Kein Spiel - mehr als 75 Millionen Nutzer des Sony Playstation Network ausgespäht (Update)

Kein Spiel, son­dern Rea­li­tät! (28.04.2011)

Sony könn­te Opfer eines der größ­ten Fäl­le von Daten­klau gewor­den sein! Dies berich­ten Live-Ticker, Online-Medi­en und Radio­sen­der heu­te mor­gen umfänglich.

Power off

Vor gut einer Woche zog der japa­ni­sche Elek­tronik­kon­zern Sony den Ste­cker des Play­sta­ti­on Net­works sowie des Video- und Musik­ser­vices Qrio­ci­ty. In den Nut­zer­fo­ren erklär­te sich Sony nun zu dem Vorfall.

Was war passiert?

Hacker haben sich Zugriff auf die Diens­te samt den dazu­ge­hö­ri­gen Daten ver­schafft — Daten von mehr als 75 Mil­lio­nen Nut­zern. Dabei han­delt es sich um Namen, Adres­sen, Log­in-Daten und — zur Zeit nicht aus­zu­schlies­sen — Kre­dit­kar­ten­da­ten. Ist letz­te­res der Fall so han­delt es sich um den größ­ten Finanz­da­ten­skan­dal aller Zeiten!

Ursa­chen­for­schung

Sony hat ein exter­nes Sicher­heits­un­ter­neh­men beauf­tragt, wie es zu die­sem Vor­fall kom­men konn­te. Zeit­gleich wer­den die Sys­te­me und Sicher­heits­me­cha­nis­men über­ar­bei­tet, um zukünf­ti­ge Daten­pan­nen und Daten­ver­lus­te zu verhindern.

Sony hat die Betrof­fe­nen nach eige­nen Anga­ben über den Vor­fall infor­miert. Der Kon­zern warnt: “Obwohl es der­zeit kei­ne Anzei­chen dafür gibt, dass auf Kre­dit­kar­ten-Infor­ma­tio­nen wider­recht­lich zuge­grif­fen wur­de, kön­nen wir die­se Mög­lich­keit nicht gänz­lich außer Betracht lassen.”

Laut einer Mel­dung des Han­dels­blatts könn­te der Scha­den für Sony nach Exper­ten­schät­zun­gen meh­re­re Mil­li­ar­den Dol­lar aus­ma­chen. Vom Image- und Ver­trau­ens­ver­lust sei­tens (poten­ti­el­ler) Kun­den ganz zu schwei­gen. Wie die SZ berich­tet, wird hin­ter dem Angriff ein Rache­akt vermutet.

Unmut

Vie­le Nut­zer der Diens­te sind zu Recht ver­stimmt. Erst wur­den die Ser­vices ohne Vor­war­nung abge­schal­tet, dann muss­te fast eine Woche auf eine Begrün­dung und Erklä­rung gewar­tet werden.

Gefah­ren­ab­wehr

Für Nut­zer der Sony Diens­te heisst es nun, regel­mä­ßig und zeit­nah Kre­dit­kar­ten- und Kon­to­aus­zü­ge auf Unre­gel­mä­ßig­kei­ten zu prü­fen. Sper­ren Sie Ihre für die Sony Diens­te genutz­te Kre­dit­kar­te schrift­lich unter Hin­weis auf die­se Daten­pan­ne und las­sen Sie sich eine Kar­te mit neu­er Num­mer aus­stel­len. Je nach wei­te­rem Ver­lauf kön­nen Sie mög­li­cher­wei­se die hier­für ent­stan­de­nen Kos­ten gegen den Kon­zern gel­tend machen — daher die Schriftform.

Eben­falls drin­gend zu emp­feh­len, ist der sofor­ti­ge Wech­sel des genutz­ten Pass­worts, sofern die­ses auch bei ande­ren Diens­ten oder Log­ins genutzt wurde.

Irr­glau­be

Eine sol­che Daten­pan­ne kann jedes Unter­neh­men tref­fen, egal ob klein oder groß, regio­nal oder welt­weit tätig. Daten­pan­nen wie die­se müs­sen nach dem Bun­des­da­ten­schutz­ge­setz gegen­über der Lan­des­da­ten­schutz­be­hör­de und den Betrof­fe­nen durch das Unter­neh­men ange­zeigt wer­den. Geld­bu­ße und Image­scha­den inklusive.

Abhil­fe

Kon­se­quen­ter Daten­schutz bie­tet kei­nen 100%-igen Schutz vor sol­chen Pan­nen. Mit enger Ver­knüp­fung von Daten­schutz, Daten­si­cher­heit und IT-Sicher­heit kann das Risi­ko jedoch mini­miert wer­den. Fra­gen Sie doch ein­fach Ihren Daten­schutz­be­auf­trag­ten! Sie haben kei­nen? Dann wird es Zeit — even­tu­ell liegt sogar eine gesetz­li­che Bestell­pflicht vor, deren Nicht­ein­hal­tung Ihr Unter­neh­men bereits jetzt schon einem Buß­geld­ri­si­ko aus­setzt. Spre­chen Sie mich an:

• Schnell­kon­takt
• Anfor­de­rung Infomaterial
• Ange­bot und Kos­ten eDSB

Wei­te­re Infor­ma­tio­nen zu die­sem Vor­fall lesen Sie auch bei daten​schutz​be​auf​trag​ter​-info​.de

Update vom 02.05.2011

Die Daten­pan­ne des Elek­tronik­rie­sen Sony heizt die Debat­te um das The­ma Daten­schutz wei­ter an. So for­dert Thi­lo Wei­chert, Lei­ter des Daten­schutz­zen­trums Schles­wig-Hol­stein (ULD) die Ein­rich­tung natio­nal ver­ant­wort­li­cher Stel­len von inter­na­tio­na­len Kon­zer­nen für sol­che Vor­fäl­le. Es gin­ge nicht an, daß es zwar deut­sche Ver­triebs­ge­sell­schaf­ten gibt, die recht­lich Ver­ant­wort­li­chen sol­cher Kon­zer­ne jedoch im Aus­land für Ver­stö­ße gegen das deut­sche Bun­des­da­ten­schutz­ge­setz (BDSG) nicht haft­bar gemacht wer­den kön­nen. “Nur so las­sen sich Ver­säum­nis­se kon­se­quent sank­tio­nie­ren und Buß­gel­der auch vollstrecken.”

Die FDP sieht die aktu­el­len Vor­fäl­le als wei­te­re Argu­men­te pro Stif­tung Daten­schutz. Die­se soll durch ihre Arbeit Bür­ger und Unter­neh­men für das The­ma Daten­schutz sensibilisieren.

stern​.de berich­tet, daß Sony ohne den ent­spre­chen­den Fir­men­sitz in Deutsch­land auch jetzt bereits in der Haf­tung stün­de. Sol­che Haf­tungs­fra­gen sei­en bereits durch das Bür­ger­li­che Gesetz­buch (BGB) gere­gelt, so die zitier­ten Rechts­exper­ten. Der Bun­des­be­auf­trag­te für Daten­schutz Peter Schaar sieht jedoch den Nach­weis für Betrof­fe­ne als schwer zu erbrin­gen an. Dem ARD Mor­gen­ma­ga­zin sagt er, es wäre schwer den Nach­weis zu erbrin­gen, daß unrecht­mä­ßi­ge Bewe­gun­gen auf Kre­dit­kar­ten- und Bank­kon­ten auf die Daten­pan­ne von Sony zurück­zu­füh­ren seien.

Sony bie­tet der­weil ers­te Ent­schä­di­gun­gen in Form von kos­ten­frei­er Nut­zung von Pre­mi­um-Ser­vices für die Dau­er von 30 Tagen an.

Update vom 04.05.2011

Die Daten­pan­ne bei Sony ist noch grö­ßer als bis­her ange­nom­men. Wie ver­mel­det wird, wur­de zusätz­lich der Dienst Sony Online Enter­tain­ment SOE Opfer des Daten­klaus. Betrof­fen sind ca. 25 Mil­lio­nen Nut­zer, deren Kre­dit­kar­ten­da­ten, Pass­wör­ter, Namen und Adres­sen, Email-Adres­sen, Geburts­da­ten, Anga­ben über das Geschlecht und Tele­fon­num­mern sowie die Bank­da­ten SONY ent­wen­det wur­den. Die Daten sol­len zwar aus einer Daten­bank von 2007 stam­men und auch nur ca. 10.700 Kun­den in Deutsch­land, Öster­reich, Spa­ni­en und den Nie­der­lan­den betrof­fen sein, ein Trost ist dies für die betrof­fe­nen Kun­den jedoch nicht.

Der­weil for­dert der Ver­ein “Digi­ta­le Gesell­schaft”, dass die Beweis­last bei Daten­lecks umge­kehrt wer­den müs­se: “Wer ein Daten­leck ver­ur­sacht, muss bewei­sen, dass es nicht sein Leck war das zu Miss­brauch geführt hat.”