Heftig: Daten-Leak durch fehlerhafte Backup-Konfigurierung

Böser Fail bei einer Übersetzungsfirma in Kalifornien, die für Kunden wie Boeing, Google etc. tätig ist. Durch einen Konfigurationsfehler eines Backup-Laufwerks waren vertrauliche Dokumente (von Zugangsdaten bis zu Kontakten) per Internet einsehbar.

Aktuell schwatzt uns das Marketing ja "ihr müsst alle in die Cloud" auf. Und in diesem Artikel lernen wir im Rahmen eines Fake-News-Alerts, dass Datenleaks im Internet keine Cloud-Leaks seien. Ist zwar richtig, aber alles, was in der Cloud liegt, kann auch dort weggefunden werden (wie der Beitrag Kundendaten von mitfahrgelegenheiten.de gestohlen) zeigt. Der Nutzer ist immer das schwächste Glied in der Sicherheitskette.

Ungeschütztes Backup-Laufwerk per Internet erreichbar

Sicherheitsforscher von mackeeper.com beschreiben hier einen Fall, der erneut ein Schlaglicht auf das gesamte "Online-Zeugs" wirft. Die MacKeeper Sicherheitsleute sind auf einen NAS-Speicher gestoßen, der nicht korrekt konfiguriert war. Das NAS-Gerät gehört wohl einem IT-Manager, der für eine Übersetzerfirma Interpreters Unlimited arbeitet.

Die NAS-Festplatten waren nicht durch ein Kennwort abgesichert, aber per Internet erreichbar. Auf der Festplatte lagerten wohl viele Dateien mit vertraulichen Informationen der Kunden, persönliche Dokumente des Mitarbeiters als auch Kontaktdaten diverser Kunden.

So waren Benutzernamen, E-Mail-Adressen, Kennwörter mit Hinweisen für welche Webseiten oder Konten diese gelten, als Textdateien ungeschützt auf dem NAS-Gerät NSA abgelegt. Auch waren Sozialversicherungsnummern etc. von Mitarbeitern abrufbar – und man konnte sehen, wie viel Übersetzer im letzten Jahr für ihre Arbeit erhielten. Die Daten wären ein gefundenes Fressen für Hacker, könnte diese mit den gefundenen Zugangsdaten doch nicht nur in Netzwerke eindringen, sondern auch Steuerrückzahlungen an Hand der Daten beantragen und vieles mehr. Bei ZDNet.com finden sich weitere Hinweise, die zeigen, dass der Teufel im Detail liegt.

Man kann zwar jetzt wieder die Keule "wenn die Leute zu blöd sind" hervorholen. Aber mal Hand aufs Herz: Der Fall zeigt einfach, dass die Komplexität die Leute einfach überfordert. Es wird immer einen geben, der mal schnell ein Gerät in Betrieb nimmt und aus Komfortgründen auf Kennwörter verzichtet. Kann ja nix passieren, ich hänge ja nur an meinem Rechner bzw. in meinem Netzwerk. Und dann ist alles, über eine Fehlkonfigurierung, über Standard-Daten oder über eine Backdoor öffentlich einsehbar. Schöne neue Welt.