Ein Datenleck kann mehr als nur gestohlene Informationen bedeuten. Selbst wenn keine sensiblen Daten wie Passwörter betroffen sind, können Kriminelle die erbeuteten Informationen nutzen, um gezielte Phishing-Angriffe durchzuführen. Der aktuelle Fall zeigt, dass gestohlene Kundendaten einen glaubwürdigen Kontext für Betrugsversuche bieten können. Unternehmen müssen daher nicht nur ihre eigene Infrastruktur schützen, sondern auch die ihrer Partner. Datenminimierung und klare Sicherheitsanforderungen sind entscheidend.
Bei einem Datenleck richtet sich der Blick zunächst darauf, welche Informationen gestohlen wurden
Sind keine Passwörter, Kreditkartendaten oder andere besonders sensible Angaben betroffen, erscheint der Schaden schnell überschaubar. Der aktuelle Fall rund um Käufer von Steam-Produkten zeigt jedoch, warum diese Einschätzung zu kurz greifen kann.
Nach bisherigen Erkenntnissen wurde nicht Valve selbst angegriffen, sondern ein Logistikdienstleister. Dabei sollen unter anderem Namen, Kontaktdaten, Lieferadressen und Informationen zu bestellter Hardware abgeflossen sein. Einen unmittelbaren Zugriff auf Steam-Konten ermöglichen diese Angaben nicht. Sie können Kriminellen jedoch etwas anderes liefern: einen glaubwürdigen Kontext für den nächsten Angriff.
Wenn eine Phishing-Mail plötzlich zur Situation passt
Eine beliebige Nachricht über ein angeblich nicht zugestelltes Paket dürfte viele Empfänger misstrauisch machen. Anders kann die Reaktion ausfallen, wenn tatsächlich gerade eine Bestellung unterwegs ist und die Nachricht dazu passende Details enthält.
Kennt ein Angreifer beispielsweise den Namen des Kunden, dessen Anschrift und die bestellte Steam-Hardware, kann er einen Betrugsversuch genau darauf abstimmen. Eine vermeintliche Mitteilung über Probleme bei der Lieferung wirkt dadurch plausibel, weil mehrere darin enthaltene Informationen tatsächlich stimmen.
Genau das macht gestohlene Kundendaten für Kriminelle interessant. Sie müssen nicht zwingend selbst den direkten Zugang zu einem Konto ermöglichen. Stattdessen können sie dazu dienen, das Vertrauen des Opfers zu gewinnen. Wer die Nachricht für echt hält, folgt möglicherweise einem Link und gibt auf einer gefälschten Website ein Passwort oder Zahlungsdaten ein. Die besonders sensiblen Informationen werden in diesem Szenario also gar nicht beim ersten Angriff gestohlen. Die Täter beschaffen sie sich erst anschliessend mithilfe der zuvor erbeuteten Daten.
KI erleichtert Angriffe auf einzelne Empfänger
Personalisierte Betrugsversuche sind kein neues Phänomen. Generative KI ermöglicht es jedoch, sie mit deutlich weniger Aufwand in grosser Zahl zu erstellen.
Gestohlene Datensätze können automatisiert ausgewertet und für unterschiedliche Empfänger aufbereitet werden. Je nach Wohnort lässt sich beispielsweise die passende Sprache verwenden und ein dort üblicher Versanddienst in die Nachricht einbauen. Auch Formulierungen können sich an echten Lieferbenachrichtigungen orientieren.
Dadurch müssen Kriminelle nicht mehr tausende Nachrichten manuell anpassen. Gleichzeitig werden Hinweise, die früher häufig auf Phishing hindeuteten, unzuverlässiger. Fehlerhafte Sprache oder offensichtlich unpassende Standardtexte sind nicht notwendig, wenn sich individuelle Nachrichten automatisiert erzeugen lassen.
Aus einem einzigen gestohlenen Datensatz können so gezielte Folgeangriffe entstehen, die für den jeweiligen Empfänger wesentlich schwerer als Betrugsversuch zu erkennen sind.
Der Steam-Fall ist auch ein Lieferkettenproblem
Hinzu kommt ein zweiter Aspekt: Unternehmen können Kundendaten verlieren, obwohl ihre eigenen Systeme gar nicht kompromittiert wurden. Denn zahlreiche Geschäftsprozesse funktionieren nur, wenn Informationen an externe Anbieter weitergegeben werden.
Das betrifft nicht allein Logistikunternehmen. Auch Cloud-Dienste, Zahlungsanbieter, CRM-Systeme, Supportdienstleister oder Anbieter für die Lohnabrechnung verarbeiten Daten im Auftrag anderer Unternehmen. Wird einer dieser Partner erfolgreich angegriffen, können deshalb Informationen zahlreicher Kunden oder Beschäftigter betroffen sein.
Für die Informationssicherheit stellt sich damit nicht nur die Frage, wie gut die eigene Infrastruktur geschützt ist. Ebenso wichtig ist, welche externen Stellen Daten erhalten und welches Risiko dadurch entsteht
Weniger gespeicherte Daten bedeuten weniger Angriffsfläche
Unternehmen sollten deshalb genau erfassen, welche Dienstleister welche Informationen verarbeiten. Dabei ist zu prüfen, ob alle übermittelten Angaben für den jeweiligen Zweck notwendig sind und wie lange sie gespeichert werden. Zusätzlich müssen Sicherheitsanforderungen und Abläufe für mögliche Vorfälle geklärt sein.
Datenminimierung spielt dabei eine zentrale Rolle. Was ein Dienstleister nicht benötigt und deshalb nicht erhält, kann bei einem Angriff auf dessen Systeme auch nicht entwendet werden. Gleiches gilt für Informationen, die nach Ablauf der erforderlichen Speicherfrist gelöscht wurden.
Der Steam-Fall verdeutlicht damit eine Gefahr, die bei der Bewertung von Datenlecks leicht unterschätzt wird. Entscheidend ist nicht nur, was Kriminelle unmittelbar mit den gestohlenen Informationen anfangen können. Relevant ist auch, welchen nächsten Angriff diese Daten ermöglichen. Ein vermeintlich begrenzter Sicherheitsvorfall kann dadurch zum ersten Glied einer deutlich längeren Angriffskette werden.
