Tastatur, auf der zwei eingeblendete Hände Eingaben vornehmen, im Hintergrund eine stilisierte Platine mit Leiterbahnen, mittig angeordnet im Bild ein dreieckiges Warnschild mit Ausrufezeichen
Security

Passwort gestohlen: So reagieren Sie bei Datenpannen richtig

2024 wurde der bisher umfangreichste Datensatz mit gehackten Zugangsdaten namens „RocukYou2024“ in Umlauf gebracht. Mit fast 10 Milliarden Einträgen übertrifft diese Datensammlung alle bisherigen. Das zeigt, wie wichtig der Schutz von Passwörtern und Zugangsdaten in Ihrem Unternehmen ist.

Eine Datenpanne, auch als Datenleck oder Datenleak (engl. Leak für Leck) bezeichnet, tritt auf, wenn die Sicherheit von Informationen gefährdet ist – etwa, indem ihre Vertraulichkeit, Integrität oder Verfügbarkeit nicht gewährleistet sind. Konkret bedeutet das, dass unbefugte Personen auf sensible Daten zugreifen und diese manipulieren können; oder dass Sie auf wichtige Informationen nicht mehr zugreifen können.

Man spricht von einer Datenpanne, wenn eines der folgenden Ereignisse auftritt:

  • Personen können unbefugt auf Daten zugreifen.
  • Datensätze werden ungewollt oder unwissentlich verändert.
  • Informationen sind nicht mehr zugänglich oder wurden ungewollt in den Zugriffsrechten verändert.
  • Daten und Informationen gehen verloren.

Der RocukYou2024-Vorfall zwischen 2021 und 2024 ist nur Beispiel von vielen: Insgesamt haben Cyberkrirminelle in diesem Zeitraum über 1,5 Milliarden Zugangsdaten durch neue und alte Datenlecks und Datenpannen gesammelt. Sie verkaufen diese Daten teilweise über einschlägige Foren sowie das Darknet. Dieser negative Trend ließ sich bisher auch nicht durch moderne Sicherungsverfahren wie die Zwei-Faktor-Authentifizierung umkehren.

Wir erklären Ihnen, was Sie tun können, wenn auch Ihr Unternehmen von einem Passwortdiebstahl betroffen ist.

Inhaltsverzeichnis

Passwort gestohlen: Die richtigen Schritte nach Datenpannen

Phishing-Mails, die zur Eingabe von Zugangsdaten auf gefälschten Webseiten verleiten, unsichere WLA-Netzwerke, schlecht gewählte Passwörter sowie Indiskretionen oder Passwort-Leaks – Cyberkriminelle haben es in vielen Fällen leicht, Passwörter zu ermitteln.
Im Schadensfall ist schnelles Handeln gefragt und durch die Datenschutz-Grundverordnung (DSGVO) auch gesetzlich vorgeschrieben. Für Unternehmen gelten dabei besonders strenge Richtlinien, wobei ein Fehlverhalten empfindliche Strafen nach sich ziehen kann. Mitunter haften Geschäftsführer:innen in solchen Fällen sogar persönlich.
Diese Maßnahmen sollten Sie sofort ergreifen, sobald Sie in Ihrem Unternehmen eine Datenpanne festgestellt haben:
  • Analyse durchführen: Welche Systeme sind genau betroffen? Hat die Datenpanne die Persönlichkeitsrechte Dritter verletzt? Welche Schäden sind den Betroffenen möglicherweise schon entstanden? Können Sie diese Fragen nicht genau beantworten, ziehen Sie externe Datenschutzexpert:innen hinzu.
  • Gegenmaßnahmen einleiten: Nach der Analyse sollten Sie direkt Schritte unternehmen, um das Datenleck zu schließen und mögliche Rechtsverletzungen zu beenden. Damit können unterschiedliche Maßnahmen einhergehen, die Ihre IT-Verantwortlichen koordinieren sollten – sowohl mit den von den Maßnahmen betroffenen Mitarbeiter:innen als auch mit Dienstleistern wie etwa Ihren Internet-Providern und Cloud-Hosting-Anbietern.
  • Meldepflicht überprüfen: Klären Sie mit externen Datenschutzbeauftragten, ob aufgrund der Datenpanne eine Meldepflicht vorliegt, weil etwa Persönlichkeitsrechte verletzt wurden.
  • Meldung vornehmen: Falls dies der Fall ist, melden Sie die Panne innerhalb von 72 Stunden der zuständigen Datenschutzbehörde Ihres Bundeslandes. Mehr dazu erfahren Sie im Abschnitt „Informationspflichten nach DSGVO“.
  • Evaluation durchführen: Wenn die Sofortmaßnahmen abgeschlossen sind, sollten Sie die Vorkommnisse intern aufarbeiten. Beziehen Sie alle internen Verantwortlichen und Betroffenen sowie idealerweise auch externe Datenschutzexpert:innen in diesen Prozess ein. Analysieren Sie, aus welchem Grund es zu einer Datenpanne kommen konnte.
  • Informationen rausgeben: Informieren Sie alle betroffenen Kund:innen. Cyberkriminelle probieren gestohlene Passwörter oft auch bei anderen Plattformen aus, da viele Nutzer:innen dieselben Benutzernamen und Passwörter mehrfach verwenden. Empfehlen Sie Ihren betroffenen Kund:innen daher, die gestohlenen Passwörter generell nicht mehr zu nutzen und auch überall dort abzuändern, wo sie sie gegebenenfalls noch verwenden.
  • Konsequenzen ziehen: Je nach Ausgang der Evaluation sollten Sie sicherstellen, dass derartige Vorfälle sich künftig nicht wiederholen. Die Datenpanne kann viele Ursachen haben und entsprechend unterschiedliche Konsequenzen nach sich ziehen. Mithilfe einer externen Beratung könnten Sie beispielsweise die Datensicherheit in Ihrem Unternehmensnetzwerk verbessern, etwa durch Zwei-Faktor-Authentifizierung (2FA) und ein Zero-Trust-Konzept. Lagen der Datenpanne menschliche Fehler zugrunde, empfehlen sich Sicherheitsschulungen für Ihre Belegschaft.
Es kann außerdem sinnvoll sein, zusätzliche Datenschutz- und Security-Expert:innen in Ihre täglichen Geschäftsprozesse einzubeziehen. Prüfverfahren wie zum Beispiel das sogenannten Threat Modeling ermitteln, welche Gefahren Ihrer IT-Architektur im täglichen Betrieb drohen. Generell sind sämtliche Maßnahmen empfehlenswert, die dazu beitragen, Datenpannen zu verhindern.
Unkenntlicher Computerhacker tippt auf einem Smartphone

Lookout: Die Sicherheitslösung für mobile Endgeräte

Schützen Sie Ihre gemeinschaftlich genutzten mobilen Endgeräte ganz einfach mit der Lookout-App vor Cyber-Angriffen.

Installieren Sie einfach die Lookout-App auf allen mobilen Geräten Ihres Unternehmens. Oder integrierten Sie Lookout Advanced in Ihre bestehenden Unified Endpoint Management-Lösungen (UEM) und steuern somit den einfachen Roll-Out in Ihrer mobilen Flotte.

Passwort weg: Wie kann das passieren?

Das ein vermeintlich sicherer Account von Cyberkriminellen kompromittiert wurde, bemerken Betroffene häufig erst im Missbrauchsfall. Dabei sind die direkte Ursache oder der kompromittierte Zugang nicht immer sofort ersichtlich. Generell haben Datenpannen unterschiedliche Ursachen: etwa Sicherheitslücken in Systemen, Diebstahl von Zugangsdaten und mangelhafte Vernichtung von alten Datenträgern.
Phishing-Angriffe sind beispielsweise eine beliebte Methode, Mitarbeiter:innen im Unternehmen dazu zu bringen, Passwörter auf betrügerischen Webseiten preiszugeben. Malware, die unbemerkt jede Tastatur- und Mauseingabe auswertet und Zugangsdaten sowie Passwörter kopiert und weiterleitet, kann ebenfalls die Ursache für Datenpannen sein. Sie können solche Sicherheitslücken schließen, indem sie die Datenübertragung oder einzelne Bereiche verschlüsseln.
Auch wenn die Datensicherheit im Unternehmen gewährleistet ist, kann es zu Datenpannen kommen. In manchen Fällen liegt der Fehler auch nicht direkt in einer Sicherheitslücke oder bei einem Datenleck im Unternehmen, sondern entsteht durch unsichere Passwörter oder Mehrfachnutzung von Zugangsdaten. Nutzen Anwender:innen beispielsweise identische Passwörtern auf mehreren Systemen, genügt es, wenn einer dieser Server kompromittiert wurde. Die entsprechenden Daten geraten dann häufig in globale Listen, die Hacker:innen weltweit als lexikalische Quelle für Schlüsseltools nutzen.
Nicht nur gezielte Angriffe und Malware führen zu Datenpannen. Häufig sind menschliches Versagen, fehlerhafte Prozesse oder technische Pannen die Ursache dafür. Sind die Daten jedoch erst einmal in fremden Händen, sorgen sie latent für Gefahr. Speziell dort, wo gleiche oder ähnliche Passwörter über Jahre hinweg zum Einsatz kommen, existiert dadurch eine permanente Gefährdung, auch wenn die Datenpanne schon Jahre zurückliegt.

Überwachung von Passwörtern bei Google Chrome und iOS

In Google Chrome und iOS führen Passwortverletzungen häufig zu erheblichen Sicherheitsrisiken und Datenpannen bei Passwörtern. Wenn Nutzer:innen kompromittierte Zugangsdaten verwenden, warnt Chrome aktiv und fordert zur sofortigen Änderung auf. Auch iOS hat diese Funktion direkt in das Betriebssystem integriert.
Nutzer:innen erhalten so Benachrichtigungen über schwache oder bereits geleakte Passwörter. Beide Plattformen bieten zudem Passwortmanager, die starke Passwörter generieren und speichern. Indem Nutzer:innen diese Funktionen aktiv nutzen, schützen sie ihre Konten vor unbefugtem Zugriff und minimieren das Risiko von Datenverlust oder Identitätsdiebstahl.
Arbeiter mit Helm schaut auf sein Smartphone

Mobiler Virenschutz für Mitarbeiter:innen

Ihre Mitarbeiter:innen nutzen die Firmen-Handys auch privat? Mit unserer netzbasierten Virenschutz-Lösung Secure Net surfen sie sicher im Vodafone-Netz.

  • Ohne Installation, direkt im Netz
  • Schützt von Viren und Pishing
  • Automatisch auf dem neusten Stand

Beispiele für Datenpannen

In den letzten Jahren sorgten mehrere große Passwort-Datenpannen für Schlagzeilen. Sie zeigen: Auch große IT-Konzerne sind nicht vor Datenpannen sicher. 2012 stahlen Hacker Millionen Zugangsdaten von LinkedIn, was die Sicherheit vieler Onlinekonten gefährdete. 2013 griffen Cyberkriminelle Adobe an und erlangten Zugang zu rund 150 Millionen Anmeldedaten. Yahoo hatte 2016 eines der größten Datenlecks der Geschichte, bei dem 3 Milliarden Konten betroffen waren.
Anfang April 2019 gelangten unglaubliche 540 Millionen Facebook-Kundendaten an die Öffentlichkeit. Diese waren auf Amazon-Cloud-Servern gespeichert und kurzzeitig allgemein frei zugänglich. Ein paar Monate zuvor im September 2018 waren Fotos von mehreren Millionen Mitgliedern des Onlinenetzwerks für Apps ohne Einwilligung der Nutzer:innen frei zugänglich. Dazu gehörten Bilder, die zwar auf Servern von Facebook lagerten, dort aber noch nicht gepostet und daher eigentlich für die Öffentlichkeit unzugänglich waren.
Doch auch deutsche Unternehmen machten mit Datenpannen Schlagzeilen. Die Deutsche Post betreibt unter der Domain umziehen.de ein Portal, über das Menschen ihre neue Adresse nach einem Umzug eingeben, um Banken und Versicherungen automatisch zu informieren. Anfang Juli 2019 gelangten rund 200.000 Umzugsmitteilungen aufgrund eines menschlichen Fehlers ungeschützt ins Internet. Bei einem „Sicherheitsupdate“ legten die Verantwortlichen eine Kopie der Daten an, die sie anschließend hätten löschen sollen – was jedoch nicht geschah.
Junger Mann studiert das Vodafone Cyber Security Whitepaper am Laptop

Whitepaper: Cyber Security

Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:

  • Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
  • Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
  • Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen

Schadensbegrenzung: Informationspflichten nach DSGVO

Für die Verantwortlichen in Unternehmen gibt es durch die Datenschutz-Grundverordnung (DSGVO) klare Vorgaben, wann ein Datenschutzverstoß meldepflichtig ist. Der Art. 33 DSGVO : schreibt vor, dass eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde anzuzeigen ist. Diese Anzeige hat immer dann zu erfolgen, wenn „die Verletzung des Schutzes personenbezogener Daten zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen kann.“
Der zentrale Fokus liegt auf dem Risikobegriff. Verantwortliche müssen einen Vorfall melden, wenn dadurch ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht. Um diese Entscheidung treffen zu können, ist eine Risikobeurteilung durch die:den Datenschutzbeauftragte:n des Unternehmens durchzuführen.
Selbst wenn die Risikobeurteilung ergibt, dass kein Risiko besteht, sind Unternehmen dazu verpflichtet, den zugrunde liegenden Sachverhalt für Nachweiszwecke zu dokumentieren. Kommen die Führungskräfte diesen Pflichten nicht nach, drohen ihnen und dem Unternehmen empfindliche Strafen.
Dabei können Geschäftsführer:innen auch persönlich haftbar gemacht werden. Die persönliche Haftung war bisher jedoch auf die Fälle beschränkt, wo
  • Beteiligte von der beanstandeten Datenverarbeitung profitiert haben
  • Fehler bekannt waren und geduldet wurden
  • Meldepflichten ignoriert wurden
  • die Betroffenen aktiv und fahrlässig am fehlerhaften Umgang mit Daten beteiligt waren

Vorsorge für Unternehmen: So vermeiden Sie Datenpannen

Ein wichtiges Instrument für Unternehmen, um Datenpannen zu vermeiden, sind regelmäßige Schulungen für Mitarbeiter:innen. Diese stellen sicher, dass alle den richtigen Umgang mit sensiblen Daten verstehen und mögliche Risiken erkennen. Dazu zählen:
  • mit Datenträgern verantwortungsvoll umgehen
  • Systeme und Datenspeicher sicher entfernen
  • mit Unterlagen und Daten vertraulich umgehen
  • Akten vorschriftsmäßig vernichten
Zusätzlich helfen starke Verschlüsselungstechnologien, Daten während der Übertragung und Speicherung zu schützen. Dadurch erschweren sie den Zugriff für Unbefugte erheblich. Durch den Einsatz von Mehr- oder Zwei-Faktor-Authentifizierung (2FA) sichern Unternehmen den Zugang zu IT-Systemen zusätzlich ab. Selbst wenn ein Passwort kompromittiert wird, verhindern weitere Authentifizierungsschritte den unbefugten Zugriff.
Regelmäßige Sicherheitsupdates und Patches halten die IT-Infrastruktur auf dem neuesten Stand, beheben Schwachstellen und minimieren das Risiko von Angriffen. Indem Unternehmen klare Prozesse für den Umgang mit Vorfällen etablieren, ist ein schnelles und effektives Handeln im Ernstfall gewährleistet.
Ein nach den Empfehlungen des BSI strukturiertes Notfallhandbuch hilft zudem dabei, die richtige Vorgehensweise zu wählen, Ansprechpartner:innen zu finden und strukturiert vorzugehen. Die Erstellung eines Notfallhandbuchs liegt normalerweise in den Händen der Datenschutzbeauftragten. Beispiele dafür sind auch auf den Webseiten des BSI im Bereich Notfallmanagement zu finden.
Junger Mann im Home Office schaut auf seinen Notebook-Bildschirm

Identitätsprüfung leicht gemacht

Nicht sicher, ob eine Person die ist, für die sie sich ausgibt? Mit den Vodafone Identity Verification Services haben Cyber-Kriminelle beim Identitätsbetrug keine Chance.

  • Unrechtmäßige Zugriffe entdecken
  • Identitätsdiebstähle aufdecken
  • Konten und Daten wirksam schützen

Das Wichtigste zu Datenpannen in Kürze

  • Eine Datenpanne tritt auf, wenn die Sicherheit von Informationen gefährdet ist, weil Vertraulichkeit, Integrität oder Verfügbarkeit verletzt wurden.
  • Schulungen für Mitarbeiter:innen schärfen das Bewusstsein für IT-Bedrohungen und helfen, potenzielle Ursachen von Datenpannen zu vermeiden.
  • Im Schadensfall ist schnelles Handeln gefragt. Was zu tun ist, schreibt die Datenschutz-Grundverordnung (DSGVO) vor.
  • Ein Notfallhandbuch hilft dabei, die notwendigen Schritte und Prozesse nach einer Datenpanne sicher und koordiniert auszuführen.
  • Verschlüsselungstechnologien und Maßnahmen wie Zwei-Faktor-Authentifizierung (2FA) unterstützen dabei, die Datensicherheit im Unternehmen deutlich zu erhöhen.
  • Ein funktionierender Virenschutz und eine Internetfirewall als Bestandteil einer professionellen IT-Sicherheitslösungen für Unternehmen tragen dazu bei, Malware und andere Schadsoftware erfolgreich abzuwehren.
Das könnte Sie auch interessieren:
Security
Sozialstation Hildebrand Cybersecurity für mobile Endgeräte

Sozialstation Hildebrand: Cybersecurity für mobile Endgeräte

Nicht nur Konzerne und mittelständische Unternehmen, sondern auch sogenannte SOHOs (Small Office/Home Office), also Betriebe mit bis zu 20 Beschäftigten, stehen zunehmend vor der Herausforderung, ihre digitalen Geräte vor Cyberbedrohungen wie Phishing, Malware und Datendiebstahl zu schützen. Besonders im Umgang mit sensiblen Daten, wie im Gesundheitswesen, sind umfassende Sicherheitslösungen unverzichtbar. Ein Best-Practice-Beispiel ist die Sozialstation Hildebrand GmbH, die ihre mobilen Geräte mit der Vodafone-Lösung "Lookout for Small Business" absichert.

Telefon

Digitalisierungs-Beratung

Sie haben Fragen zur Digitalisierung? Jetzt kostenlos beraten lassen. Montag-Freitag von 8-18 Uhr, außer an Feiertagen.

0800 505 4539

Hilfe und Service

Montag bis Freitag von 8 bis 20 Uhr, außer an Feiertagen.

0800 172 1234
Online
Vor Ort