DoorDash gerät in einen Datenskandal – 4.9 Millionen Nutzer betroffen

Die Zahl der Sicherheitslücken nimmt von Tag zu Tag zu. Das passiert immer wieder. Man sollte meinen, dass jedes Unternehmen seine Datensicherheit sehr ernst nehmen sollte. Schließlich kostet ein Datenleck in der Regel Millionen von Dollar und schädigt den Ruf des Unternehmens.

Gemäß BitdefenderSechs von zehn Unternehmen waren in den letzten drei Jahren von einem Datenleck betroffen. IT-Sicherheitsexperten sind sich der Risiken für ihre Organisationen sehr bewusst: Mehr als 58 % machen sich Sorgen um ihr Unternehmen im Falle eines globalen Cyberangriffs. Die restlichen 49 % gaben sogar zu, deswegen schlaflose Nächte zu haben.

• Menschliches Versagen kann in 90 % der Fälle die Ursache für Datenschutzverletzungen sein.
• Laut einer Studie war die Hälfte aller Unternehmen weltweit von einem Datenleck betroffen.
• Laut einer Studie macht sie die Erfahrung mit Datenschutzverletzungen attraktiver für Arbeitgeber. Chief Information Security Officer (CISO)

DoorDash erleidet schweren Datenverlust:

DoorDash, ein Essenslieferdienst, bestätigte vor wenigen Tagen einen massiven Datendiebstahl, fast fünf Monate nach dessen Auftreten. Fast ein Jahr lang hatten sich Nutzer darüber beschwert, dass ihre Konten ohne erkennbaren Grund kompromittiert worden waren. Das Unternehmen gab zu, dass die Daten von 4.9 Millionen Kunden, Lieferanten und Händlern von Hackern gestohlen wurden.

Der Datenverstoß ereignete sich am 4. Mai. Nutzer, die sich nach dem 5. April 2018 registriert hatten, waren davon nicht betroffen. Bei Nutzern, die sich vor dem 5. April 2018 angemeldet hatten, wurden Name, E-Mail-Adresse, Lieferadresse, Bestellhistorie, Telefonnummer sowie gehashte und gesalzene Passwörter gestohlen. Sowohl Lieferanten als auch Händlern wurden die letzten vier Ziffern ihrer Bankkontonummern entwendet. Besonders brisant: Rund 100,000 Lieferanten wurden zudem ihre Führerscheindaten gestohlen. DoorDash konnte den Vorfall zunächst nicht erklären, gab später jedoch bekannt, dass er durch einen Drittanbieter verursacht wurde.

Der Schaden, den ein Datenleck anrichten kann

Ein Datenleck kann den Ruf und die finanzielle Lage eines Unternehmens drastisch beeinträchtigen. Unvergessen bleiben die verheerenden Datenlecks bei Yahoo, wo Hacker in der zweiten Jahreshälfte 2016 zwei große Datendiebstähle von Nutzerkonten meldeten. Zunächst ging man von über einer Milliarde betroffenen Nutzerkonten aus, doch Yahoo! bestätigte im Oktober 2017, dass alle drei Milliarden Nutzerkonten betroffen waren. Auch andere Unternehmen wie Equifax und Target wurden Opfer von Datenlecks. Heute verbinden viele Menschen diese Unternehmen ausschließlich mit Datenlecks und nicht mehr mit ihren eigentlichen Geschäftsaktivitäten. Ein Datenleck kann Unternehmen also nicht nur ihren Ruf, sondern auch ihre Identität schädigen. 

Verschiedene Arten von Datenschutzverletzungen und ihre Quellen:

Verschiedene Quellen definieren unterschiedliche Arten von Datenschutzverletzungen. Hier gruppiere ich sie nach der zugrunde liegenden Ursache:

• Cyberangriffe:

 Hacker nutzen Malware, Phishing, Social Engineering, Skimming und ähnliche Techniken, um Zugang zu geschützten Informationen zu erlangen.

• Diebstahl oder Verlust von Geräten

Laptops, Smartphones, USB-Sticks und andere Datenspeichermedien können verloren gehen, gestohlen oder unsachgemäß entsorgt werden. Wenn sie geschützte Informationen enthalten und in falsche Hände geraten, handelt es sich um eine Datenschutzverletzung.

• Datendiebstahl oder Datenleck durch Mitarbeiter

 Mitarbeiter, insbesondere solche, die das Unternehmen bald verlassen, könnten absichtlich und unbefugt auf geschützte Informationen zugreifen und böswillige Absichten hegen. Dies kann eine Hauptursache für Datenlecks sein. 

• Menschliche Fehler

Fehler passieren, und Menschen sind nachlässig. Mitarbeiter senden möglicherweise versehentlich vertrauliche Daten an die falsche Person, laden sie in öffentliche Verzeichnisse hoch oder konfigurieren Server, auf denen sie gespeichert sind, falsch. Fehlende oder unzureichende Identitätsprüfungen können ebenfalls dazu führen, dass Unternehmensdaten Cyberkriminellen zum Opfer fallen. 

Tipps zur Verhinderung von Datenlecks:

Um Verluste in Millionenhöhe und einen Imageschaden für das Unternehmen aufgrund von Datenschutzverletzungen zu verhindern, sollten folgende Präventivmaßnahmen ergriffen werden:

Begrenzter Zugang zu wertvollen Daten

Früher hatten alle Mitarbeiter Zugriff auf die Daten. Unternehmen lernen nun schmerzlich daraus und beschränken den Zugriff auf wichtige Daten. Dadurch wird der Kreis der Mitarbeiter, die auf den schädlichen Link klicken könnten, deutlich verkleinert. Nur diejenigen, die den Zugriff tatsächlich benötigen, erhalten ihn – eine vernünftige Lösung, die Unternehmen eigentlich schon längst hätten umsetzen sollen. 

Drittanbieter kennen

Jedes Unternehmen arbeitet mit einer Vielzahl von Drittanbietern zusammen. Es ist wichtiger denn je, diese Leute zu kennen. Was, wenn der Lieferant von Büromaterial gerade erst aus dem Gefängnis entlassen wurde? Darüber sollte man nachdenken. Halten Sie sich daher immer an die folgenden Regeln: KYC-Vorschriften Prüfen Sie nicht nur Ihre Kunden, sondern auch Drittanbieter, von denen Sie Dienstleistungen beziehen. Vergewissern Sie sich, mit wem Sie es zu tun haben. Gewähren Sie diesen Anbietern zudem nur eingeschränkten Zugriff auf die Dokumente, die sie einsehen dürfen.

Auch wenn solche Vorsichtsmaßnahmen für die IT-Abteilung lästig sein können, könnte die Alternative ein millionenschwerer Datenverlust sein. Fordern Sie Transparenz von den Unternehmen, die Ihre wichtigen Daten einsehen dürfen. Stellen Sie sicher, dass sie die Datenschutzgesetze einhalten; verlassen Sie sich nicht auf Annahmen. Verlangen Sie Hintergrundüberprüfungen von Drittanbietern, die regelmäßig Ihr Unternehmen betreten müssen. 

Sensibilisierung der Mitarbeiter für Sicherheitsfragen durchführen

Studien haben gezeigt, dass Mitarbeiter die größte Schwachstelle in der Datensicherheitskette darstellen. Trotz Schulungen öffnen sie täglich verdächtige E-Mails, die potenziell Viren enthalten können. Eine einzelne Schulung reicht nicht aus. Regelmäßige Schulungen, mindestens einmal im Monat, sind notwendig, um wichtige Daten zu schützen.

Aktualisieren Sie die Software regelmäßig

Aktualisieren Sie regelmäßig alle Ihre Softwareanwendungen und Ihr Betriebssystem. Experten empfehlen, Patches so oft wie möglich zu installieren, da Ihr Netzwerk sonst angreifbar ist. Microsoft hat hierfür ein Produkt namens Baseline Security Analyzer entwickelt, das alle Programme auf dem neuesten Stand prüft und sicherstellt, dass sie gepatcht sind.