Behauptete Datenlecks bei Deloitte & Co.: Was KMU jetzt tun
Was gemeldet wurde und was wir daraus (noch) nicht ableiten können
Beginnen wir mit dem, was nach den vorliegenden Informationen feststeht. Laut heise Security behauptet eine Cybergang, bei vier Unternehmen Daten kopiert zu haben: Confluent, Deloitte, KFC und MoneyGram. Zusätzlich hat die Gruppe Daten von Air Canada und FTAPI veröffentlicht. Mehr geben die verfügbaren Angaben nicht her, und genau deshalb lohnt es sich, sauber zwischen zwei Dingen zu trennen.
Das Erste ist die Behauptung. Kriminelle haben ein Interesse daran, möglichst große Namen zu nennen. Eine lange Liste bekannter Marken erzeugt Aufmerksamkeit, setzt die Betroffenen unter Druck und erhöht den Preis, den man später verlangen kann. Bei den vier erstgenannten Firmen ist daher zunächst nur gesichert, dass jemand behauptet, Daten zu besitzen. Ob und in welchem Umfang das zutrifft, müssen die Unternehmen selbst prüfen und gegebenenfalls bestätigen oder dementieren.
Das Zweite ist die Veröffentlichung. Bei Air Canada und FTAPI sind laut Meldung Daten tatsächlich öffentlich gemacht worden. Das ist eine andere Qualität, denn hier liegt etwas auf dem Tisch, das sich prüfen lässt. Was genau in diesen Datensätzen steckt, wie aktuell sie sind und wen sie betreffen, lässt sich aus der Zusammenfassung nicht beantworten. Wir spekulieren deshalb nicht über Inhalte oder Mengen.
Warum schreiben wir trotzdem einen ausführlichen Beitrag über eine Meldung, deren Details so dünn sind? Weil das Muster wichtiger ist als der Einzelfall. Es geht um bekannte Unternehmen aus völlig unterschiedlichen Branchen: Beratung, Schnellgastronomie, Zahlungsverkehr, Luftfahrt, Software. Das Gemeinsame ist nicht die Branche. Das Gemeinsame ist, dass all diese Firmen Daten von Kunden, Partnern und Mitarbeitenden verarbeiten und dafür selbst auf eine Vielzahl von Dienstleistern angewiesen sind. Genau diese Konstellation haben Sie als Mittelständler auch, nur in kleinerem Maßstab.
Behauptung ist nicht Beweis: der richtige Umgang mit Leak-Meldungen
In unserer Beratung erleben wir bei solchen Meldungen zwei gegensätzliche Reaktionen. Die einen winken ab: „Das sind Weltkonzerne, mit uns hat das nichts zu tun." Die anderen geraten in Alarmstimmung und wollen sofort alle Zugänge sperren, ohne zu wissen, wogegen sie sich eigentlich schützen. Beides hilft nicht weiter.
Ein vernünftiger Umgang beginnt mit einer einfachen Frage: Nutzen wir einen der genannten Anbieter oder ist einer unserer Dienstleister mit ihnen verbunden? Das klingt banal, aber viele Firmen können diese Frage nicht in fünf Minuten beantworten, weil niemand eine vollständige Liste der eingesetzten Dienste führt. Wer nicht weiß, welche Software, welche Cloud-Dienste und welche externen Partner Zugriff auf Firmendaten haben, kann auch keine Betroffenheit einschätzen. Das ist die eigentliche Schwachstelle, und sie hat mit den konkreten Angreifern nichts zu tun.
Wenn Sie einen der genannten Namen als Dienstleister, Lieferanten oder Kunden führen, gilt: Fragen Sie aktiv nach. Schreiben Sie Ihren Ansprechpartner an, bitten Sie um eine Stellungnahme, ob Ihre Daten betroffen sein könnten, und halten Sie fest, wann Sie gefragt und was Sie geantwortet bekommen haben. Diese Dokumentation ist später Gold wert, falls die Aufsichtsbehörde oder ein Kunde nachfragt. Wer nichts unternimmt, kann im Ernstfall nicht belegen, dass er sorgfältig gehandelt hat.
Auch intern sollten Sie ruhig bleiben, aber konsequent. Aktuelle Meldungen sind ein guter Anlass, Passwörter und Zugänge zu den betroffenen Diensten zu überprüfen, Mehrfaktor-Anmeldung zu erzwingen und zu schauen, ob Zugangsdaten irgendwo mehrfach verwendet werden. Das ist keine Panikmaßnahme, sondern Hygiene, die ohnehin fällig ist.
Das eigentliche Thema: Ihre Sicherheit hängt an der Ihrer Dienstleister
Die Aufzählung in der Meldung ist aufschlussreich, weil sie so bunt ist. Ein Anbieter, der Software für Datenströme baut, eine Beratungsgesellschaft, eine Restaurantkette, ein Zahlungsdienstleister und eine Fluggesellschaft haben auf den ersten Blick wenig miteinander zu tun. Für Angreifer sind sie alle dasselbe: Organisationen, die große Mengen an Daten halten und deren Abfluss sich in Geld oder Druck umwandeln lässt.
Für den Mittelstand folgt daraus eine unbequeme Wahrheit. Sie können Ihre eigene IT noch so sorgfältig absichern: Sobald Kundendaten, Personalunterlagen oder Vertragsdokumente bei einem Dritten liegen, hängt ein Teil Ihrer Sicherheit an dessen Schutzmaßnahmen. Das betrifft ganz alltägliche Dinge:
- die Buchhaltung, die ein externer Steuerberater oder ein Cloud-Programm führt,
- die Lohnabrechnung bei einem Dienstleister,
- das Warenwirtschaftssystem und der Onlineshop, die oft von verschiedenen Anbietern stammen,
- der Dienstleister für Fernwartung und Support, der teils weitreichende Zugriffe hat,
- das Hosting der Website und der E-Mail-Postfächer,
- Tools für Terminbuchung, Newsletter, Kundenverwaltung und Ticketsysteme.
In jedem dieser Fälle gibt es eine Kette: Ihre Daten gehen zum Dienstleister, der wiederum Unterauftragnehmer einsetzt. Rechtlich bleiben Sie in der Regel der Verantwortliche im Sinne der DSGVO, auch wenn der Fehler beim Dienstleister passiert. Die Verantwortung lässt sich also nicht einfach weiterreichen, auch wenn die Technik bei jemand anderem läuft.
Hinzu kommt ein Effekt, den man leicht unterschätzt: Wenn ein großer Dienstleister betroffen ist, sind meist viele seiner Kunden gleichzeitig betroffen. Ein einzelner Vorfall kann so Hunderte kleinerer Firmen treffen, die davon zunächst gar nichts mitbekommen. Sie erfahren es dann aus der Presse, vom Dienstleister, im ungünstigen Fall von einem Kunden oder von Kriminellen, die sich direkt melden.
Auch regulatorisch rückt das Thema näher. Wer als Zulieferer für größere oder regulierte Unternehmen arbeitet, bekommt zunehmend Fragebögen und vertragliche Pflichten zur Informationssicherheit. Was dahinter steckt und wen es betrifft, haben wir auf unserer Seite zu NIS2 & IT-Sicherheit für kleine und mittlere Unternehmen aufbereitet. Selbst wenn Sie formal nicht unter die Regeln fallen, werden Ihre Kunden Nachweise verlangen, weil sie ihre eigene Lieferkette absichern müssen.
Wie Sie Drittanbieter prüfen, ohne ein Großprojekt daraus zu machen
Viele Mittelständler winken bei „Lieferantenprüfung" ab, weil sie an Auditberichte, Zertifizierungen und wochenlange Fragebogenrunden denken. Das ist für die meisten Betriebe weder nötig noch leistbar. Ein pragmatischer Ansatz reicht oft aus und bringt bereits den größten Teil des Nutzens.
Schritt 1: Inventar erstellen. Legen Sie eine einfache Tabelle an. Spalten: Name des Dienstes, wofür er genutzt wird, welche Art von Daten dort liegt (Kunden, Mitarbeitende, Finanzen, Technik), wer intern verantwortlich ist, wo der Anbieter sitzt und ob ein Auftragsverarbeitungsvertrag vorliegt. Schon diese Liste deckt erfahrungsgemäß Überraschungen auf: vergessene Testzugänge, Tools, die eine Abteilung auf eigene Faust abgeschlossen hat, Dienste ohne Vertrag.
Schritt 2: Nach Kritikalität sortieren. Nicht jeder Anbieter ist gleich wichtig. Fragen Sie für jeden Dienst: Was passiert, wenn dort alle Daten abfließen? Was passiert, wenn der Dienst eine Woche ausfällt? Konzentrieren Sie sich auf die obersten fünf bis zehn Anbieter. Der Rest bekommt eine einfachere Behandlung.
Schritt 3: Wenige, aber klare Fragen stellen. Für kritische Anbieter reichen meist diese Punkte:
- Wo werden die Daten gespeichert und wer hat darauf Zugriff?
- Sind die Daten verschlüsselt, bei der Übertragung und bei der Ablage?
- Ist eine Mehrfaktor-Anmeldung für Ihre Konten möglich und erzwingbar?
- Welche Unterauftragnehmer werden eingesetzt?
- Wie und in welcher Frist werden Sie bei einem Sicherheitsvorfall informiert?
- Gibt es regelmäßige, nachweisbare Sicherheitsprüfungen, und was passiert mit Ihren Daten, wenn Sie den Vertrag beenden?
Besonders die Frage nach der Benachrichtigung bei Vorfällen wird zu selten gestellt. Wenn Ihr Dienstleister Sie erst nach Wochen informiert, laufen Ihnen bei der DSGVO-Meldung bereits die Fristen davon. Lassen Sie sich eine Informationszusage möglichst im Vertrag oder im Auftragsverarbeitungsvertrag festschreiben.
Schritt 4: Zugriffe begrenzen. Ein oft übersehener Hebel: Geben Sie Dienstleistern nur so viele Rechte, wie sie brauchen, und nur so lange, wie sie sie brauchen. Ein Supportzugang, der dauerhaft offen steht, ist ein Einfallstor. Wer Fernzugriff gewährt, sollte ihn protokollieren und befristen. Wie das sauber funktioniert, beschreiben wir bei unserem Thema Fernwartung in Grundzügen, in der Praxis ist es meist eine Frage von Regeln und Disziplin, nicht von teurer Technik.
Schritt 5: Ausstiegsplan und eigene Kopien. Wer sich von einem Anbieter abhängig macht, sollte wissen, wie er seine Daten wieder herausbekommt, in welchem Format, und was passiert, wenn der Anbieter ausfällt oder kompromittiert wird. Eigene, getrennt aufbewahrte Datensicherungen sind keine Paranoia, sondern Voraussetzung, um im Ernstfall handlungsfähig zu bleiben.
Datenabfluss erkennen: Woran man es merkt, bevor es in der Zeitung steht
Eine unangenehme Eigenschaft von Datenabfluss: Er ist meist leise. Anders als bei Verschlüsselungstrojanern, die sich mit einer Lösegeldforderung selbst melden, kopieren Angreifer Daten oft über Tage oder Wochen unbemerkt. Die Behauptung, Daten kopiert zu haben, wie sie in dieser Meldung steht, passt genau in dieses Bild: Das Kopieren geschieht im Hintergrund, bekannt wird es erst, wenn die Täter damit an die Öffentlichkeit gehen oder Druck aufbauen.
Das heißt für Sie: Sie sollten nicht darauf warten, dass jemand anruft. Es gibt eine Reihe von Anzeichen, auf die man mit überschaubarem Aufwand achten kann.
Ungewöhnliche Anmeldungen. Zugriffe zu merkwürdigen Uhrzeiten, aus fremden Ländern oder von Geräten, die nie zuvor aufgetaucht sind. Die meisten Cloud-Dienste und Mailsysteme protokollieren das, nur schaut niemand hin. Aktivieren Sie Warnmeldungen für Anmeldungen aus ungewohnten Quellen und prüfen Sie, wer sie bekommt.
Auffällige Datenmengen. Große Exporte, ungewöhnlich viele Downloads, Massenabrufe von Kundendaten oder plötzlich steigender ausgehender Datenverkehr sind klassische Hinweise. Auch Weiterleitungsregeln in Postfächern, die ein Angreifer heimlich eingerichtet hat, gehören dazu. Ein Blick in die Mailregeln wichtiger Konten dauert zehn Minuten und wird selten gemacht.
Neue oder unbekannte Konten. Zusätzliche Administratorkonten, neue API-Schlüssel oder frisch angelegte Dienstkonten, die niemand erklären kann, sind ein Alarmzeichen.
Hinweise von außen. Kunden, die Phishing-Mails mit korrekten Details zu ihren Bestellungen erhalten, Partner, die Betrugsversuche melden, oder Monitoring-Dienste, die Ihre Firmenadressen in veröffentlichten Datensammlungen finden. Letzteres lässt sich mit kostenlosen Diensten für Leak-Prüfungen zumindest grob abdecken.
Eigene Systeme. Wer eine Website oder einen Shop betreibt, sollte Änderungen an Dateien, unbekannte Skripte und ungewöhnliche Formularzugriffe im Auge behalten. Ein Website-Audit ist hier nicht nur eine Frage von Suchmaschinen und Geschwindigkeit, sondern auch ein guter Moment, nach fremden Skripten und Altlasten zu suchen.
Wichtig ist, dass Erkennen und Reagieren zusammenhängen. Ein Alarm, den niemand sieht oder dem niemand nachgeht, nützt nichts. Legen Sie deshalb fest, wer Meldungen bekommt, wer entscheidet und wen Sie im Verdachtsfall anrufen. Wenn Sie keine eigene IT-Abteilung haben, ist das genau die Stelle, an der ein externer Partner mehr bringt als ein weiteres Werkzeug.
Wenn es ernst wird: DSGVO-Meldepflicht und erste Schritte
Angenommen, einer Ihrer Dienstleister meldet sich und räumt ein, dass Daten abgeflossen sind, die auch Ihre Kunden oder Mitarbeitenden betreffen. Oder Sie entdecken selbst einen Abfluss. Was jetzt zählt, ist Struktur, nicht Hektik.
Die DSGVO verlangt bei einer Verletzung des Schutzes personenbezogener Daten grundsätzlich eine Meldung an die zuständige Datenschutzaufsichtsbehörde, und zwar unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde. Die Meldung kann entfallen, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt. Ob das der Fall ist, müssen Sie bewerten und nachvollziehbar begründen. Besteht ein hohes Risiko, etwa weil sensible Daten, Zugangsdaten oder Zahlungsinformationen betroffen sind, müssen zusätzlich die Betroffenen selbst informiert werden. Das ist keine juristische Spitzfindigkeit, sondern der Kern der Pflicht, und die Behörden schauen dabei auch auf die Frage, wann Sie von dem Vorfall erfahren haben und was Sie danach getan haben.
Für den Ablauf bewährt sich ein einfacher Plan, den Sie vorher schriftlich festhalten, nicht erst im Notfall:
1. Sachverhalt klären. Was ist passiert, welche Systeme und Daten sind betroffen, ist der Zugriff noch aktiv? Halten Sie Uhrzeiten und Quellen fest.
2. Eindämmen. Zugänge sperren, Passwörter und Schlüssel ändern, betroffene Konten isolieren. Beweise sichern, bevor Sie Systeme neu aufsetzen.
3. Risiko bewerten. Welche Personen sind betroffen, welche Daten, wie groß ist die Gefahr von Missbrauch? Diese Bewertung gehört in die Dokumentation.
4. Fristgerecht melden. Meldung an die Aufsichtsbehörde, wenn ein Risiko besteht. Auch wenn nicht gemeldet wird, muss der Vorfall intern dokumentiert werden.
5. Betroffene informieren, wenn ein hohes Risiko besteht, in verständlicher Sprache und mit konkreten Empfehlungen, etwa Passwörter zu ändern.
6. Nachbereiten. Ursache abstellen, Lehren ziehen, Verträge und Prozesse anpassen.
Zwei Punkte aus der Praxis. Erstens: Die 72 Stunden laufen ab Kenntnis, aber Kenntnis entsteht schneller, als viele denken. Wenn Ihr Dienstleister Sie informiert und die Mail drei Tage ungelesen im Postfach liegt, wird das im Zweifel nicht zu Ihren Gunsten ausgelegt. Sorgen Sie dafür, dass Sicherheitsmeldungen von Dienstleistern an eine Adresse gehen, die auch bei Urlaub und Krankheit gelesen wird. Zweitens: Eine Teilmeldung ist besser als keine. Wenn noch nicht alle Details vorliegen, dürfen Informationen schrittweise nachgereicht werden. Warten, bis alles klar ist, kostet Zeit, die Sie nicht haben.
Und noch etwas, das man leicht vergisst: Bei einer behaupteten Datenpanne, bei der Kriminelle mit einer Veröffentlichung drohen, sollten Sie nicht eigenmächtig mit den Tätern verhandeln oder zahlen, ohne Rechtsbeistand und Fachleute einzubinden. Das Risiko, dass Daten trotzdem erscheinen oder erneut verwendet werden, bleibt bestehen.
Was das für den Mittelstand bedeutet
Aus der Meldung und der Einordnung ergeben sich konkrete Schritte, die Sie in den nächsten Wochen angehen können. Sie müssen nicht alles auf einmal tun. Beginnen Sie mit dem, was am meisten Wirkung für den geringsten Aufwand bringt.
Diese Woche:
- Prüfen Sie, ob einer der in der Meldung genannten Namen für Sie eine Rolle spielt, als Dienstleister, Lieferant, Kunde oder als Teil einer Kette, die Sie nutzen. Wenn ja, fragen Sie schriftlich nach dem Stand und dokumentieren Sie die Antwort.
- Schalten Sie Mehrfaktor-Anmeldung für alle Dienste ein, die es anbieten, vor allem für E-Mail, Cloud-Speicher, Buchhaltung, Shop und Administrationszugänge.
- Legen Sie fest, wer Sicherheitsmeldungen liest und wer im Ernstfall entscheidet. Notieren Sie Telefonnummern, nicht nur E-Mail-Adressen.
- Prüfen Sie Mailweiterleitungen und Administratorkonten in Ihren wichtigsten Systemen auf Unerklärliches.
In den nächsten vier bis acht Wochen:
- Erstellen Sie das Dienstleister-Inventar und sortieren Sie nach Kritikalität. Dabei fallen fast immer vergessene Zugänge auf, die sich sofort schließen lassen.
- Fordern Sie von den wichtigsten Anbietern die Informationen aus der Fragenliste ein und klären Sie, ob Auftragsverarbeitungsverträge vorliegen und aktuell sind.
- Reduzieren Sie Daten. Was Sie nicht speichern, kann nicht abfließen. Alte Kundendaten, Bewerbungen und Exporte, die niemand mehr braucht, gehören gelöscht, im Einklang mit Ihren Aufbewahrungspflichten.
- Testen Sie Ihre Datensicherung tatsächlich, nicht nur auf dem Papier, und bewahren Sie mindestens eine Kopie getrennt vom Produktivsystem auf. Wenn doch etwas verloren geht, zählt, wie schnell Sie wieder arbeiten können. Bei Ausfall oder Beschädigung hilft professionelle Datenrettung, aber verlassen Sie sich nicht darauf, dass sie nötig sein wird.
- Schreiben Sie einen kurzen Notfallplan mit den sechs Schritten aus dem vorigen Abschnitt, mit Namen und Rufnummern. Zwei Seiten genügen.
Dauerhaft:
- Machen Sie Lieferantenprüfung zur Routine, etwa einmal im Jahr für kritische Anbieter und bei jedem neuen Dienst vor Vertragsabschluss.
- Schulen Sie Ihr Team zu Phishing und Social Engineering. Gestohlene Daten werden häufig genutzt, um täuschend echte Nachrichten an Kunden und Mitarbeitende zu schicken.
- Holen Sie sich Unterstützung, wenn intern Zeit und Know-how fehlen. Das Thema IT-Sicherheit lässt sich schrittweise und bezahlbar aufbauen, und wer im Norden sitzt, findet bei uns mit dem IT-Service Friesland auch einen Ansprechpartner, der bei Bedarf vor Ort erreichbar ist.
Wenn Sie nur eine Sache mitnehmen: Behandeln Sie Ihre Dienstleister nicht als Black Box. Wer weiß, wo seine Daten liegen, wer darauf zugreifen darf und wie er im Ernstfall informiert wird, ist bei der nächsten Schlagzeile deutlich gelassener als jemand, der erst anfängt zu suchen.
Häufige Fragen
Sind meine Daten automatisch betroffen, wenn ein Dienstleister als gehackt gemeldet wird?
Nein, nicht automatisch. Ob Ihre Daten betroffen sind, hängt davon ab, welche Daten der Dienstleister von Ihnen hält und welche Systeme kompromittiert wurden. Fragen Sie schriftlich beim Anbieter nach und lassen Sie sich bestätigen, ob und in welchem Umfang Ihre Daten berührt sind. Bis dahin sollten Sie vorsorglich Zugangsdaten und Berechtigungen prüfen.
Muss ich einen Vorfall bei meinem Dienstleister selbst bei der Aufsichtsbehörde melden?
Als Verantwortlicher im Sinne der DSGVO tragen in der Regel Sie die Meldepflicht, auch wenn die Panne beim Dienstleister passiert ist. Der Dienstleister muss Sie nach der Vertragslage informieren, die Bewertung des Risikos und die Meldung liegen aber bei Ihnen. Wichtig ist, dass die Frist von 72 Stunden ab Kenntnis läuft. Im Zweifel holen Sie früh Rat von Ihrem Datenschutzbeauftragten oder einer spezialisierten Stelle ein.
Wie erkenne ich, ob meine Firmendaten bereits veröffentlicht wurden?
Sicher lässt sich das nur schwer sagen. Hinweise liefern Leak-Prüfdienste für Ihre E-Mail-Domains, auffällige Phishing-Mails mit richtigen Details sowie Meldungen von Kunden oder Partnern. Seriöse Informationen kommen außerdem von Ihren Dienstleistern und den Aufsichtsbehörden. Verlassen Sie sich nicht auf einen einzelnen Prüfdienst, sondern kombinieren Sie mehrere Quellen.
Lohnt sich die Prüfung von Dienstleistern für ein kleines Unternehmen überhaupt?
Ja, gerade dort. Kleine Unternehmen haben meist weniger Reserven, um einen Vorfall zu verkraften, und sind stärker auf wenige Anbieter angewiesen. Eine einfache Liste, ein paar gezielte Fragen und klare Zuständigkeiten kosten wenig Zeit und decken die größten Risiken ab. Ein umfassendes Audit ist dafür nicht nötig.
Sollte ich bei einer Erpressung durch Kriminelle zahlen?
Davon ist grundsätzlich abzuraten, ohne dass vorher Fachleute und Rechtsbeistand eingebunden wurden. Eine Zahlung garantiert nicht, dass Daten gelöscht oder nicht weiterverwendet werden, und sie kann weitere Forderungen nach sich ziehen. Sichern Sie Beweise, informieren Sie Ihre Ansprechpartner und beachten Sie die Meldepflichten, bevor Sie irgendetwas entscheiden.