Szenario Datenleck: Kundendaten im Darknet – was jetzt zu tun ist

Mittwoch, 08:47 Uhr: Eine E-Mail, die den Tag verändert

Sabine Thalmann ist IT-Leiterin bei der Fröhlich & Partner Steuerberatungsgesellschaft mbH in Nürnberg. 45 Mitarbeiter, etwa 2.800 Mandanten, vom Handwerksbetrieb bis zum mittelständischen Industrieunternehmen. Die Kanzlei verarbeitet hochsensible Daten: Steuererklärungen, Jahresabschlüsse, Lohnabrechnungen, Bankverbindungen, Sozialversicherungsnummern.

Am Mittwochmorgen um 08:47 Uhr öffnet Sabine eine E-Mail von einem IT-Sicherheitsdienstleister, der Dark-Web-Monitoring für die Kanzlei betreibt:

„Alert: Datensatz mit Bezug zu Ihrer Organisation im Darknet identifiziert. Forum: [Name des Forums]. Zeitpunkt der Veröffentlichung: Dienstagabend, 22:15 Uhr. Umfang: ca. 4.200 Datensätze mit Namen, Adressen, Steuer-IDs und Bankverbindungen. Sample-Datensätze im Anhang zur Verifikation."

Sabine öffnet den Anhang und erkennt sofort echte Mandantendaten. Namen, die sie kennt, Adressen, die stimmen, Steuer-IDs, die plausibel sind. Das ist kein Fehlalarm. Die Daten sind echt, und sie stehen zum Download im Darknet.

Die nächsten 72 Stunden werden die anspruchsvollsten ihrer Karriere.

Mittwoch, 09:00 Uhr: Die erste Stunde

Sabine handelt nach dem Incident-Response-Plan, den die Kanzlei im Rahmen ihrer ISMS-Einführung erstellt hat. Sie geht drei Schritte parallel an.

Schritt 1: Verifizierung

Bevor irgendeine Eskalation stattfindet, muss Sabine sicherstellen, dass der Alarm berechtigt ist. Sie gleicht die Sample-Datensätze mit der Mandantendatenbank ab. Die Übereinstimmung ist eindeutig: Es handelt sich um echte Mandantendaten aus dem eigenen System.

Die nächste Frage: Wie aktuell sind die Daten? Sabine prüft die Datensätze auf Zeitstempel. Eine Mandantin, die erst vor drei Monaten zur Kanzlei gewechselt ist, taucht bereits in den Daten auf. Das bedeutet: Die Daten wurden maximal drei Monate zuvor abgezogen, nicht etwa aus einem älteren Backup-Diebstahl.

Schritt 2: Eskalation

Sabine informiert die drei Seniorpartner der Kanzlei in einem persönlichen Gespräch, nicht per E-Mail, denn sie weiß noch nicht, ob das E-Mail-System kompromittiert ist. Sie schildert die Lage sachlich: „Wir haben einen bestätigten Datenabfluss. Mandantendaten stehen im Darknet. Ich brauche sofort die Freigabe für externe Forensik und die Einbindung unseres Datenschutzbeauftragten."

Die Partner reagieren unterschiedlich. Einer will sofort alle Mandanten anrufen (verfrüht), ein anderer will erst mal abwarten, ob es sich um einen Einzelfall handelt (gefährlich). Sabine erklärt ruhig, dass es gesetzliche Fristen gibt und dass die nächsten Schritte einem klaren Plan folgen müssen.

Schritt 3: Sofortige Eindämmung

Noch bevor die forensische Analyse beginnt, trifft Sabine Sofortmaßnahmen, um weiteren Datenabfluss zu stoppen:

• Alle Remote-Zugänge (VPN, Remote Desktop) werden deaktiviert
• Die Firewall-Logs der letzten 90 Tage werden gesichert und auf einen separaten Datenträger kopiert
• Alle externen Datenbankzugriffe werden gesperrt
• Die Passwörter aller Administratorkonten werden zurückgesetzt
• Der externe DSL-Zugang der Kanzlei wird vorübergehend auf eine Whitelist beschränkt: nur bekannte IP-Adressen dürfen raus

Diese Maßnahmen sind bewusst drastisch. Sie schränken die Arbeitsfähigkeit der Kanzlei ein, aber sie verhindern, dass ein möglicherweise noch aktiver Angreifer weitere Daten abzieht.

Mittwoch, 10:30 Uhr: Die forensische Spurensuche beginnt

Der externe IT-Forensiker trifft ein. Seine erste Aufgabe ist es, zwei Kernfragen zu beantworten, von denen alles Weitere abhängt:

Frage 1: Wie sind die Daten abgeflossen? Ohne den Angriffsvektor zu kennen, kann die Schwachstelle nicht geschlossen werden, und es besteht die Gefahr, dass der Angreifer immer noch Zugriff hat.

Frage 2: Welche Daten sind genau betroffen? Ohne den genauen Umfang zu kennen, kann weder die DSGVO-Meldung korrekt erstellt noch die Kundenbenachrichtigung angemessen formuliert werden.

Die Analyse des Angriffsvektors

Der Forensiker beginnt mit den Firewall-Logs und den Zugriffsprotokollen des Mandanten-Management-Systems (eine branchenspezifische Software, die auf einem lokalen Server läuft). Die Analyse ergibt folgendes Bild:

Vor etwa sechs Wochen wurde eine bekannte Schwachstelle in der Weboberfläche des Mandanten-Management-Systems ausgenutzt. Der Hersteller hatte einen Sicherheitspatch veröffentlicht, aber die Kanzlei hatte das Update noch nicht eingespielt – ein klassisches Patch-Management-Versäumnis –, weil es mit einem anderen Softwaremodul einen Kompatibilitätskonflikt gab und der Termin für das Update auf „nächsten Monat" verschoben worden war.

Der Angreifer nutzte die Schwachstelle, um eine Web-Shell auf dem Server zu platzieren, eine kleine Datei, die ihm dauerhaften Fernzugriff auf das System ermöglichte, ohne dass die regulären Authentifizierungsmechanismen griffen. Über diese Web-Shell griff er in mehreren Sitzungen auf die Mandantendatenbank zu und exportierte die Datensätze schrittweise, um keine auffälligen Datenmengen auf einmal zu übertragen.

Der Umfang des Lecks

Die forensische Analyse zeigt, dass der Angreifer über einen Zeitraum von vier Wochen insgesamt 4.247 Datensätze exportiert hat. Betroffen sind:

• Personenstammdaten: Name, Adresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse
• Steuerliche Daten: Steuer-ID, Steuernummer, Angaben zu Einkünften
• Bankverbindungen: IBAN, BIC, Kontoinhaber
• Sozialversicherungsdaten: Sozialversicherungsnummer (bei Mandanten mit Lohnabrechnung)

Nicht betroffen sind: Steuererklärungen und Jahresabschlüsse (die liegen in einem separaten, verschlüsselten Dokumentenmanagement-System), Zugangsdaten der Mandanten zum Kanzlei-Portal (gehasht und gesalzen gespeichert) und interne Arbeitsdokumente der Kanzlei.

Das ist ein ernstes Datenleck, aber kein Worst Case. Die Kombination aus Steuer-IDs, Bankverbindungen und Sozialversicherungsnummern ermöglicht allerdings Identitätsdiebstahl, und genau das macht den Fall so brisant.

Mittwoch, 14:00 Uhr: Die DSGVO-Uhr tickt

Die 72-Stunden-Frist nach Art. 33 DSGVO für die Meldung an die Datenschutzaufsichtsbehörde läuft seit dem Zeitpunkt, an dem die Kanzlei Kenntnis von der Datenpanne erlangt hat. Das war Mittwoch um 08:47 Uhr, also läuft die Frist bis Samstag um 08:47 Uhr.

Sabine und der externe Datenschutzbeauftragte setzen sich zusammen und erstellen die Meldung. Die DSGVO verlangt nach Art. 33 Abs. 3 folgende Informationen:

Pflichtangaben der Meldung

Art der Verletzung: Unbefugter Zugriff auf personenbezogene Daten und Datenexfiltration über einen Zeitraum von vier Wochen durch Ausnutzung einer ungepatchten Schwachstelle im Mandanten-Management-System.

Kategorien und Anzahl der betroffenen Personen: Circa 4.200 natürliche Personen, darunter Mandanten (Privatpersonen) und Mitarbeiter von Mandantenunternehmen (Lohnabrechnungsdaten).

Kategorien der betroffenen Daten: Personenstammdaten, steuerliche Identifikationsdaten, Bankverbindungen, Sozialversicherungsnummern.

Wahrscheinliche Folgen: Risiko des Identitätsdiebstahls, Risiko des Missbrauchs von Bankdaten für unautorisierte Lastschriften, Risiko des Missbrauchs von Steuer-IDs für gefälschte Steuererklärungen.

Ergriffene und vorgeschlagene Maßnahmen: Schließung der Schwachstelle, Deaktivierung aller Remote-Zugänge, Forensische Analyse, Passwort-Reset aller Administratorkonten, geplante Benachrichtigung der betroffenen Personen.

Kontaktdaten des Datenschutzbeauftragten: Name, E-Mail, Telefon.

Die Meldung absetzen

Die Meldung erfolgt über das Online-Portal der zuständigen Landesdatenschutzbehörde (in Bayern: BayLDA). Sabine achtet darauf, alle bekannten Informationen einzutragen und klar zu kennzeichnen, welche Informationen noch ausstehen. Die Meldung darf nach Art. 33 Abs. 4 DSGVO auch schrittweise erfolgen, wenn nicht alle Informationen gleichzeitig verfügbar sind. Besser eine rechtzeitige, unvollständige Meldung als eine verspätete, vollständige.

Donnerstag, 09:00 Uhr: Die Kundenbenachrichtigung

Art. 34 DSGVO verpflichtet den Verantwortlichen, die betroffenen Personen ohne unangemessene Verzögerung zu benachrichtigen, wenn die Datenpanne voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Bei Steuer-IDs, Bankverbindungen und Sozialversicherungsnummern ist dieses hohe Risiko zweifelsfrei gegeben.

Das Benachrichtigungsschreiben

Sabine und der Datenschutzbeauftragte entwerfen ein Schreiben, das drei Ziele verfolgt: informieren, beruhigen und handlungsfähig machen. Das Schreiben wird per Post versandt (nicht per E-Mail, da die E-Mail-Adressen selbst Teil des Lecks sind und der Empfänger Phishing-Mails mit Bezug auf den Vorfall erhalten könnte).

Das Schreiben enthält:

Was ist passiert? Eine klare, verständliche Beschreibung des Vorfalls ohne technischen Jargon. „Unbekannte Dritte haben sich unbefugt Zugang zu unserem IT-System verschafft und personenbezogene Daten unserer Mandanten entwendet. Die Daten wurden in einem illegalen Internetforum veröffentlicht."

Welche Daten sind betroffen? Eine konkrete Aufzählung, nicht vage Formulierungen wie „möglicherweise einige Ihrer Daten". Jeder Mandant muss wissen, welche seiner Daten betroffen sind.

Welches Risiko besteht? Ehrlich, aber ohne Panik. „Mit den entwendeten Daten könnten Dritte versuchen, in Ihrem Namen Bankgeschäfte durchzuführen, Verträge abzuschließen oder Steuererklärungen einzureichen."

Was tun wir? Aufzählung der ergriffenen Maßnahmen: Schwachstelle geschlossen, Behörden informiert, Strafanzeige erstattet, forensische Analyse läuft, Darknet-Monitoring zur Nachverfolgung.

Was können Sie tun? Konkrete Handlungsempfehlungen:

• Bankverbindung auf unautorisierte Abbuchungen prüfen und ggf. bei der Bank melden
• Bonität bei der SCHUFA prüfen und ggf. eine Selbstauskunft anfordern
• Identitätsschutz-Service nutzen (die Kanzlei bietet den betroffenen Mandanten einen kostenlosen Dienst für 12 Monate an)
• Finanzamt informieren und Steuer-ID auf Missbrauch prüfen lassen
• Auf Phishing-Versuche achten, die sich auf diesen Vorfall beziehen könnten

Kontaktmöglichkeit: Eine dedizierte Hotline-Nummer und E-Mail-Adresse für Rückfragen.

Die Reaktionen

Die Benachrichtigungen werden am Donnerstag und Freitag versandt. Die Reaktionen sind gemischt. Einige Mandanten reagieren verständnisvoll, andere sind verärgert, einige kündigen sofort die Mandatsbeziehung. Drei Mandanten kündigen rechtliche Schritte an. Ein Journalist der Lokalzeitung ruft an, nachdem ein Mandant den Brief in sozialen Medien geteilt hat.

Die Partner der Kanzlei haben sich auf diese Situationen vorbereitet und nutzen die vorbereiteten Sprachregelungen: ehrlich über den Vorfall informieren, die ergriffenen Maßnahmen betonen, keine Spekulationen über Ursachen oder Schuld, und auf die laufende Zusammenarbeit mit den Behörden verweisen.

Freitag bis Sonntag: Schadensbegrenzung

Parallel zur Kundenkommunikation laufen die technischen Schadensbegrenzungsmaßnahmen.

Takedown-Request

Der IT-Forensiker stellt im Auftrag der Kanzlei einen Takedown-Request an den Hosting-Provider des Darknet-Forums. Die Erfolgsaussichten sind gering, da Darknet-Foren gezielt auf Infrastrukturen betrieben werden, die sich staatlicher Kontrolle entziehen. Trotzdem wird der Request dokumentiert, er zeigt den Behörden und der Versicherung, dass die Kanzlei aktiv gegen die Verbreitung der Daten vorgeht.

Strafanzeige

Die Strafanzeige wird bei der Zentralstelle Cybercrime der Generalstaatsanwaltschaft Bamberg (zuständig für Bayern) erstattet. Die Anzeige enthält alle forensischen Erkenntnisse, die Darknet-URL, die Sample-Datensätze und die Ergebnisse der Log-Analyse. Die Erfolgschancen einer Ermittlung sind schwer einzuschätzen, aber die Dokumentation ist unverzichtbar.

Schwachstelle schließen und System härten

Das auslösende Problem wird behoben: Der Sicherheitspatch wird eingespielt, die Web-Shell wird entfernt, und der Server wird auf weitere Hintertüren geprüft. Darüber hinaus werden folgende Maßnahmen umgesetzt:

• Das Mandanten-Management-System wird hinter eine Web Application Firewall (WAF) geschaltet
• Alle Datenbankzugriffe werden geloggt und mit Anomalie-Erkennung überwacht
• Der Server wird neu aufgesetzt (Clean Install), da nicht sicher ist, ob der Angreifer weitere Backdoors platziert hat
• Die Netzwerksegmentierung wird verschärft: Der Datenbankserver ist nicht mehr direkt aus dem Internet erreichbar
• Ein automatisches Patch-Management wird eingeführt, um sicherheitskritische Updates innerhalb von 48 Stunden einzuspielen

Darknet-Monitoring intensivieren

Der Monitoring-Dienstleister wird beauftragt, die Verbreitung der gestohlenen Daten aktiv zu überwachen. Falls die Daten auf weiteren Plattformen auftauchen, soll sofort eine Benachrichtigung erfolgen. Außerdem wird ein Monitoring auf die Namen und Steuer-IDs der am stärksten betroffenen Mandanten eingerichtet, um frühzeitig zu erkennen, wenn die Daten für Identitätsdiebstahl genutzt werden.

Woche 2 bis 4: Aufarbeitung und Konsequenzen

Ergänzende DSGVO-Meldung

Sobald die forensische Analyse abgeschlossen ist, reicht Sabine eine ergänzende Meldung bei der Datenschutzaufsichtsbehörde ein. Diese enthält die vollständigen Ergebnisse: den exakten Angriffsvektor, den vollständigen Umfang der betroffenen Daten, den Zeitraum des unbefugten Zugriffs und die vollständige Liste der ergriffenen Abhilfemaßnahmen.

Mögliche Konsequenzen durch die Aufsichtsbehörde

Die Datenschutzaufsichtsbehörde prüft den Vorfall und kann verschiedene Maßnahmen ergreifen:

• Verwarnung: Bei erstmaligem Verstoß und kooperativem Verhalten (wahrscheinlichstes Szenario)
• Anordnung konkreter Maßnahmen: Die Behörde kann technische oder organisatorische Maßnahmen anordnen
• Bußgeld: Bei Fahrlässigkeit (hier: ungepatchte, bekannte Schwachstelle) kann ein Bußgeld verhängt werden. Die Höhe richtet sich nach Art, Schwere und Dauer der Verletzung, der Zahl der Betroffenen und dem Grad der Verantwortung. Für ein Unternehmen dieser Größe bewegen sich die Bußgelder typischerweise im fünfstelligen Bereich

Zivilrechtliche Ansprüche

Betroffene Mandanten können Schadensersatzansprüche nach Art. 82 DSGVO geltend machen. Der immaterielle Schaden (Kontrollverlust über persönliche Daten, Angst vor Identitätsmissbrauch) wird von Gerichten zunehmend anerkannt, die zugesprochenen Beträge liegen aktuell typischerweise bei 500 bis 5.000 Euro pro Person. Bei 4.200 Betroffenen ergibt sich ein erhebliches Haftungsrisiko, auch wenn nur ein Bruchteil tatsächlich klagt.

Lessons Learned

Zwei Wochen nach dem Vorfall führt Sabine einen Lessons-Learned-Workshop durch. Die zentralen Erkenntnisse:

Was hat funktioniert:

• Das Dark-Web-Monitoring hat den Vorfall überhaupt erst sichtbar gemacht
• Der Incident-Response-Plan hat die ersten Stunden strukturiert
• Die rasche Einbindung externer Forensik hat den Angriffsvektor schnell identifiziert
• Die proaktive Kundenkommunikation hat bei den meisten Mandanten Vertrauen erhalten

Was hat nicht funktioniert:

• Das Patch-Management war unzureichend. Die bekannte Schwachstelle hätte innerhalb von Tagen, nicht Monaten gepatcht werden müssen
• Es gab kein Monitoring auf ungewöhnliche Datenbankexporte. Der schrittweise Abzug von 4.200 Datensätzen über vier Wochen hätte auffallen müssen
• Die Web-Shell wurde nicht erkannt, weil kein File-Integrity-Monitoring auf dem Server lief
• Es gab keine vorbereiteten Kommunikationsvorlagen für Mandantenbenachrichtigungen

Maßnahmenplan:

Wie wird ein Datenleck überhaupt entdeckt?

Der Fall Fröhlich & Partner zeigt eine der häufigsten Entdeckungsarten: externes Monitoring. Aber es gibt mehrere Wege, wie ein Datenleck ans Licht kommt, und jeder hat eigene Implikationen:

Darknet-Monitoring: Spezialisierte Dienstleister durchsuchen kontinuierlich Darknet-Foren, Paste-Sites und Leak-Datenbanken nach Daten, die einem Unternehmen zugeordnet werden können. Die Erkennung erfolgt zeitnah, aber erst nach der Veröffentlichung.

Meldung durch Betroffene: Ein Kunde meldet verdächtige Aktivitäten auf seinem Bankkonto oder erhält Phishing-Mails, die Informationen enthalten, die nur das betroffene Unternehmen haben konnte. Diese Meldungen kommen oft Wochen oder Monate nach dem eigentlichen Datenabfluss.

Meldung durch Sicherheitsforscher: Ethische Hacker oder Sicherheitsforscher entdecken den Datensatz und informieren das betroffene Unternehmen, manchmal direkt, manchmal über Plattformen wie die Responsible-Disclosure-Richtlinien von CERT-Bund.

Journalisten: Investigative Journalisten recherchieren zu Datenlecks und kontaktieren das Unternehmen für eine Stellungnahme. Das ist die ungünstigste Entdeckungsvariante, weil sie den geringsten Zeitpuffer für die eigene Reaktion lässt.

Internes Monitoring: In seltenen Fällen erkennt das eigene Security-Monitoring ungewöhnliche Datenabflüsse. Das setzt allerdings voraus, dass entsprechende Monitoring-Systeme existieren und aktiv überwacht werden, was bei vielen kleinen und mittleren Unternehmen nicht der Fall ist.

Was dieser Fall lehrt

Datenlecks unterscheiden sich von anderen Sicherheitsvorfällen in einem wesentlichen Punkt: Die Daten sind draußen und lassen sich nicht zurückholen. Bei Ransomware kann man wiederherstellen, bei einem DDoS-Angriff kann man warten, bis er vorbei ist. Aber veröffentlichte Daten bleiben veröffentlicht, sie werden kopiert, weiterverbreitet und gehandelt.

Deshalb verschiebt sich der Fokus bei einem Datenleck von der Wiederherstellung hin zur Schadensbegrenzung und zum Schutz der Betroffenen. Und genau das erfordert eine andere Art von Reaktion: weniger technisch, mehr kommunikativ und rechtlich.

Die wichtigsten Lehren aus diesem Szenario:

Patch-Management ist nicht verhandelbar. Die bekannte, ungepatchte Schwachstelle war der einzige Grund für diesen Vorfall. Ein funktionierendes Patch-Management mit definierten Fristen für sicherheitskritische Updates hätte den gesamten Vorfall verhindert.

Monitoring ist dein Frühwarnsystem. Sowohl das Darknet-Monitoring (das den Vorfall entdeckt hat) als auch das fehlende Datenbank-Monitoring (das den Vorfall hätte früher sichtbar machen können) zeigen, wie entscheidend eine aktive Überwachung ist.

Die 72-Stunden-Frist ist enger als gedacht. Zwischen Entdeckung, Verifizierung, forensischer Analyse, Meldung und Kundenbenachrichtigung vergehen die Stunden schnell. Wer nicht vorbereitet ist, schafft die Frist nicht oder meldet unvollständig und chaotisch.

Proaktive Kommunikation schützt Vertrauen. Eine vorbereitete Strategie zur Vorfallskommunikation ist entscheidend. Die Kanzlei hat Mandanten verloren, aber deutlich weniger, als wenn der Vorfall durch die Presse oder durch betroffene Mandanten selbst bekannt geworden wäre. In ISMS Lite lassen sich Datenschutzvorfälle strukturiert dokumentieren, DSGVO-Meldefristen überwachen und Maßnahmen nachverfolgen. Wer zuerst informiert, behält die Deutungshoheit.

Identitätsdiebstahl ist der eigentliche Schaden. Für die betroffenen Mandanten sind nicht die Daten selbst das Problem, sondern was Dritte mit diesen Daten anstellen können. Kostenlose Identitätsschutz-Services für die Betroffenen sind daher keine Großzügigkeit, sondern eine Pflicht und ein wichtiges Signal des Verantwortungsbewusstseins.

Weiterführende Artikel

• DSGVO-Datenpanne melden: Fristen, Inhalt und Ablauf
• Sicherheitsvorfälle kommunizieren: Intern, extern und an die Presse
• Patch-Management im Mittelstand: Prozess aufbauen und Schwachstellen schließen
• Schwachstellenmanagement aufbauen: Vom Scan bis zur Behebung
• Löschkonzept nach DSGVO: Fristen, Prozesse und Umsetzung