Kapitel 102: Datenlecks und der Schutz der digitalen Identität — Die von innen geöffnete Festung

In der alten Welt mussten Sie sich anstrengen, wenn Sie die Identität einer Person stehlen wollten. Sie mussten in deren Haus einbrechen, in den Schubladen wühlen, den physischen Personalausweis finden oder vielleicht an einem regnerischen Morgen deren Post abfangen. Heute ist unsere Identität kein Plastikstück in der Gesäßtasche unserer Brieftasche. Sie ist ein unendliches Mosaik aus digitalen Fragmenten, die auf verschiedenen Servern rund um den Globus verteilt sind: die Telefonnummer auf der Shopping-Seite, die Wohnadresse in der Liefer-App, die Kreditkartendaten auf der Hotel-Website und unsere Konsumgewohnheiten in den sozialen Netzwerken. Jedes dieser Fragmente ist eine Tür, und jede dieser Türen kann geöffnet werden.

Datenlecks sind kein seltenes Ereignis mehr, das nur „anderen“ passiert. Sie sind zum Herzschlag des digitalen Zeitalters geworden. Jedes Mal, wenn ein großes oder kleines Unternehmen gehackt wird, fließt ein Teil unseres Wesens nach außen ins Dark Web, den Schwarzmarkt für Daten. In diesem Kapitel, das auf langjähriger Berufserfahrung basiert, tauchen wir in die Tiefe der Bedeutung des Kontrollverlusts über persönliche Daten ein, verstehen, wie aus einem kleinen Leck ein Schneeball werden kann, und untersuchen die rechtlichen und technologischen Instrumente, die uns zur Verfügung stehen könnten, wenn unsere digitalen Mauern anfangen einzustürzen.

Der lange Schatten der Daten: Wenn Sie zum Ziel werden

Der häufigste Irrtum ist der Gedanke: „Ich habe nichts zu verbergen.“ Aber bei Betrug geht es nicht um Staatsgeheimnisse; es geht um Zugänglichkeit. Ein Datenleck ist nicht nur die Offenlegung eines Passworts. Es ist die Offenlegung des Kontextes Ihres Lebens. Wenn ein Angreifer weiß, wo Ihre Kinder zur Schule gehen (durch einen Hack des städtischen Systems), welche Art von Auto Sie fahren (durch einen Hack der Werkstattdatenbank) und wie Ihre Identitätsnummer lautet (durch einen Hack der Versicherungsseite), braucht er keinen Schlüssel für Ihr Haus. Er kann sich einfach als Sie ausgeben.

Unsere digitale Identität ist ein wertvolles Gut, aber sie ist auch verletzlich. Im Gegensatz zu einer Kreditkarte, die man sperren kann, lassen sich die Identitätsnummer oder das Geburtsdatum nicht austauschen. Sobald diese Informationen durchgesickert sind, könnten sie dauerhaft in der Welt bleiben. Das rechtliche und technologische Spiel ändert sich hier: Manchmal geht es nicht nur darum, Möglichkeiten zur Geldrückgewinnung zu prüfen, sondern darum, die Kontrolle über die persönlichen Daten zurückzugewinnen.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Personen und Ereignisse dienen nur der Veranschaulichung.

Alons Geschichte: Wenn die persönliche Festung zur Falle wird

Alon war ein Architekt in seinen Vierzigern, ein Mann, der sich selbst als technisch versiert betrachtete. Er nutzte die Zwei-Faktor-Authentifizierung (MFA) bei seiner Bank, änderte gelegentlich seine Passwörter und klickte niemals auf verdächtige Links in SMS-Nachrichten. Doch in diesem lehrreichen Szenario kam die Gefahr nicht von der Front, sondern durch die Hintertür – von einem Ereignis, das drei Jahre zuvor stattgefunden hatte.

Alles begann an einem gewöhnlichen Dienstag. Alon saß in seinem Büro, als sein Telefon vibrierte. Eine E-Mail vom „Kundenservice von Apple“ teilte ihm mit, dass ein iPhone-Kauf in Madrid getätigt wurde. Alon hielt dies für einen Phishing-Versuch und öffnete die E-Mail nicht.

Eine Stunde später hatte sein Telefon keinen Empfang mehr. Zehn Minuten später erhielt er eine weitere E-Mail an seine sekundäre E-Mail-Adresse: „Ihr Bankpasswort wurde erfolgreich geändert.“

Alon versuchte, sich in die App der Bank einzuloggen, aber der Zugriff wurde verweigert. Er versuchte, den Kundendienst anzurufen, aber das Telefon hatte immer noch keinen Empfang. Er wandte sich von einem Festnetztelefon an die Sicherheitszentrale der Bank. Die Mitarbeiterin bat ihn, seine Identität anhand seiner Identitätsnummer, seines Geburtsdatums und des Mädchennamens seiner Mutter zu bestätigen – Details, die Alon angab. „Ich sehe hier, dass vor zehn Minuten eine Überweisung eines erheblichen Betrags auf ein ausländisches Konto getätigt wurde“, sagte sie ihm. „Der Vorgang wurde mit dem SMS-Code bestätigt, der an Sie gesendet wurde.“ Alon erkannte, dass er keine SMS erhalten hatte, weil sein Telefon deaktiviert war.

In diesem Szenario stellte sich heraus, dass drei Jahre zuvor eine Buchungs-Website, bei der er einmal eingekauft hatte, ein Datenleck hatte. Das Leck enthielt seinen Namen, seine Telefonnummer, seine E-Mail-Adresse und die Antwort auf die Sicherheitsfrage (den Mädchennamen seiner Mutter). Die Angreifer verknüpften die Informationen mit einem anderen, größeren Leck, das seine Identitätsnummer enthielt.

Mit diesen Informationen rief der Angreifer das Mobilfunkunternehmen an, gab sich als Alon aus und bat um die Aktivierung einer neuen SIM-Karte mit der Behauptung, die vorherige sei gestohlen worden. Das Mobilfunkunternehmen deaktivierte, nachdem es einen auf den durchgesickerten Daten basierenden Identifizierungsprozess durchgeführt hatte, Alons Karte und aktivierte die Karte des Angreifers. Dies ist ein „SIM Swapping“-Betrug.

Von diesem Moment an kontrollierte der Angreifer die Telefonleitung, bat die Bank um eine „Passwortwiederherstellung“, erhielt den SMS-Code auf dem Telefon, das er in der Hand hielt, und verschaffte sich Zugang zum Konto. Alons Festung wurde nicht wegen eines kurzzeitigen Fehlers seinerseits durchbrochen, sondern weil seine persönlichen Daten für Dritte zugänglich geworden waren.

Analyse des Versäumnisses: Wie aus einem Datenleck eine Waffe wird

Der beschriebene Fall demonstriert die Transformation eines Datenlecks von einer Verletzung der Privatsphäre zu einem aktiven Betrug. Im Kern dieses Phänomens steht ein Begriff, der als datenbasiertes Social Engineering definiert werden kann. Die Angreifer nutzen verifizierte Informationen, um Autorität gegenüber Service-Centern und gegenüber dem Opfer zu erzeugen.

In Israel legt das Gesetz zum Schutz der Privatsphäre (Datenschutzgesetz), 1981, klare Pflichten für die Inhaber von Datenbanken fest. Artikel 17 des Gesetzes bestimmt die Verantwortung für die Sicherheit der in der Datenbank enthaltenen Daten. Wenn Daten durchsickern, stellt sich die rechtliche Frage, ob die Stelle, die die Daten verwaltet, angemessene Maßnahmen zur Sicherung getroffen hat. In einigen Fällen kann sich daraus eine deliktische Haftung gegenüber den Geschädigten ergeben.

Die Beweisführung für den Kausalzusammenhang stellt jedoch eine rechtliche Herausforderung dar. In Szenarien von Datenlecks muss geprüft werden, ob der Schaden direkt aus diesem spezifischen Leck resultierte, insbesondere in einer Welt, in der Daten aus mehreren Quellen durchsickern können. Dies ist ein komplexes rechtliches Thema, das eine detaillierte Prüfung der Umstände des Falls erfordert.

Darüber hinaus ist der Aspekt der Verantwortung des Finanzinstituts und des Kommunikationsunternehmens zu prüfen. In ähnlichen Szenarien wird das von diesen Unternehmen erforderliche Maß an Fachwissen und Sorgfalt bei der Durchführung von Identifizierungsverfahren untersucht, insbesondere in einer Ära, in der traditionelle Identifizierungsdaten nicht mehr als absolut vertraulich gelten.

Die Anatomie eines Lecks: Der Pfad der Daten

Wenn eine Datenbank gehackt wird, durchläuft sie meist einen Verarbeitungsprozess:

• Der ursprüngliche Einbruch: Ausnutzung einer technischen Schwachstelle und Abgreifen von Daten.
• Handel mit Daten: Die Datenbank wird möglicherweise an Zwischenhändler in spezialisierten Foren verkauft.
• Aggregation: Kombination verschiedener Datenbanken zur Erstellung eines vollständigen Profils über das Opfer.
• Gezielte Nutzung: Die Informationen werden zur Durchführung spezifischer Betrügereien wie Bankenbetrug oder Identitätsdiebstahl verwendet.

Das Recht auf Privatsphäre gegenüber der Sicherheitspflicht: Der rechtliche Aspekt

In Israel existieren neben der Aufsicht durch die Datenschutzbehörde mehrere rechtliche Anker zur Prüfung dieser Fälle:

1. Datenschutzgesetz und Datensicherheitsverordnungen

Die Datenschutzverordnungen (Datensicherheit) von 2017 legen Standards dafür fest, wie Unternehmen Daten schützen müssen. Die Nichteinhaltung dieser Vorschriften kann eine Grundlage für die Behauptung von Fahrlässigkeit oder Verletzung einer gesetzlichen Pflicht bilden, was es ermöglicht, Forderungen auf Entschädigung für die Verletzung der Privatsphäre und Folgeschäden zu prüfen.

2. Gesetz über Zahlungsdienste, 2019

Dieses Gesetz regelt die Haftung im Falle eines „Missbrauchs“ von Zahlungsmitteln. Im Falle einer Transaktion, die nicht vom Kunden autorisiert wurde, kann die Rückerstattungspflicht des Finanzinstituts geprüft werden, sofern keine im Gesetz aufgeführten außergewöhnlichen Umstände vorliegen. Die rechtliche Analyse konzentriert sich auf die Frage, ob der Kunde auf eine Weise gehandelt hat, die ihn haftbar macht, oder ob er lediglich ein Opfer von Betrug blieb.

3. Möglichkeit von Sammelklagen

In Fällen massiver Datenlecks kann der Weg der Sammelklage geprüft werden. Im Laufe der Jahre wurden verschiedene Vergleichsvereinbarungen in solchen Klagen geschlossen, deren Bedeutung in der Schaffung einer abschreckenden Wirkung und der Förderung höherer Datensicherheitsstandards auf dem Markt liegt.

Schutz der digitalen Identität: Die neue Festung

Aus der Analyse zahlreicher Fälle ergibt sich, dass empfohlen wird, das Konzept des Schutzes von „passiv“ auf „aktives Identitätsmanagement“ umzustellen:

Passwortmanagement und intelligente Multi-Faktor-Authentifizierung

Es kann geprüft werden, ob Authentifizierungs-Apps oder physische Sicherheitsschlüssel verwendet werden, die sich nicht auf einen SMS-Code stützen und somit das Risiko durch SIM-Swapping-Betrug verringern können.

Aktive Überwachung von Lecks

Es gibt Dienste, mit denen überprüft werden kann, ob Kontaktdaten in bekannten Lecks aufgetaucht sind. Das Bewusstsein für ein Leck ermöglicht es, vorbeugende Maßnahmen zu ergreifen, wie die Verwendung eindeutiger Passwörter für jeden Dienst und Wachsamkeit bei verdächtigen Nachrichten.

Warnsignale (Red Flags)

Identitätsdiebstahl kann mit subtilen Hinweisen beginnen:

• Unerklärliche Bestätigungsnachrichten: Erhalt eines Codes zur Passwortänderung, der nicht angefordert wurde.
• Veränderungen bei der Geräteleistung: Plötzlicher Verlust des Empfangs ohne technische Erklärung.
• Warnungen über Logins von einem neuen Gerät: Nachrichten von E-Mail-Konten oder sozialen Netzwerken über einen unbekannten Zugriff.
• Kleine und unbekannte Abbuchungen: Transaktionen in unbedeutenden Beträgen, die einen „Pulscheck“ des Zahlungsmittels darstellen könnten.

Was ist zu tun (Action Plan)

Bei Verdacht auf ein Datenleck oder Identitätsdiebstahl können folgende Schritte in Erwägung gezogen werden:

1. Kontaktaufnahme mit Finanzinstituten: Prüfung der Möglichkeit, Konten einzufrieren oder Zahlungsmittel zu ersetzen, unter Forderung einer verstärkten Identifizierung.
2. Aktualisierung der Hauptpasswörter: Änderung der Passwörter für die primären E-Mail-Konten, die mit anderen Diensten verknüpft sind.
3. Meldung bei den Behörden: Eine Anzeige bei der Polizei kann ein wichtiges Dokument für den zukünftigen Umgang mit verschiedenen Institutionen sein.
4. Überprüfung von Kreditdaten: Kontaktaufnahme mit Kreditauskunfteien, um die Eröffnung neuer Akten oder Kredite zu prüfen.
5. Warnung an Kontakte: Information Ihres engen Umfelds, um zu verhindern, dass Ihre Identität für den Betrug an anderen genutzt wird.

Rechtlicher Aspekt: Zusammenfassung der Möglichkeiten und Rechte

Auf rechtlicher Ebene können folgende Möglichkeiten geprüft werden:

Gegen die Stelle, von der die Daten durchsickerten: Es können Klagegründe aufgrund des Datenschutzgesetzes und der Schadensersatzverordnung geprüft werden, wobei sowohl finanzielle als auch nicht-finanzielle Schäden berücksichtigt werden.

Gegen das Finanzinstitut: Prüfung der Haftung gemäß dem Gesetz über Zahlungsdienste. Grundsätzlich liegt die Beweislast für grobe Fahrlässigkeit des Kunden beim Finanzinstitut.

Gegen Kommunikationsunternehmen: In einigen Fällen kann die Angemessenheit der Identifizierungsverfahren, die von Servicemitarbeitern durchgeführt wurden, geprüft werden.

Zusammenfassend lässt sich sagen, dass Datenlecks eine Realität im digitalen Zeitalter sind, aber es gibt Möglichkeiten, damit umzugehen. Eine Kombination aus Wachsamkeit, schneller Reaktion und der Prüfung der rechtlichen Ansprüche kann dazu beitragen, die digitale Identität und das persönliche Eigentum zu schützen.