Ransomware hat es heutzutage kaum noch auf einzelne Anwender abgesehen. Meistens sind Organisationen mit wertvollen Daten wie Unternehmen, Konzerne oder Regierungseinrichtungen das Ziel der Angreifer, da sie eher die Mittel und Gründe für eine Zahlung des Lösegeldes haben.
Doch selbst wenn diese ertragsversprechenden Opfer das eigentliche Ziel der Ransomware-Gruppen sind, werden noch lange nicht nur deren Unternehmensdaten abgegriffen. Mit dem inzwischen fast schon standardmäßigen Diebstahl von Daten und deren Veröffentlichung sind häufig auch personenbezogene Daten von Kunden betroffen, wie Krankenberichte, Finanz- oder Versicherungsdaten, Informationen zu akademischen Leistungen und vieles mehr.
Verbrauchern kommen da natürlich ernsthafte Bedenken hinsichtlich Sicherheit und Privatsphäre. Doch was können Sie selbst tun?
Kundendaten im Kreuzfeuer
In der Welt der Ransomware hat sich Double Extortion schnell zu einem Standardvorgehen gemausert. Dabei werden Daten nicht mehr nur gegen ein Lösegeld auf dem Zielsystem verschlüsselt, sondern zudem auch noch gestohlen, um das Opfer weiter unter Druck zu setzen. Wenn dann das Lösegeld nicht bezahlt wird, veröffentlichen die Angreifer sie dann oder verkaufen sie im Darknet.
Diese Datenauszüge bestehen in erster Linie aus geschäftlichen Unterlagen, wie Finanzinformationen, firmeninternen E-Mails, internen Berichten und dergleichen. Dennoch enthalten sie häufig auch große Mengen sensibler Kundendaten.
Das ist nicht nur für das von der Ransomware betroffen Unternehmen enorm beunruhigend, sondern auch für Sie, dessen Kunden. Bezahlt das Opfer nicht, werden immerhin Ihre privaten Daten der Welt zugänglich gemacht. Angesichts der zunehmend aggressiveren Datensammelpraktiken ist es erschreckend, wie umfangreich und ausführlich die bei einem Ransomware-Angriff veröffentlichten Daten ausfallen können.
Durch einen Ransomware-Angriff bei einem Autohändler können beispielsweise die Daten Ihres Führerscheins, Ihres Kreditantrags, Ihrer Versicherung, Ihrer Privatadresse und Ihrer Kontaktinformationen an die Öffentlichkeit gelangen. Oder denken Sie an Ihre Krankenversicherung. Hier könnten Ihre medizinischen Unterlagen, Versicherungsdaten, bisher erhaltene Rezepte und vielleicht sogar Fotos, Körperscans oder ähnliches online veröffentlicht werden.
Sind diese Daten erst einmal einem Angriff zum Opfer gefallen, könnten sie als Teil des gestohlenen Datenpakets im Darknet verkauft werden und es ließen sich damit allerhand betrügerische Aktivitäten durchführen.
Was können Sie selbst tun?
Als Kunde selbst können Sie wenig machen, damit ein Unternehmen nicht Opfer von Ransomware wird. Aber Sie können sich zumindest zum Teil anders schützen.
- Geben Sie nur die nötigsten Informationen bekannt: Gar keine Daten von sich herauszugeben ist natürlich nicht möglich, aber Sie können zumindest deren Umfang beschränken. Damit schränken Sie folglich auch ein, wie viele personenbezogenen Daten bei einem Vorfall preisgegeben werden. Machen Sie bei Unternehmen und Onlinediensten immer nur die minimal erforderlichen Angaben und lehnen Sie wann immer möglich sämtliche Optionen zur Datenweitergabe (etwa zu Werbezwecken) ab.
- Informieren Sie sich über Sicherheitspraktiken der Unternehmen: Unternehmen sind immer schnell dabei, personenbezogene Daten von Ihnen anzufordern, aber nur selten in der Lage, diese auch angemessen abzusichern. Treffen Sie bezüglich Ihres Datenschutzes informierte Entscheidungen, indem Sie sich AGB sowie Lizenz- und Nutzungsvereinbarungen immer genau durchlesen, bevor Sie persönliche Informationen herausgeben. Sollte etwas unklar sein, bitten Sie das Unternehmen, seine Sicherheitspraktiken näher zu erläutern.
- Nutzen Sie kurzlebige Nachrichten: Bei einigen Datenleaks aufgrund von Ransomware wurden auch .pst-Dateien abgegriffen. Das sind Outlook-Dateien, in denen Nachrichten, Kalendereinträge und andere einer bestimmten E-Mail-Adresse zugeordnete Elemente enthalten sind. Nutzen Sie daher möglichst kurzlebige Nachrichten, wenn Sie wichtige oder vertrauliche Informationen kommunizieren müssen. Über Dienste für kurzlebige Kommunikation können Sie Nachrichten senden, die sich nach einer gewissen Zeit selbst zerstören und dabei die Nachricht sowohl aus dem Konto des Absenders als auch des Empfängers löschen.
- Verwenden Sie keine personenbezogenen Informationen für Kennwörter: Angreifer könnten versuchen, sich mithilfe der erbeuteten Daten Zugriff auf Ihre Onlinekonten und -dienste zu verschaffen. Erstellen Sie also nie Passwörter basierend auf persönlichen Informationen. Weitere Tipps zum Erstellen und Verwalten sicherer Passwörter finden Sie in unserem Blog.
- Überprüfen Sie, ob Sie schon von einer Datenpanne betroffen waren: Einige Unternehmen sind gewissenhafter als andere, wenn es um die Bekanntgabe einer Datenschutzverletzung geht. Über Dienste wie Have I Been Pwned können Sie prüfen, ob Ihre Daten schon einmal kompromittiert wurden und entsprechende Vorkehrungen treffen, zum Beispiel Kennwörter ändern, auf betrügerische Aktivitäten achten oder sich bei Bedarf an Ihre Dienstanbieter wenden.
In dieser Anleitung wird erklärt, wie Sie Ihren Online-Datenschutz in Schritten erheblich verbessern können.
Fazit
Bei Ransomware-Vorfällen sind häufig auch personenbezogene Daten betroffen. Als Verbraucher können Sie die von Ihnen genutzten Geschäfte und Dienste nicht vor Ransomware schützen, aber Sie können den Umfang Ihrer personenbezogenen Daten minimieren, die während des Angriffs gestohlen werden könnten.
Übersetzung: Doreen Schäfer