DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Daten-Leak bei einer deutschen Autovermietung Sachverhalt Auf Hinweis der Deutschen Gesellschaft für Cybersicherheit sowie durch eine gemeinsame Recherche der Journalisten von c‘t und ZEIT wurde der breiten Öffentlichkeit im Januar 2020 erstmalig bekannt, dass sensible Daten von drei Millionen Kundinnen und Kunden einer deutschen Autovermietung frei im Internet abrufbar gewesen waren. Demnach hatte es einen Konfigurationsfehler bei einem Backup-Server des Anbieters gegeben, sodass kein Passwort für den Zugriff über das Netzwerkprotokoll Server Message Block (SMB) erforderlich war. Über den offenstehenden SMB-Port 445 war jeder Internetnutzer in der Lage, den Datenbestand von insgesamt 10 Terabyte herunterzuladen. Der Datenbestand umfasste laut den Analysen der Journalisten über neun Millionen Mietverträge, die zum Teil bis in das Jahr 2003 zurückreichten. Neben den Mietern seien auch die Fahrer mit Namen, Adresse, Geburtsdatum, Führerscheinnummer und Ausstellungsdatum aufgeführt gewesen. Viele Mieter hätten zudem Mobilfunknummern und E-Mail-Adressen angegeben. Darüber hinaus seien detaillierte Informationen über bei der Anmietung entstandene Schäden und Unfälle enthalten und mehr als 3.000 Passwörter von Angestellten und Kunden im Klartext ersichtlich gewesen. Kreditkartennummern hätten sich nicht in der Datenbank befunden, wohl aber Zahlungsinformationen und Bankverbindungen auf eingescannten Rechnungen. Da der Autovermieter seine Fahrzeuge auch über Vermittler anbietet, könnten auch Personen betroffen gewesen sein, die gar kein Auto unmittelbar bei dem Anbieter gemietet hatten. Die enthaltenen Angaben zu Unfällen könnten zudem dazu geführt haben, dass auch Daten von Personen erfasst wurden, die in keinem Kundenverhältnis zum Unternehmen standen. Die veröffentlichten Daten waren als äußerst sensibel einzuschätzen. Aufgrund der hohen Validität der abrufbaren Daten verfügten diese über ein hohes Potenzial, für kriminelle Zwecke Verwendung zu finden: Vom Phishing bis hin zur Erpressung oder Bedrohung wären zahlreiche Handlungen krimineller Akteure denkbar. Potenzielle kriminelle Handlungen könnten auch mit einem erheblichen zeitlichen Versatz eintreten, wenn der Vorfall bereits in Vergessenheit geraten ist. Reaktion Der ungeschützte Zugriff auf den Server war bis zur Schließung des Ports am 20. Januar 2020 möglich. Der Autovermieter hat das zuständige Landesamt für Datenschutz hierüber unterrichtet. Am 25. Januar 2020 veröffentlichte das Unternehmen eine Stellungnahme mit Angaben nach Art. 34 DS-GVO und bestätigte den Vorfall. Empfehlung Der Vorfall macht deutlich, welche schwerwiegenden Konsequenzen ein einzelner Konfigurationsfehler haben kann. Im Sinne der BSI-Standards zur Internet-Sicherheit (ISi-Reihe) sollte bei Servern möglichst nach einem Minimalsystem gearbeitet werden: Es sollten nur die Dienste, Programme und Funktionen bereitgestellt werden, die auch tatsächlich benötigt werden. Nach der Konfiguration des Servers sollte zudem eine Analyse der laufenden Prozesse, der im Netz erreichbaren Schnittstellen und anderer auf dem Server installierter Programme erfolgen, um etwaige Fehlkonfigurationen auszuschließen. Abhängig vom Einsatzzweck eines Servers sollte die Konfiguration zusätzlich von einer Management-Komponente auf etwaige Änderungen geprüft werden. 21