Verschwundene, geleakte oder unzugängliche Unternehmensdaten sind nicht immer auf Cyberangriffe zurückzuführen. Verlorene USB-Sticks, zerstörerische Geräusche oder Hardware-Zusammenbrüche beweisen: Die Ursachen von Datenverlust sind vielfältig.
Nicht weniger als ein Drittel aller Schweizer KMU ist von Cyberattacken betroffen. Das belegt eine Studie des Markt- und Sozialforschungsinstitut gfs-zürich von 2017, für die 300 CEOs von Schweizer KMU befragt und die Resultate für die ganze Schweiz hochgerechnet wurden. Zu Unrecht fühlen sich die meisten Unternehmen vor Netzgefahren gut geschützt: Das Risiko, Opfer eines Cyberangriffs zu werden und Datenklau oder Datenverschlüsselung mitsamt Erpressung ertragen zu müssen, wird nach wie vor tief eingeschätzt – sofern man sich der Gefahr überhaupt bewusst ist. Die Studienergebnisse sind zweifelsohne alarmierend, und andere Befragungen zeigen sogar, dass heute schon der Grossteil aller Schweizer KMU Cyberangriffe erleiden musste; doch bei jeder dieser Warnungen geht eines schnell vergessen: In Unternehmen kommen Daten nicht nur durch Viren, Trojaner und Konsorten abhanden.
Unsere 6 Beispiele zeigen, dass die Ursachen von Datenverlusten und -lecks vielfältig sind – oder gar unentdeckt bleiben:
1. Flughafen London Heathrow: Geldstrafe wegen verlorenem USB-Stick
In der Nähe des Londoner Queen’s Park fand ein Arbeitsloser auf offener Strasse einen USB-Stick – mit «aufschlussreichen» Informationen über den Flughafen London Heathrow: Die unverschlüsselten Daten gaben etwa die Standorte von Überwachungskameras, Fluchtwege oder die Einsatzzeiten von Polizeipatrouillen preis. Selbst die Route von Königin Elizabeth II. zum Flughafen sowie Massnahmen zum Schutz der Queen und hochrangiger Politiker befanden sich auf dem Stick. Der Mann übergab den Datenträger dem «Sunday Mirror», die Zeitung leitete ihn der Flughafenverwaltung weiter, worauf sämtliche Sicherheitsmassnahmen am Flughafen überprüft wurden. Die Untersuchungen ergaben, dass ein Sicherheitstrainer die Daten auf dem Stick zusammengestellt und diesen auf dem Arbeitsweg verloren hatte. Seine Fahrlässigkeit kam dem Flughafenbetreiber teuer zu stehen: Heathrow Airport Limited zahlte eine Geldstrafe in Höhe von 120’000 Pfund.
2. Sicherheitslücken zwingen Yourtaxi in die Knie
Das 2017 gegründete Zürcher Startup Yourtaxi galt in der Schweiz als ernstzunehmender Uber-Konkurrent – nicht mal ein Jahr später wurde der Betrieb eingestellt. Wegen einer groben Datenpanne: Sicherheitslücken führten dazu, dass sensible Daten von Tausenden Kunden einfach übers Internet oder mit wenigen Kniffen über die Smartphone-App einsehbar waren. Etwa Namen, Fahrtenprotokolle, Telefonnummern, E-Mail-Adressen und Profilfotos. Der Grund für das Datenleck: Die App wurde von der indischen Firma Moon Technolabs programmiert und war unverschlüsselt, obwohl dort auch Ausweise und Kontodaten der Yourtaxi-Fahrer abgelegt waren. Diese liessen sich durch die Sicherheitslücke sogar verändern. Einige der Probleme wurden zwar behoben, ein Update der App blieb allerdings aus. Kurz darauf hat das Unternehmen seinen Dienst deaktiviert und die Webseite abgeschaltet.
3. Radio 3Fach verliert 16 Jahre Sendergeschichte
Dass auch Lokalradios nicht vor IT-Katastrophen gefeit sind, musste 3Fach erfahren. 2014 brach das komplette Serversystem des Luzerner Jugendradiosenders zusammen – Spiegelserver inklusive. Aufgefallen war das Problem, als ein Song nur noch in der Schlaufe lief und die 3Fach-Mitarbeitenden nicht mehr auf die Laufwerke zugreifen konnten. Zwar hatte der zuständige Host versucht, die Daten zurückzugewinnen – jedoch ohne Erfolg. Ein immenser Datenverlust: Beiträge aus 16 Jahren Sendergeschichte, die Mitgliederliste und eine Musikbibliothek aus 35’000 Songs waren weg. «Wir sind auf null zurückgestellt», teilte 3Fach mit, und sendete eine Zeit lang unter dem Namen «Absturz 3Fach» in abgespeckter Form. Was genau zum Serverzusammenbruch geführt hat, konnte nicht mehr rekonstruiert werden. Immerhin hatte 3Fach einige Beiträge auf dem Online-Musikdienst Soundcloud gespeichert – und blieben dem Sender deshalb erhalten.
Sichere Datenablage und Backup
Mit Swisscom speichern Sie Ihre Daten sicher in der Cloud in einem Schweizer Rechenzentrum. Und ein automatisches Cloud-Backup schützt Ihr Unternehmen vor Datenverlust.
4. Digiplex: Schall im Serverraum verzögert Börsenhandel
Auch Lärm kann Auslöser folgenreicher Datenpannen sein – das weiss der schwedische Rechenzentrum-Betreiber Digiplex. Dort hat der laute Ton, der von den Düsen einer aktivierten Gaslöschanlage abgegeben wurde, zahlreiche Festplatten zerstört: Die Druckwelle des Geräuschs hat offenbar die Festplattengehäuse verformt – wodurch Schäden an den darin enthaltenen Magnetpartikeln sowie dem empfindlichen Schreib- und Lesekopf entstanden. Betroffen waren gehostete Systeme der Börsenplattform Nasdaq Nordic sowie zweier skandinavischer Banken. Die Folge: Der Beginn des Nasdaq-Börsenhandels in Schweden, Finnland, Dänemark, Island und den baltischen Staaten verzögerte sich um mehrere Stunden, bis das Backup-System hochgefahren wurde. Da Nasdaq nur den Raum im Rechenzentrum mietet und es in ganz Schweden nicht genug Server gab, um die alten zu ersetzen, musste die Börse neue Hardware einfliegen lassen.
5. Altersheim gibt bei Cyber-Angriff klein bei
Nicht mal vor Altersheimen machen Hacker halt: 2017 wurden die elektronischen Daten des Regionalen Alterszentrums Schöftland durch einen eingepflanzten Trojaner verschlüsselt und so unzugänglich gemacht. 1 Bitcoin – damals rund 7500 Franken – verlangten die Erpresser für die Entschlüsselung. Obwohl bei Cyber-Angriffen stets davon abgeraten wird, auf gestellte Forderungen einzugehen, bezahlte das Alterszentrum den Betrag. Im Vergleich zum Datenverlust, der dem Altersheim gedroht hätte, sei das Bezahlen der Summe das kleinere Übel gewesen. Durch den Angriff kamen zum Glück keine Personen zu schaden. Und da das Altersheim die Patientendossiers immer manuell auf Karteikarten nachgeführte, war auch der Betrieb nicht stark beeinträchtigt – auch wenn ein Backup aus der Cloud wohl zeitgemässer und praktischer gewesen wäre.
6. UBS-Angestellter verkauft Kundendaten
2012 hat ein ehemaliger UBS-Angestellter mindestens 233 Kundendaten gesammelt und für über 1 Million Euro an die Behörden des Bundeslands Nordrhein-Westfalen verkauft. Der Banker soll nach wirtschaftlich Berechtigten von Stiftungen und Trusts gesucht haben – bei denen die deutschen Behörden nur wenige Monate später Hausdurchsuchungen oder Ermittlungen durchführten. Doch die Sache flog auf: Auf einige der Daten habe nur der Angestellte zugegriffen. Bei seiner Hausdurchsuchung fand man nicht nur verbotene Munition; er hat auch versucht, eine SIM-Karte zu zerstören, auf der sich Informationen zu einem Hauskauf in Spanien befanden. Das Objekt verkaufte er just ein Jahr später wieder – und zwar mit Verlust, was den Verdacht auf Geldwäscherei nahelegte. Die Urteilsverkündung erfolgte am 21. Januar 2019 in Abwesenheit des Angeklagten: 40 Monate Gefängnis, eine bedingte Geldstrafe von 270 Tagessätzen zu 50 Franken und eine Ersatzforderung von 1,4 Millionen Franken. Darüber hinaus trägt der Angeklagte die Verfahrenskosten von rund 110’000 Franken. Das Urteil ist noch nicht rechtskräftig.
5 Strategien gegen Datenverlust
1. Erstellen Sie Backups nach der 3-2-1-Regel: Drei Kopien mit zwei Speichertechnologien, eine davon ausser Haus. Mit einem Backup ausserhalb der Firma stellen Sie sicher, dass Ihre Daten auch im Falle eines Brands oder Diebstahls erhalten bleiben. Gerade Cloud-Dienste eignen sich dafür.
2. Legen Sie Zuständigkeiten fest: Damit keine Missverständnisse auftreten, sollte klar definiert werden, wer im Unternehmen für die Speicherung von Daten verantwortlich ist. Diese Person ist gleichzeitig auch Ansprechpartner bei Rückfragen oder Problemen. Mit Autorisierungen schränken Sie zudem die Nutzungsrechte Ihrer Mitarbeiter ein.
3. Bestimmen Sie die Häufigkeit und den Zeitpunkt der Sicherung: Backups sollten zu einer festen periodischen Zeit (stündlich, täglich etc.) erstellt werden – so, wie es in Ihrem Unternehmen Sinn macht. Wenn alle zehn Minuten Daten generiert werden, sind stündliche Backups wenig hilfreich. Im umgekehrten Fall verursachen zu viele Backups nur unnötigen Mehraufwand.
4. Verschlüsseln Sie besonders sensible Daten: Gerade zur Auslagerung der Backups sollten diese verschlüsselt werden, um die Daten gegen einen Zugriff durch Dritte zu schützen.
5. Testen Sie regelmässig die Datensicherung: Ein Backup nützt nichts, wenn die Datenwiederherstellung fehlschlägt. Prüfen Sie deshalb Art der Speicherung, Funktionalität und die Speichermedien selbst. «Üben» Sie den Ernstfall, um zu sehen, ob die Daten aus Ihren Backups auch wirklich wiederhergestellt werden.
