Vor allem Telefonnummern sind von dem Vorfall betroffen, aber auch E-Mail-Adressen, Geburtsdaten und Klarnamen. Die Risiken für Unternehmen und Privatpersonen sind nicht zu unterschätzen. Erfahren Sie, was das bedeutet und wie Sie herausfinden, ob Sie betroffen sind.
Was ist passiert?
Anfang April wurden Daten von etwa 533 Millionen Nutzern des sozialen Netzwerks “Facebook” im Internet veröffentlicht. Wie der Sicherheitsforscher Troy Hunt auf seinem Blog beschreibt, besteht der primäre Wert der veröffentlichten Daten in der Verbindung von Telefonnummern mit der Identität von Personen. Deutlich seltener waren E-Mail-Adressen betroffen. Die meisten Datensätze enthielten Namen und Geschlecht, viele auch Geburtsdatum, Wohnort, Beziehungsstatus und Arbeitgeber. Während Facebook auf Twitter darauf hinweist, dass es sich um Daten aus einem Vorfall im Jahr 2019 handelt, gehen andere Sicherheitsforscher davon aus, dass auch neuere Daten enthalten sind.
Was bedeutet das für mich?
Es gibt mehrere Szenarien, wie Cyber-Kriminelle diese Daten nutzen können. Im Folgenden stellen wir einige der wahrscheinlichsten vor.
Kriminelle können die Informationen für Spam– und Phishing-Kampagnen nutzen – insbesondere per Telefon, aber auch per E-Mail. Tatsächlich sind Phishing-Kampagnen über das Telefon keine Seltenheit. Unter Vortäuschung falscher Tatsachen versuchen die Kriminellen per Anruf (Vishing) oder SMS (Smishing) an sensible Informationen oder Zugänge gelangen. In Anbetracht der durchgesickerten Daten – zu denen Geburtsdatum, Beziehungsstatus und Beschäftigungsinformationen gehören – können die Nachrichten genau auf Ihre Person bzw. Ihr Unternehmen zugeschnitten sein. Das bedeutet, dass sich die Kriminellen in der Nachricht z. B. als Ihr Partner oder Arbeitgeber ausgeben oder vorgeben, Ihnen Geburtstagswünsche zu senden.
Welche Risiken bestehen dadurch im geschäftlichen Kontext?
Eventuell sind das Facebook-Konto Ihres Unternehmens (und damit verbundene Daten wie Telefonnummer) direkt betroffen. Oder Sie nutzen die entwendeten privaten Daten auch im geschäftlichen Umfeld – so zum Beispiel das private Telefon im Homeoffice oder die persönliche E-Mail-Adresse während abendlicher Überstunden.
Kriminelle starten per Telefon (Anrufe und SMS) oder E-Mail zielgerichtete und personalisierte Phishing-Kampagnen. Ziel kann es sein, an sensible Unternehmensdaten (z.B. Zugangsdaten, Zahlungsinformationen, Geschäftsstrategien) zu gelangen, Zahlungen zu erwirken oder sich Zugriff auf die Systeme des Unternehmens zu verschaffen.
Ihr geschäftliches E-Mail-Konto und Ihr Telefon gehen in Spam-Nachrichten und -Anrufen unter. Relevante Nachrichten bleiben unerkannt oder werden erst mit einer Zeitverzögerung bemerkt.
Automatisierte Anrufe lassen das Telefon kurz klingeln. Rückrufe führen in Kostenfallen, die bei einem geschäftlichen Telefon von der Firma getragen werden müssen.
Welche Risiken bestehen dadurch im privaten Kontext?
Vorrangig wird diese Datenpanne vermutlich Risiken für Sie als Privatperson mitsichbringen. Diese ähneln den geschäftlichen Risiken:
- Ihr privates E-Mail-Konto und Ihr Telefon gehen in Spam-Nachrichten und -Anrufen unter.
- Kriminelle starten per Telefon oder E-Mail zielgerichtete und personalisierte Phishing-Kampagnen, um an persönliche Daten (z.B. Passwörter, Zahlungsinformationen, Identität) zu gelangen, Zahlungen zu erwirken oder sich Zugriff auf Ihre Systeme zu verschaffen.
- Automatisierte Anrufe lassen das Telefon kurz klingeln. Rückrufe führen in Kostenfallen.
Was kann ich tun?
Um zu überprüfen, ob Ihre Daten veröffentlicht wurden, empfehlen wir Ihnen, die Webseite “Have I Been Pwnd” zu besuchen, auf der Sie Ihre Telefonnummer und E-Mail-Adresse überprüfen können. Geben Sie diese in ein Suchfeld ein und drücken Sie auf die Schaltfläche „pwnd?“. Die Ergebnisse erscheinen auf Englisch.
Wenn Ihre Daten veröffentlicht wurden, empfehlen wir Ihnen die folgenden Schritte:
- Ändern Sie das Passwort zu Ihrem Facebook-Konto.
- Richten Sie eine 2FA-Authentifizierung für Ihr Facebook-Konto ein.
- Achten Sie auf verdächtige Nachrichten, die Sie auf Ihrem Telefon erhalten. Das können z. B. Nachrichten über die Lieferung von Bestellungen sein. Entscheidend ist, dass Sie keine Links oder Dateien in den Nachrichten/E-Mails öffnen, die Sie nicht erwartet haben. Geben Sie keine sensiblen Daten weiter (z.B. Firmeninterna, Passwörter etc.), ohne sich rückzuversichern. Wenn Sie sich nicht sicher sind, ob der Absender echt ist, suchen Sie einen alternativen Weg der Kontaktaufnahme und prüfen Sie, ob er die Nachricht wirklich gesendet hat.
- Schränken Sie Ihre öffentlichen Informationen auf Facebook ein.
- Veröffentlichen Sie nur die Standortdaten, die Sie teilen möchten.
- Raten Sie Ihren Kollegen, die gleichen Schritte durchzuführen.
- Wenn Sie Zweifel haben, wenden Sie sich gern an Perseus.