Laura Santeusanio
Regional Director Southern Europe
Eine internationale Führungskraft mit über 20 Jahren Erfahrung in der Förderung von Unternehmenswachstum, Marktexpansion und Transformation in ganz Europa.Bewährte Geschäftsführerin mit Fachkenntnissen in der Skalierung von Betriebsabläufen, dem Aufbau leistungsstarker Teams und der Umsetzung von Strategien zur Erzielung messbarer Ergebnisse.
Die wichtigsten Erkenntnisse:
Bei einem aktuellen, in den Medien viel beachteten Fintech-Datenschutzvorfall gab es keinerlei technischen Angriff: Die Angreifer nutzten ein kompromittiertes E-Mail-Konto einer Behörde, um Kundendaten anzufordern, und das Unternehmen gab diese in dem Glauben heraus, die Anfrage sei rechtmäßig.
Berichten zufolge funktionierte diese Masche monatelang, bevor sie aufgedeckt wurde. Und das nicht, weil eine E-Mail durch den Filter gerutscht war, sondern weil der Verifizierungsprozess schlichtweg nicht darauf ausgelegt war, eine derart gut authentifizierte Fälschung zu erkennen.
Technische E-Mail-Authentifizierungsverfahren (wie SPF, DKIM, DMARC) bestätigen lediglich, dass eine Nachricht von einer legitimen Domain stammt. Sie sagen jedoch nichts darüber aus, ob der jeweilige Absender überhaupt berechtigt war, diese E-Mail zu senden, oder ob die Anfrage an sich rechtmäßig ist.
Einige der dramatischeren Details, die derzeit noch kursieren, wie etwa das genaue Datenvolumen, die Höhe der Lösegeldforderung oder die Dauer, wie lange das Regierungskonto tatsächlich kompromittiert war, beruhen ausschließlich auf Aussagen der Angreifer und wurden bisher von keiner offiziellen Stelle bestätigt.
Die Lösung für dieses Problem ist kein besserer Spam-Filter. Sie besteht in einem dokumentierten, verpflichtenden Verifizierungsschritt für genau diese Art von Anfragen. Ein Prozess, der nicht nur auf dem Papier existiert, sondern auch in Stresssituationen konsequent eingehalten wird.
Was tatsächlich geschah
Die Rekonstruktion des Vorfalls durch investigative Recherchen ist erschreckend simpel. Ein Angreifer erlangte die Kontrolle über das E-Mail-Konto einer Behörde. Von diesem Konto aus schickte er Anfragen nach Kundendaten an das Fintech-Unternehmen, die als offizielle Auskunftsersuchen von Strafverfolgungsbehörden getarnt waren. Da die Nachrichten von einer legitimen Behörden-Domain stammten, passierten sie die technischen Kontrollen, die Identitätsfälschungen normalerweise erkennen würden. Anschließend durchliefen sie den regulären Unternehmensprozess für die Bearbeitung von Behörden- und Ermittlungsanfragen.
Das Unternehmen stufte die Anfragen als legitim ein und gab die Daten heraus. Später beschrieb es den Vorfall als externen Identitätsbetrug und nicht als Einbruch in die eigenen Systeme. Diese Darstellung hält einer genaueren Überprüfung stand: Es gibt keine öffentlichen Beweise für ein Eindringen in das Netzwerk, und das Unternehmen erklärte, dass Kundengelder sowie Kernsysteme zu keinem Zeitpunkt kompromittiert waren. Was tatsächlich geschah, war eine Verletzung des Schutzes personenbezogener Daten, und gemäß der Definition der DSGVO trifft dies zu, unabhängig davon, ob ein einzelner Server betroffen war. Die unbefugte Offenlegung gegenüber der falschen Partei ist die eigentliche Datenschutzverletzung.
Ein verifizierter Absender ist nicht dasselbe wie eine autorisierte Anfrage
Die beunruhigende Erkenntnis, die diesem Vorfall zugrunde liegt, ist eine, die die meisten Unternehmen noch nicht hinreichend berücksichtigt haben: Authentifizierung und Autorisierung sind zwei völlig verschiedene Dinge, doch die meisten Offenlegungsprozesse prüfen lediglich Ersteres.
SPF, DKIM und DMARC dienen im Grunde nur einem Zweck: Sie sollen beantworten, ob eine Nachricht tatsächlich von der vorgeblichen Domain stammt. Diese Aufgabe erfüllen sie zuverlässig. Sie treffen jedoch keinerlei Aussage darüber, ob der konkrete Absender überhaupt berechtigt war, diese spezielle Anfrage zu stellen, ob die angeführte Rechtsgrundlage tatsächlich zutrifft oder ob Art und Umfang der geforderten Daten einer legitimen Ermittlung entsprechen. Ein kompromittiertes Konto innerhalb einer echten Behörden-Domain besteht alle drei Prüfungen mühelos. Die Domain war echt, die Person dahinter war es in diesem Fall jedoch nicht.
Anfragen von Regierungs- und Strafverfolgungsbehörden genießen ein besonderes Maß an institutionellem Vertrauen, das diese Schwachstelle nicht verkleinert, sondern noch verschärft. Eine offiziell wirkende Anfrage wird in der Regel schneller bearbeitet und seltener hinterfragt, genau darauf setzt ein Angreifer.
Was Compliance-Teams noch mehr beunruhigen sollte als der Vorfall selbst
Wenn eine einzige betrügerische E-Mail durchrutscht, ist das bereits ein ernsthaftes Problem. Was sich hier Berichten zufolge abgespielt hat, hat jedoch eine andere Dimension: Dasselbe Muster von Anfragen setzte sich über einen längeren Zeitraum unentdeckt fort. Hier geht es nicht um eine E-Mail, die einen Filter überlistet hat. Es geht um einen Verifizierungsprozess, dem jeglicher Mechanismus fehlte, um eine gut authentifizierte Fälschung zu erkennen, selbst nachdem die Masche bereits mehrfach funktioniert hatte.
Die meisten Unternehmen können auf eine Richtlinie verweisen, die besagt, dass Behördenanfragen mit besonderer Sorgfalt zu behandeln sind. Weitaus weniger Unternehmen können jedoch belegen, dass diese Richtlinie auch einen spezifischen, obligatorischen Schritt vorschreibt, bevor Daten herausgegeben werden. Ein solches Vorgehen wäre etwa die Bestätigung der Anfrage über einen unabhängig ermittelten Kontaktkanal und eben nicht über den in der Anfrage selbst angegebenen Weg. Wenn ein solcher Schritt nicht schriftlich fixiert und in der Praxis strikt durchgesetzt wird, wird aus „mit besonderer Sorgfalt behandelt“ schleichend ein „wie jede andere Anfrage bearbeitet“. Niemand bemerkt dies, bis es bereits mehrfach passiert ist.
Was bestätigt ist und was bislang nur Behauptung bleibt
Zu einer verantwortungsvollen Berichterstattung über einen aktuellen Vorfall gehört es, ehrlich darzulegen, welche Details gesichert sind und welche noch nicht. Zum Zeitpunkt der Erstellung dieses Artikels gilt Folgendes:
Weitgehend gesichert: Ein Angreifer nutzte ein kompromittiertes E-Mail-Konto einer Behörde, um betrügerische Anfragen nach Kundendaten zu stellen. Das Unternehmen gab daraufhin Daten heraus in dem Glauben, die Anfragen seien rechtmäßig. Die unternehmenseigenen Systeme und Kundengelder wurden nicht kompromittiert. Die Behörden ermitteln.
Von den Medien berichtet, aber nicht offiziell bestätigt: Die genaue Anzahl der betroffenen Kunden sowie die Information, wessen Konto einer Regierungsbehörde kompromittiert wurde.
Ausschließlich vom Angreifer behauptet und von keiner offiziellen Stelle verifiziert: Das angebliche Gesamtvolumen der erbeuteten Daten, die angebliche Dauer der Kompromittierung des Behördenkontos sowie die Lösegeldforderung. Die Compliance- und Governance-Praxis ist in diesem Punkt eindeutig. Die eigenen Behauptungen eines Angreifers über sein Datenmaterial dienen lediglich als Druckmittel für den Erpressungsversuch. Sie gelten nicht als Beweis, solange sie nicht von unabhängiger Seite bestätigt wurden.
Was dies bedeutet, falls Ihr Unternehmen jemals eine Behördenanfrage erhält
Fast jedes regulierte Unternehmen aus den Bereichen Finanzdienstleistungen, Gesundheitswesen oder Telekommunikation verfügt über einen Prozess zur Beantwortung von Datenanfragen durch Behörden. Das Gesetz schreibt dies in der Regel vor. Dieser Vorfall wirft also nicht die Frage auf, ob Unternehmen überhaupt über einen solchen Prozess verfügen. Viel entscheidender ist die Frage, ob dieser Prozess eine verlässliche Prüfung für exakt dieses Szenario vorsieht: eine Anfrage, die auf den ersten Blick vollkommen rechtmäßig erscheint, es aber gar nicht ist.
Eine angemessene Kontrolle ist in diesem Fall spezifisch und nicht allgemein gehalten. Sie sollte in etwa wie folgt lauten: Bevor personenbezogene Daten als Antwort auf eine Anfrage von Behörden, Gerichten oder Strafverfolgungsbehörden offengelegt werden, sind die Identität und Befugnis des Anfragenden, die Rechtsgrundlage für die Anfrage sowie deren Umfang unabhängig zu überprüfen und zwar anhand von Kontaktdaten, die aus unabhängigen Quellen stammen, und nicht anhand der in der Anfrage selbst angegebenen Angaben. Umfangreiche oder ungewöhnliche Anfragen erfordern zudem eine obligatorische zweite Prüfung, bevor irgendwelche Daten weitergegeben werden.
Auf dem Papier klingt das absolut selbstverständlich. Der Grund, warum dies in der Praxis dennoch scheitert, ist simpel. Diese Vorgabe ist selten dort verankert, wo das zuständige Bearbeitungsteam sie im entscheidenden Moment auch tatsächlich sieht. Zudem wird ein solcher Prozess so gut wie nie anhand einer Anfrage getestet, die auf den ersten Blick vollkommen fehlerfrei und legitim wirkt.
Sehen Sie, wie ein solcher Prüfschritt in Ihr Compliance-Programm passt
Bringen Sie Ihren Ablauf für Auskunftsersuchen von staatlichen Stellen oder Strafverfolgungsbehörden mit, so informell er heute auch ist. Wir zeigen Ihnen lieber konkret, wie Sie die Prüfung strukturieren, als sie abstrakt zu beschreiben.
Wie Formalize Sie dabei unterstützt
Hierbei handelt es sich in erster Linie um ein Kontrollproblem und erst in zweiter Linie um eine technologische Herausforderung. Die Rolle von Formalize besteht darin, sicherzustellen, dass diese Kontrolle in Ihrem Unternehmen auch tatsächlich existiert und nicht nur in einem Richtliniendokument untergeht, das in einer Stresssituation ohnehin niemand öffnet. In der Praxis bedeutet das:
Eine dokumentierte Kontrolle für Datenherausgaben an Behörden und Strafverfolger. Diese ist direkt neben Ihren restlichen Kontrollen angesiedelt, verfügt über einen klar benannten Verantwortlichen und verschwindet nicht in einem separaten Richtlinienordner.
Verifizierungsschritte, die fest in den Workflow eingebaut sind. Dadurch wird eine Anfrage anhand vordefinierter Kriterien geprüft, bevor Daten offengelegt werden, und nicht erst im Nachhinein.
Eine Aufzeichnung darüber, wer eine Datenherausgabe genehmigt hat und warum. Wird eine Entscheidung später hinterfragt, liegt die Begründung bereits vor und muss nicht mühsam aus dem Gedächtnis rekonstruiert werden.
Dieselbe Kontrolle kann für verschiedene Frameworks wiederverwendet werden. Das Risiko einer unrechtmäßigen Datenherausgabe tangiert schließlich nicht nur die DSGVO, sondern überschneidet sich oft auch mit den Pflichten aus Regelwerken wie DORA oder ISO 27001.
Nichts davon ersetzt das menschliche Urteilsvermögen. Die Software stellt jedoch sicher, dass dieses Urteilsvermögen konsequent und bei jeder einzelnen Anfrage angewendet wird. Das gilt auch und gerade für den einen Fall, in dem es wirklich zählt.