Die Datenlecks persönlicher Informationen nehmen zu und betreffen alltägliche Dienste: Telekommunikationsanbieter, Krankenkassen, Online-Handelsplattformen. Jedes Ereignis setzt Millionen von Identifikatoren, postalischen Adressen und manchmal IBANs aus. Den Schutz seiner Daten und seiner Privatsphäre online zu gewährleisten, beschränkt sich nicht nur auf die Wahl eines guten Passworts. Die Frage betrifft nun, was nach einem Datenleck passiert, die neuen regulatorischen Anforderungen und die Mechanismen, die nur wenige Nutzer tatsächlich aktivieren.
Reagieren nach einem Datenleck: der dreistufige Prozess, den die CNIL formalisiert
Die meisten Online-Datenschutzleitfäden konzentrieren sich auf die Prävention. Die aktuellen Empfehlungen der CNIL und von Cybermalveillance.gouv.fr fügen einen selten detaillierten Aspekt hinzu: das Management nach einem Vorfall.
Der empfohlene Prozess gliedert sich in drei Schritte. Zuerst die Benachrichtigung über die Verletzung, die per E-Mail oder Post empfangen wurde, aufbewahren und analysieren. Diese Nachricht gibt an, welche Datenkategorien betroffen sind. Danach sollten sofort die kompromittierten Passwörter geändert und die Zwei-Faktor-Authentifizierung für die betroffenen Konten aktiviert werden. Schließlich sollten die Bankkonten, aktiven Sitzungen, Wiederherstellungsadressen und E-Mail-Weiterleitungen über mehrere Wochen aktiv überwacht werden.
Diese Überwachung sollte sich über einen Zeitraum von bis zu dreißig Tagen nach dem Vorfall erstrecken. Angreifer nutzen gestohlene Daten nicht immer in den Stunden nach dem Vorfall. Ein Zeitraum von mehreren Wochen zwischen dem Datenleck und dem ersten Betrugsversuch ist üblich. Die Rubriken über Sicherheit auf Geek Gazette erläutern mehrere dieser Überwachungsmechanismen, die im Alltag anwendbar sind.
Betrügereien nach einem Datenleck: Betrügereien, die Ihre eigenen Daten ausnutzen
Ein aktuelles Phänomen erschwert die Situation der Opfer von Datenverletzungen. Betrügerische E-Mails bieten an, die veröffentlichten Informationen gegen eine Gebühr oder ein Verfahren zu löschen. Diese Nachrichten verwenden manchmal tatsächlich gestohlene Daten (postalische Adresse, IBAN), um glaubwürdig zu erscheinen.
Einige Betrüger geben sich als die Telefonnummer der CNIL aus, um die Illusion zu verstärken. Die CNIL empfiehlt ausdrücklich, auf diese Anfragen nicht zu antworten, auf keinen Link zu klicken und keine zusätzlichen Nachweise zu übermitteln.
Diese Art von Betrug zielt auf Personen ab, die bereits durch ein Leck geschwächt sind. Der natürliche Reflex, die Kontrolle über seine Daten zurückzugewinnen, wird gegen das Opfer verwendet. Den tatsächlichen Absender einer E-Mail systematisch zu überprüfen und niemals in Eile zu handeln, bleibt der zuverlässigste Schutz gegen diese Versuche.
Multifaktor-Authentifizierung: Was die regulatorische Verschärfung in der Praxis ändert
Die Multifaktor-Authentifizierung (MFA) ist seit langem Teil der Sicherheitsempfehlungen. Was sich ändert, ist das institutionelle Anforderungsniveau. Die CNIL verstärkt ihre Kontrollen zur Aktivierung der MFA für den Fernzugriff auf große Datenbanken. Diese Anforderung betrifft nicht nur die Mitarbeiter einer Organisation, sondern auch Partner, Subunternehmer und externe Dienstleister.
Das Fehlen von MFA kann nun zur Einleitung eines Sanktionsverfahrens durch die CNIL beitragen. Für Privatpersonen ist die direkte Konsequenz einfach: Online-Dienste, die große Mengen persönlicher Daten verwalten, sind verpflichtet, die Zwei-Faktor-Authentifizierung anzubieten. Ihre Aktivierung ist nicht mehr eine Komfortoption, sondern ein vom Regulator erwartetes Glied.
In der Praxis existieren drei Formen von MFA:
- Der per SMS gesendete Code, der am weitesten verbreitet, aber anfällig für SIM-Swapping-Angriffe ist
- Die Authentifizierungs-App (TOTP), die einen temporären Code auf dem Telefon generiert, ohne das Mobilfunknetz zu nutzen
- Der physische Sicherheitsschlüssel (FIDO2/WebAuthn), der den höchsten Schutz gegen Phishing bietet, da er die Domain der Website überprüft
Die Wahl hängt vom Sensibilitätsgrad des Kontos ab. Für das Haupt-E-Mail-Konto und Bankdienste sollte man eine TOTP-App oder einen physischen Schlüssel bevorzugen, um das Risiko erheblich zu reduzieren.
Schutz der Privatsphäre von Minderjährigen: ein sich wandelnder regulatorischer Rahmen
Der Schutz der Daten von Minderjährigen online wird zu einem eigenen regulatorischen Schwerpunkt, der sowohl durch die DSGVO als auch durch das Digital Services Act (DSA) vorangetrieben wird. Die standardmäßigen Datenschutzeinstellungen der Plattformen reichen nicht aus, um ein Publikum zu schützen, das nicht immer das Ausmaß seiner Veröffentlichungen erkennt. Die über Minderjährige gesammelten Daten speisen Werbeprofile bereits bei der Kontoerstellung, oft ohne dass die Eltern davon Kenntnis haben.
Für Familien ergeben sich zwei konkrete Maßnahmen:
- Überprüfen der Datenschutzeinstellungen bestehender Konten, insbesondere die Sichtbarkeit des Profils, die Standortfreigabe und die Berechtigungen, die Drittanbieteranwendungen gewährt werden
- Verwendung der in die mobilen Betriebssysteme integrierten Kindersicherungswerkzeuge, die Downloads einschränken und die Bildschirmzeit pro Anwendung begrenzen
- Regelmäßige Gespräche mit Minderjährigen über das, was sie veröffentlichen, da kein technischer Filter das Verständnis der Risiken im Zusammenhang mit der Verbreitung persönlicher Informationen ersetzen kann
Die Zunahme von Datenlecks, die gezielten Betrügereien, die daraus resultieren, und die regulatorische Verschärfung zeichnen ein Bild, in dem der Schutz der Privatsphäre online eine ständige Wachsamkeit erfordert. Die Aktivierung der Zwei-Faktor-Authentifizierung, die Überwachung der Konten nach einem Vorfall und die Überprüfung der Datenschutzeinstellungen der genutzten Dienste bilden ein minimales Fundament. Der rechtliche Rahmen entwickelt sich weiter, aber die tägliche Verantwortung bleibt weitgehend individuell.
