Wenn Unternehmen über Datenlecks nachdenken, richtet sich die Aufmerksamkeit oft auf Angreifer, die Schwachstellen ausnutzen, Zugangsdaten stehlen oder sich Zugang zu einem Netzwerk verschaffen. Der jüngste Vorfall bei Revolut verdeutlicht einen anderen Weg: ein Unternehmen durch eine scheinbar legitime Anfrage dazu zu bewegen, Informationen preiszugeben.

Berichten zufolge gelangte ein unbefugter Dritter an Kundendaten, indem er betrügerische Anfragen von einer E-Mail-Adresse aus sendete, die mit einer echten Domain einer Regierungsbehörde verknüpft war. Revolut teilte mit, dass seine Systeme und die Kundengelder nicht betroffen seien. Aus den im Bericht beschriebenen Kundenbenachrichtigungen ging hervor, dass unter anderem Identitätsdokumente, Verifizierungs-Selfies und Finanzunterlagen zu den offengelegten Informationen gehörten.

Der Vorfall verdeutlicht, warum Datenschutz und Cybersicherheit nicht als völlig getrennte Bereiche betrachtet werden dürfen. Die Technologie mag genau wie vorgesehen funktionieren. Die Schwachstelle kann dennoch in der Entscheidung liegen, die jemand trifft, wenn eine Anfrage legitim erscheint.

Eine offiziell wirkende Anfrage muss dennoch überprüft werden

Eine scheinbare Autorität sollte niemals die Notwendigkeit einer unabhängigen Überprüfung ersetzen. Anfragen nach sensiblen Informationen verdienen eine genaue Prüfung, selbst wenn sie scheinbar von einer Regierungsbehörde, einer Aufsichtsbehörde oder einem bekannten Dritten stammen, wie inden Kommentaren unseres CTO Richard Ford gegenüber Sync NI hervorgehoben wurde.

Eine glaubwürdige E-Mail-Adresse ist nur eine Information unter vielen. Sie sagt nichts darüber aus, ob die Person, die sie nutzt, berechtigt ist, bestimmte Unterlagen zu erhalten, ob der Zweck echt ist oder ob der Umfang der angeforderten Informationen angemessen ist.

Die öffentliche Berichterstattung liefert nicht genügend Details, um jeden Schritt des internen Prozesses bei Revolut zu bewerten. Unternehmen können diesen Vorfall jedoch zum Anlass nehmen, ihre eigenen Vorkehrungen zu überprüfen. Wenn morgen eine offiziell anmutende Anfrage eintreffen würde, was würde geschehen, bevor jemand Kundendaten freigibt? Wären die Überprüfungen klar und einheitlich, oder würden sie davon abhängen, dass eine einzelne Person entscheidet, dass ihr etwas seltsam vorkommt?

Diese Unterscheidung ist wichtig, da überzeugende Anfragen darauf ausgelegt sind, keinen Verdacht zu wecken.

Die Weitergabe von Daten ist eine Sicherheitsentscheidung

Ein Mitarbeiter kann sich sicher authentifizieren, eine Datei öffnen, auf die er Zugriffsberechtigung hat, und diese über eine zugelassene Plattform weitergeben – und dennoch Informationen an die falsche Person preisgeben.

Zugriffskontrollen legen fest, was ein Mitarbeiter innerhalb eines Systems tun darf. Sie legen nicht unbedingt fest, ob eine bestimmte geschäftliche Handlung gerechtfertigt ist. Dazu ist der Kontext erforderlich: der Zweck der Anfrage, die Befugnisse des Empfängers und die zur Erfüllung der Anfrage benötigten Informationen.

Hier benötigen Sicherheits-, Datenschutz- und operative Teams einen gemeinsamen Prozess. Gemeinsam sollten sie festlegen, wer die Weitergabe genehmigen darf, wie sensible Daten weitergegeben werden dürfen und welche Nachweise aufbewahrt werden müssen.

Eine Richtlinie, die besagt, dass Kundendaten geschützt werden müssen, muss in praktische Entscheidungen und Systemkontrollen umgesetzt werden. Andernfalls bleibt es den Mitarbeitern überlassen, die Anforderung zu interpretieren, während sie sich mit einem Posteingang voller konkurrierender Anforderungen auseinandersetzen müssen.

Die Überprüfung sollte über Zahlungen hinausgehen

Überprüfungsverfahren sollten sowohl Anfragen nach sensiblen Unterlagen als auch nach Finanztransaktionen abdecken. Eine scheinbar glaubwürdige Quelle sollte nicht ausreichen, um eine Weitergabe zu genehmigen.

In der Praxis bedeutet eine unabhängige Überprüfung, dass ein Kontaktweg genutzt wird, der unabhängig von der eingehenden Nachricht eingerichtet wurde. Eine Antwort auf dieselbe E-Mail oder ein Anruf unter einer darin angegebenen Nummer stellt keine unabhängige Überprüfung dar.

Der Prozess sollte folgende Fragen klären:

• Wer stellt die Anfrage, und wie wurde dessen Identität überprüft?
• Wodurch wird seine Berechtigung zum Erhalt dieser Informationen belegt?
• Sind die angeforderten Daten für den angegebenen Zweck erforderlich?
• Wer muss die Freigabe genehmigen?
• An wen sind Unklarheiten oder Ausnahmen weiterzuleiten?

Organisationen sollten zudem das Ergebnis dieser Prüfungen für die Person sichtbar machen, die die Daten freigibt. Die Dokumentation einer Genehmigung, ihres Umfangs und des verifizierten Empfängers trägt dazu bei, zu verhindern, dass sich eine ursprünglich gültige Anfrage zu einer unzulässigen Offenlegung ausweitet.

Sensibilisierungsmaßnahmen müssen reale Entscheidungen widerspiegeln

Angreifer können Autorität, Dringlichkeit und den relevanten Kontext nutzen, um Anfragen überzeugend zu gestalten. Sensibilisierungsschulungen müssen den Mitarbeitern helfen, diesen Druck zu erkennen und zu hinterfragen, insbesondere wenn eine Nachricht in eine bestehende Geschäftsbeziehung zu passen scheint.

Eine nützliche Übung besteht darin, eine realistische Offenlegungsanfrage gemeinsam mit den Teams durchzuspielen, die sie bearbeiten würden. Wo würde sie eingehen? Wer würde sie prüfen? Was passiert, wenn der übliche Genehmiger nicht erreichbar ist? Kann ein Mitarbeiter die Anfrage zurückstellen, ohne wegen einer verzögerten Antwort kritisiert zu werden?

Solche Diskussionen können Schwachstellen aufdecken, die in einer schriftlichen Richtlinie übersehen werden. Sie geben den Mitarbeitern zudem die Möglichkeit, Entscheidungen zu üben, bevor sie unter Druck damit konfrontiert werden.

Die Verantwortung kann nicht allein bei der Person liegen, die die Nachricht liest. Führungskräfte müssen die Überprüfung unterstützen, während Arbeitsabläufe dafür sorgen sollten, dass Überprüfungen einfach durchzuführen und schwer zu umgehen sind. Eine zusätzliche Genehmigung für sensible Offenlegungen, Beschränkungen bei Massenexporten und die Überwachung ungewöhnlicher Weitergaben können weiteren Schutz bieten.

Die Folgen können über den Vorfall hinausreichen

Gestohlene personenbezogene Daten können noch lange nach der ursprünglichen Offenlegung ihren Wert behalten und so Betrug sowie zunehmend überzeugende Phishing-Versuche begünstigen. Bei einem Vorfall erlangte Informationen können einer späteren Kontaktaufnahme genügend Glaubwürdigkeit verleihen, um jemanden dazu zu bewegen, weitere Informationen preiszugeben.

Daher ist der Umfang jeder Weitergabe von Bedeutung. Selbst eine verifizierte Anfrage sollte nicht automatisch dazu führen, dass ein vollständiger Kundendatensatz weitergegeben wird. Unternehmen sollten genau festlegen, was benötigt wird, und die Weitergabe entsprechend einschränken.

Bei der Planung von Vorfällen sollten Sicherheits- und Datenschutzteams von Anfang an einbezogen werden. Mitarbeiter benötigen einen klaren Meldeweg, während die Ermittler feststellen müssen, was weitergegeben wurde, an wen und ob weitere Offenlegungen verhindert werden können.

Schützen Sie sowohl die Entscheidung als auch die Daten

Integrity360 betrachtet Cybersicherheit unter dem Blickwinkel von Menschen, Prozessen und Technologie, da der Schutz von Informationen davon abhängt, dass alle drei Bereiche zusammenwirken.

Die praktische Erkenntnis daraus ist, den Zeitpunkt zu untersuchen, an dem jemand beschließt, einer Anfrage zu vertrauen. Starke Authentifizierung und sichere Systeme bleiben unerlässlich, müssen jedoch durch klare Genehmigungswege, angemessene Überprüfungen und Mitarbeiter unterstützt werden, die sich in der Lage fühlen, Fragen zu stellen.

Unternehmen sollten in der Lage sein, zu erklären, warum Informationen weitergegeben wurden, wer dies genehmigt hat und wie der Empfänger überprüft wurde. Durch die Integration dieser Kontrollen in den Arbeitsalltag werden Datenschutz und Cybersicherheit dort miteinander verknüpft, wo es darauf ankommt: bevor sensible Informationen das Unternehmen verlassen.

Sprechen Sie mit Integrity360 darüber, wie Sie Ihren Ansatz zum Schutz sensibler Daten und zum Management von Social-Engineering-Risiken stärken können.