleak auffindbar sind.

*Lip Stark ist seit etwa zehn Jahren in der IT-Branche und schon seit einigen Jahren als Experte für einen internationalen Konzern tätig. Er betreibt eine eigene Webseite auf der er für alle Nicht-Techniker und Techniker verständliche Erklärungen, Anleitungen und Ratgeber rund um Technikthemen veröffentlicht.