Presseschau: Datenschutz, Datensicherheit und Informationssicherheit

Cyberangriffe auf Dienstleister, kritische Sicherheitslücken in Unternehmenssoftware und der Schutz personenbezogener Daten stehen in dieser Woche im Mittelpunkt. Im Folgenden finden Sie eine Übersicht über aktuelle Meldungen.

Datenschutzbehörde untersucht Cyberangriff auf Schweizer Softwareanbieter

Nach einem Cyberangriff auf den Schweizer Softwareanbieter PK Softech AG hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) am 22. Oktober eine formelle Untersuchung eingeleitet. Besonders heikel: Bei dem Angriff wurden Daten mehrerer Pensionskassen entwendet, darunter auch Daten der Pensionskasse des Bundes Publica sowie jener der Stadt Zürich. Nach aktuellem Stand wurden dabei auch Informationen von Versicherten erbeutet, wie die Neue Zürcher Zeitung schreibt. Die Untersuchung soll klären, welche personenbezogenen Informationen betroffen sind und ob die Datenverarbeitung durch den Dienstleister den gesetzlichen Anforderungen entsprach.

Das Risiko: Werden personenbezogene Daten an externe Softwareanbieter übermittelt, können Sicherheitsvorfälle beim Dienstleister zahlreiche Unternehmen und deren Kunden gleichzeitig betreffen. Neben dem Datenverlust drohen aufsichtsrechtliche Untersuchungen und erhebliche Reputationsschäden.

Die Erkenntnis: Unternehmen sollten die technischen und organisatorischen Maßnahmen ihrer IT-Dienstleister regelmäßig überprüfen. Dazu gehören klare vertragliche Verantwortlichkeiten, dokumentierte Datenflüsse und verbindliche Prozesse für die Meldung und Bearbeitung von Sicherheitsvorfällen.

PHP-Sicherheitslücke: Sicherheitsupdates allein reichen nicht aus

Erneut war die in der vergangenen Woche entdeckte PHP-Sicherheitslücke ein Thema in den Medien. Mittlerweile sind viele zuvor abgeschaltete Webseiten wieder erreichbar. Sicherheitsexperten warnen allerdings davor, sich allein auf die Installation der bereitgestellten Updates zu verlassen. Wie die Tagesschau berichtet, sollten Webseitenbetreiber ihre Protokolldaten rückwirkend bis zum 17. Oktober überprüfen, da bereits zu diesem Zeitpunkt erste Angriffsversuche registriert wurden. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, PHP-Webserver verstärkt auf Auffälligkeiten zu überwachen. Ein zusätzliches Problem stellen veraltete PHP-Versionen dar, für die keine Sicherheitsupdates mehr verfügbar sind.

Das Risiko: Selbst wenn eine Sicherheitslücke durch ein Update geschlossen wurde, können Angreifer zuvor bereits Zugriff auf betroffene Systeme erlangt haben. Unentdeckte Kompromittierungen können dazu führen, dass Schadsoftware oder unberechtigte Zugänge bestehen bleiben und sensible Unternehmens- oder Kundendaten weiterhin gefährdet sind.

Die Erkenntnis: Unternehmen sollten Sicherheitsupdates nicht als abgeschlossene Einzelmaßnahme betrachten, sondern mit einer systematischen Überprüfung ihrer IT-Systeme verbinden. Dazu gehören die Auswertung von Zugriffs- und Fehlerprotokollen, die Überwachung verdächtiger Aktivitäten und die vollständige Erfassung eingesetzter Softwareversionen. Ein wirksames Schwachstellenmanagement muss deshalb sowohl die schnelle Installation von Updates als auch die nachträgliche Kontrolle möglicher Sicherheitsvorfälle umfassen.

Unfreiwillige Offenbarung bei Berliner Linkspartei

Eine versehentlich versandte Interviewfassung mit internen Kommentaren bringt die Berliner Linken-Politikerin Elif Eralp in Bedrängnis. Wie Cicero und Spiegel Online berichteten, hatte Eralp bei der Freigabe eines Spiegel-Interviews versehentlich eine Version mit persönlichen Anmerkungen zurückgeschickt. Darin äußerte sie Angst vor einem mutmaßlichen Terrorsympathisanten aus dem Umfeld ihrer Partei und Sorgen um die Sicherheit ihrer Familie. Die eigentlich vertraulichen Aussagen wurden dadurch öffentlich.

Das Risiko: Vertrauliche Informationen gelangen nicht nur durch Hackerangriffe oder vorsätzlichen Datenmissbrauch an die Öffentlichkeit. Häufig reichen menschliche Fehler wie ein falscher E-Mail-Anhang, übersehene Kommentare oder eine unzureichend geprüfte Dokumentenversion aus. Die Folgen können erhebliche persönliche, politische und wirtschaftliche Schäden sein.

Die Erkenntnis: Informationssicherheit ist nicht allein eine technische Herausforderung. Klare Freigabeprozesse, regelmäßige Mitarbeiterschulungen und regelmäßige Mitarbeiterschulungen gehören ebenfalls zum Sicherheitsmanagement.

Kritische Oracle-Sicherheitslücke: Angreifer suchen bereits nach verwundbaren Systemen

Eine kritische Schwachstelle in der Oracle E-Business Suite ermöglicht es Angreifern unter bestimmten Voraussetzungen, ohne vorherige Anmeldung die Kontrolle über betroffene Systeme zu übernehmen. Am 28. Oktober berichtete BleepingComputer, dass Sicherheitsforscher inzwischen gezielte Suchaktivitäten nach ungepatchten Installationen beobachten. Oracle veröffentlichte bereits am 20. Oktober entsprechende Sicherheitsupdates, diese wurden aber noch nicht von allen Unternehmen umgesetzt.

Das Risiko: ERP-Systeme verarbeiten häufig besonders sensible Geschäfts-, Finanz- und Personaldaten. Ein erfolgreicher Angriff kann deshalb nicht nur den laufenden Geschäftsbetrieb beeinträchtigen, sondern auch zum Abfluss vertraulicher Unternehmensinformationen führen.

Die Erkenntnis: Sicherheits-Updates sollten möglichst zeitnah umgesetzt werden. Wichtig ist deshalb ein zielführendes Informationssicherheits-Managementsystem (ISMS).

Cyberangriff auf den Paritätischen Wohlfahrtsverband: Sensible Daten betroffen

Der Paritätische Wohlfahrtsverband in Nordrhein-Westfalen ist Opfer eines Hackerangriffs geworden. Unbekannte konnten dabei personenbezogene Daten erbeuten, darunter möglicherweise auch sensible Informationen wie Bankverbindungen. Noch ist unklar, ob neben den 425 direkt beim Landesverband Beschäftigten auch Mitarbeitende der rund 3.100 Mitgliedsorganisationen betroffen sind. Der Verband hat nach eigenen Angaben die ausgenutzten Schwachstellen behoben, zusätzliche Sicherheitsmaßnahmen eingeführt und möglicherweise Betroffene informiert. Zudem wurden die Datenschutzaufsichtsbehörde eingeschaltet, Strafanzeige erstattet und externe IT-Fachleute hinzugezogen. Darüber berichtet die WELT.

Das Risiko: Cyberangriffe auf Verbände und andere Organisationen können weitreichende Folgen haben, wenn personenbezogene Daten zentral gespeichert und verarbeitet werden. Neben dem möglichen Missbrauch sensibler Informationen drohen erhebliche organisatorische Belastungen durch die Untersuchung des Vorfalls, die Information Betroffener und die Erfüllung gesetzlicher Meldepflichten.

Die Erkenntnis: Unternehmen und Organisationen sollten Zugriffsrechte auf personenbezogene Daten regelmäßig überprüfen, technische und organisatorische Schutzmaßnahmen dokumentieren und verbindliche Abläufe für Datenschutzverletzungen festlegen. Dazu gehört insbesondere, Sicherheitsvorfälle schnell zu erkennen, ihre Auswirkungen zu bewerten und gegebenenfalls die zuständige Datenschutzaufsicht innerhalb der gesetzlichen Fristen zu informieren.

Datenpanne bei Sony: Rund 2,5 Millionen Kundendatensätze betroffen

Die Sony-Tochter Sony Network Communications hat einen Datenschutzvorfall bestätigt, bei dem rund 2,5 Millionen Datensätze mit personenbezogenen Informationen aktueller und ehemaliger Kunden kompromittiert wurden, wie BleepingComputer schreibt. Das japanische Unternehmen bietet unter anderem Internet- und Telekommunikationsdienstleistungen an.

Das Risiko: Große Kundendatenbestände sind für Cyberkriminelle besonders attraktiv. Entwendete personenbezogene Informationen können für gezielte Phishing-Angriffe, Identitätsmissbrauch und weitere Betrugsversuche verwendet werden. Auch ehemalige Kunden können betroffen sein, wenn ihre Daten weiterhin gespeichert werden.

Die Erkenntnis: Unternehmen sollten prüfen, welche Kundendaten tatsächlich noch benötigt werden und wie lange sie gespeichert bleiben. Datensparsamkeit, konsequente Löschkonzepte und eine wirksame Zugriffsbeschränkung reduzieren mögliche Schäden bei einem Sicherheitsvorfall.

KI-Entwicklungsplattform Warp: Daten durch Angriff auf Dienstleister offengelegt

Der Anbieter der KI-gestützten Entwicklungsumgebung Warp hat einen Sicherheitsvorfall bestätigt, bei dem Protokolldaten von KI-Agenten und technische Nutzungsinformationen durch einen Angriff auf einen externen Dienstleister offengelegt wurden. Nach Angaben des Unternehmens könnten etwa ein Prozent der Nutzer betroffen sein. Ob auch Quellcode, Zugangsdaten oder vertrauliche Eingaben kompromittiert wurden, ist noch nicht abschließend geklärt, wie BleepingComputer am 27. Oktober berichtete.

Das Risiko: KI-Anwendungen können vertrauliche Informationen nicht nur in ihren eigentlichen Arbeitsergebnissen, sondern auch in Protokollen und Telemetriedaten speichern. Werden solche Informationen bei externen Anbietern verarbeitet, entstehen zusätzliche Angriffsflächen.

Die Erkenntnis: Unternehmen sollten bei der Einführung von KI-Werkzeugen prüfen, welche Daten protokolliert, gespeichert und an Drittanbieter weitergegeben werden. Klare Nutzungsrichtlinien, Zugriffsbeschränkungen und regelmäßige Sicherheitsprüfungen gehören zu einem wirksamen KI-Risikomanagement.

Was Unternehmen daraus lernen

Die Meldungen dieser Woche verdeutlichen drei zentrale Herausforderungen: Sicherheitsrisiken durch externe Dienstleister, unzureichend geschützte personenbezogene Daten und kritische Schwachstellen in weitverbreiteter Software. Unternehmen sollten deshalb ihre Dienstleisterkontrollen, Lösch- und Berechtigungskonzepte sowie ihr Patchmanagement regelmäßig überprüfen. Auch die Nutzung KI-gestützter Anwendungen muss in bestehende Datenschutz- und Sicherheitsprozesse integriert werden.

Eine strukturierte NIS2-Readiness und eine gezielte Audit-Vorbereitung helfen dabei, Sicherheitsmaßnahmen systematisch zu bewerten, Verantwortlichkeiten festzulegen und die erforderlichen Nachweise zu dokumentieren.

Sie möchten Ihre Datenschutz- und Informationssicherheitsprozesse überprüfen lassen? Nehmen Sie über unser Kontaktformular Kontakt mit Tulos auf und fordern Sie ein individuelles Angebot an.