Die 10 größten Cybercrimes und Datenschutzvorfälle bis heute

Man gewöhnt sich ja an so vieles, auch Meldungen über einen weiteren gehackten Server und den Verlust von ein paar Millionen Benutzerdaten sind mittlerweile an der Tagesordnung. Richtige Aufmerksamkeit erhalten nur noch spektakuläre Vorfälle, bei denen entweder das Opfer sehr bekannt ist, wie der Bundestag, oder bei denen sehr viele Daten gestohlen werden, bestes Beispiel Yahoo. Dabei verschiebt sich die Aufmerksamkeitsgrenze stetig nach oben. Was früher durch alle Medien ging, wird heute gerade noch von Fachzeitschriften oder Special-Blogs behandelt. Mittlerweile stehen solche Bedrohungen bei Unternehmen ganz weit oben auf der Prioritätenliste. Eine Studie von PricewaterhouseCoopers von 2016 listet Cybercrime als die am zweithäufigsten angezeigte Wirtschaftskriminalität auf. In der Studie gaben 32 Prozent der Unternehmen an, bereits Opfer von Cyberkriminalität gewesen zu sein und 34 Prozent rechnen in den nächsten zwei Jahren mit einem Vorfall in ihrem Unternehmen. Es ist interessant, sich die Entwicklung von Cyberkriminalität und Sicherheitsvorfällen in den letzten Jahren anzusehen. Eine Infografik von Bestvpn.com listet die 10 schwersten Vorfälle nach Bedeutung oder Menge der gestohlenen Informationen auf. Auch wenn der Fokus auf Amerika liegt, ist die Zusammenstellung beeindruckend. Schon der zehnte Platz beginnt mit 50 Millionen Datensätzen, die dem Einzelhändler Home Depot im Jahr 2014 abhandenkamen.

Yahoo schafft es mit seinen bislang bekannten 1,5 Milliarden entwendeten Benutzerdaten gerade Mal auf Platz drei, allerdings sind die weiteren Vorfälle wegen ihrer Bedeutung kritisch, weniger durch die schiere Masse. So sind die 21,5 Millionen gestohlenen Daten des U.S Office of Personnel Management (OPM) zwar lächerlich, verglichen mit Yahoos 1,5 Milliarden, doch die Brisanz der sehr vollständigen Datensätze mit Sozialversicherungsnummern, Geburtsdaten, Finanzchecks und Fingerabdrücken ist deutlich höher. Mit diesen Informationen lassen sich Identitäten vollständig fälschen, noch dazu von Menschen, die bei amerikanischen Regierungsstellen bereits als unbedenklich registriert sind. Der Grund war übrigens laut einer Untersuchung veraltete Technik, andererseits wird auch von den Zugangsdaten auch eines Dienstleisters gesprochen, die gestohlen und für den Systemzugang missbraucht wurden. Wenn Zugangsdaten mit erhöhten Rechten ohne Zwei-Faktor-Authentifizierung benutzt werden dürfen, spielt veraltete Technik im Backend auch keine Rolle mehr, dann ist das Kind schon in den Brunnen gefallen.

Als wichtigsten und prägendsten Vorfall sieht BestVPN übrigens die IoT-Attacke auf Twitter, Netflix, Paypal und Spotify vom Oktober 2016. Tatsächlich wurde der DNS-Provider Dyn.com angegriffen, der die jeweiligen Domains verwaltete. Das Besondere an diesem DDoS-Angriff war die Art der benutzten Zombie-Endgeräte: Anstelle von PCs mit Schadsoftware vereinte die Attacke mehrere Hunderttausend vernetzte Gebrauchsgegenstände wie Kameras, Baby-Monitore oder digitale Videorekorder. Die Geräte waren entweder komplett ohne Schutzmaßnahmen mit dem Internet verbunden oder nutzten noch die Standardpasswörter des Herstellers. Sie waren damit leichte Beute für einen kreativen Hacker, der die entsprechenden Geräte mit ein paar Skripten im Netz fand und seine DDoS-Software darauf installierte.

Wenn man die Vorfälle betrachtet fällt auf, dass praktisch nie bisher unbekannte, unglaublich raffinierte Angriffsmethoden genutzt wurden. Meist sind die Gründe für den Erfolg der Attacke trivial: Keine Passwörter, unveränderte Standardpasswörter, keine 2-Faktor-Authentisierung, Hinweise auf Sicherheitsprobleme über Monate nicht beachtet. Zum einen ist das natürlich unglaublich ärgerlich. Zum anderen macht es Hoffnung: Wenn man die grundlegenden Sicherheitsmaßnahmen ergreift, verfügt man über genug Schutz gegen die 10 bisher größten Sicherheitsvorfälle.