Zum Inhalt springen

Diebstahl

Daten­pan­ne bei Necker­mann: 1,2 Mil­lio­nen Gewinn­spiel­teil­neh­mer betroffen

1,2 Mil­lio­nen Daten­sät­ze gehackt

Laut eige­ner Pres­se­mit­tei­lung vom 31.05.2011 wur­de die necker​mann​.de GmbH Opfer eines Hacker­an­griffs. Am 26.05.2011 nah­men Hacker Zugriff auf die IT-Sys­te­me und ent­wen­de­ten die Daten von 1,2 Mil­lio­nen Gewinn­spiel­teil­neh­mern. Adress- und Zah­lungs­da­ten gin­gen kei­ne ver­lo­ren. Betrof­fen sind laut Necker­mann ledig­lich Vor­na­me, Name und Email-Adres­sen — vor­wie­gend aus Deutsch­land. Atta­ckiert wur­de ein Neben­sys­tem, nicht der eigent­li­che Online-Shop.

Der Neben­ein­gang

Glück im Unglück. Schnell ist der Zugriff über Neben­sys­te­me auch auf rele­van­te Haupt­sys­te­me mög­lich, sofern in den Siche­rungs­me­cha­nis­men über­haupt unter­schie­den wird.

Kri­sen­ma­nage­ment

Necker­mann hat nach Bekannt­wer­den Anzei­ge gegen Unbe­kannt erstat­tet und die Sys­tem­si­cher­heit wie­der her­ge­stellt. Die betrof­fe­nen Teil­neh­mer sei­en über den Angriff infor­miert und es stün­de nun eine kos­ten­freie Hot­line unter 0800 /​ 664 69 87 für Rück­fra­gen zur Verfügung.

Obwohl nach eige­ner und exter­ner Ein­schät­zung kei­ne mel­de­pflich­ti­ge Daten­pan­ne vor­lie­ge, habe man den­noch die Lan­des­da­ten­schutz­be­hör­de über den Vor­fall informiert.

Im Gegen­satz zu ande­ren Pan­nen­kan­di­da­ten der jüngs­ten Zeit — wie z.B. Sony — hat hier ein Unter­neh­men gemerkt, daß Offen­heit in Ver­bin­dung mit einem funk­ti­ons­fä­hi­gen Kri­sen­ma­nage­ment die bes­se­re Ver­fah­rens­wei­se dar­stel­len. Dau­men hoch, trotz Panne.

Der Trug­schluss — Unse­re Sys­te­me sind sicher

Die aktu­el­len Vor­fäl­le zei­gen klar auf: das Risi­ko steigt immens durch immer höhe­ren Ein­satz von IT-Sys­te­men und deren welt­wei­te Ver­net­zung Opfer eines Angriffs zu wer­den. Wer sich in Sicher­heit wiegt, ist auf dem Holz­weg. Hin­ter jedem IT-Sys­tem ste­hen Men­schen — in der Admi­nis­tra­ti­on und in der Pro­gram­mie­rung -, und Men­schen machen Fehler.

Abhil­fe

Vor­beu­gen ist bes­ser als hin­ter­her die Scher­ben einer Daten­pan­ne zusam­men­zu­keh­ren. Nicht jedes Unter­neh­men hat eine Markt­po­si­ti­on, um die Nega­tiv­pres­se samt Image­scha­den einer Daten­pan­ne zu über­ste­hen. Kon­se­quen­te Aus­ge­stal­tung der IT-Sys­te­me nach den IT-Grund­schutz­ka­ta­lo­gen des BSI und ein akti­ves Daten­schutz­ma­nage­ment in Zusam­men­ar­beit mit dem Daten­schutz­be­auf­trag­ten kön­nen Pan­nen nicht ver­hin­dern, aber die Wahr­schein­lich­keit deut­lich reduzieren.

Sie haben kei­nen Daten­schutz­be­auf­trag­ten? Dann wird es viel­leicht höchs­te Zeit. Liegt eine gesetz­li­che Bestell­pflicht vor, set­zen Sie Ihr Unter­neh­men auch ganz ohne Daten­pan­ne schon einem Buß­geld­ri­si­ko aus. Spre­chen Sie mich an.

Behör­de zu leicht­sin­nig — Daten­klau in Land­rats­amt Bad Hersfeld

Guckst Du …

Da staun­ten die Mit­ar­bei­ter des Bad Hers­fel­der Land­rat­amts nicht schlecht, als sie am 01.02.2011 zur Arbeit erschie­nen. Kein Inter­net, kei­ne Emails, kein Dru­cken. Die Bild­schir­me der Kfz-Zulas­sungs­stel­le blie­ben schwarz, die Geld­au­to­ma­ten der Sozi­al­kas­se out of order.

Der Feh­ler steckt im Detail …

Wobei besag­tes Detail sich dann doch als etwas grö­ßer her­aus­stell­te — es fehl­ten 10 der 20 Ser­ver im Rech­ner­raum. Ein­bruch, jedoch wur­den kei­ne wei­te­ren Ver­mö­gens­wer­te ver­misst. Das ser­ver­sei­ti­ge Alarm­sys­tem war wenig durch­dacht. Es lös­te ledig­lich Email-Alarm im inter­nen Netz aus. Da nachts jedoch kein Mit­ar­bei­ter vor dem Bild­schirm weilt, lief der Alarm ins Lee­re. Die Die­be schul­ter­ten also gleich Ser­ver samt Alarm­sys­tem und zogen unge­stört von dannen.

Wir haben es ja schon immer gewußt …

Pein­lich: die ermit­teln­de Kri­mi­nal­po­li­zei wuss­te um die unge­nü­gen­den Sicher­heits­maß­nah­men und hat die Behör­de in der Ver­gan­gen­heit mehr­mals auf das Risi­ko hin­ge­wie­sen. Was ist pas­siert? Nichts. Nach wie vor bestand die Siche­rung des Ser­ver­raums aus Holz­tü­ren mit ein­fa­chen Schlössern.

Ja aber …

Was ging neben der Hard­ware ver­lo­ren? Ein Quer­schnitt an Daten, die in einem Land­rats­amt anfal­len. Die Behör­de ver­such­te zu beschwich­ti­gen, die per­so­nen­be­zo­ge­nen Daten und Vor­gän­ge auf den Ser­vern sei­en alle verschlüsselt.

Aus­sit­zen …

Wie sicher die Schlüs­sel waren, wel­che Daten nun genau ver­lo­ren gin­gen und wel­cher finan­zi­el­le Scha­den durch den Ein­bruch dem Steu­er­zah­ler ent­stan­den sei, woll­te die ct in einem Inter­view erfah­ren. Die Behör­de ver­wei­ger­te die Auskunft.

Und nun …

Bleibt nur die Emp­feh­lung, beson­ders an die Ver­ant­wort­li­chen des Bad Hers­fel­der Land­rat­amts, aber auch an jeden für die IT-Sicher­heit Ver­ant­wort­li­chen in Unter­neh­men sich aktiv mit dem sog. BSI Grund­schutz-Kata­log aus­ein­an­der­zu­set­zen. Die­ser hält zahl­rei­che Prüf- und Schutz­maß­nah­men zur Abwehr sol­cher Vor­fäl­le parat.

Die mobile Version verlassen