Eine Breach-Meldung richtig lesen: Was Umfangsformulierungen, Passwort-Hashes und Timing wirklich verraten
Eine Breach-Meldung ist ein eigenartiges Genre: von Anwälten verfasst, unter regulatorischem Druck veröffentlicht, darauf gebaut, so wenig wie möglich einzuräumen. Als Marks & Spencer im Mai 2025 mitteilte, dass bei dem Angriff, der den Online-Shop bereits wochenlang geschlossen hielt, einige persönliche Kundendaten abgeflossen waren, enthielt der Satz mehr Information, als seine Länge vermuten lässt. Jede Meldung beantwortet drei Fragen: Wie weit reichte der Eindringling, wie brauchbar sind die gestohlenen Daten, und wie lange weiß die Organisation schon Bescheid.
Sprache zum Umfang: Die Verben erzählen die Geschichte
Das aufschlussreichste Wort in jeder Meldung ist das Verb. Ein unbefugter Dritter könnte Zugang gehabt haben heißt: Die Untersuchung hat bisher nichts bestätigt. Daten wurden kopiert oder exfiltriert heißt: Die Forensik hat eine Datenbewegung beobachtet. Die Aufsichtsbehörden formulieren genauso vorsichtig: Das kalifornische Breach-Gesetz greift, wenn unverschlüsselte personenbezogene Daten von einer unbefugten Person erlangt wurden oder vernünftigerweise als erlangt galten. Diese Lücke zwischen Beweis und Annahme ist genau der Raum, in dem die meisten Meldungen leben.Kalifornien verlangt eine Benachrichtigung, wenn unverschlüsselte personenbezogene Daten "von einer unbefugten Person erlangt wurden oder vernünftigerweise als erlangt galten" (Office of the Attorney General).Der Begriff Breach selbst dehnt sich weiter aus, als man denkt. Have I Been Pwned definiert ihn als einen Vorfall, bei dem Daten versehentlich in einem verwundbaren System offengelegt wurden, meist wegen unzureichender Zugriffskontrollen; ein Einbruch ist dafür nicht nötig. Dasselbe FAQ trennt unbestätigte Breaches, bei denen die Daten echt wirken, sich ihre Echtheit aber nicht belegen ließ, von gefälschten, die aus anderen Quellen zusammenaggregiert wurden. Auch der Umfang wächst. Zacks kündigte im Dezember 2022 einen Breach an, über den frühe Berichte zunächst 820.000 Kunden berichteten; bis Juni 2023 tauchte ein Korpus von fast 9 Millionen Konten in einem Hacking-Forum auf; im Februar 2025 veröffentlichte ein Cyberkrimineller einen Datensatz mit angeblich 12 Millionen Einträgen. Keine offizielle Meldung des Unternehmens hat die größeren Zahlen je bestätigt. Betrachten Sie die erste Zahl als Untergrenze, nicht als Fakt.
Der Passwort-Satz entscheidet, wie schnell Sie handeln
Wenn Passwörter betroffen sind, ist das Speicherformat der Dringlichkeitsregler. Hashes mit bcrypt, scrypt oder Argon2 sind absichtlich langsam zu erraten; bei vernünftigen Work-Faktoren suchen sich die meisten Angreifer leichtere Ziele. Ungesalzenes MD5, SHA-1 oder ein einzelner SHA-256-Durchlauf fällt auf handelsüblichen Grafikkarten mit Milliarden von Versuchen pro Sekunde. Klartext muss gar nicht erst geknackt werden. Der Zacks-Korpus ist der Lehrbuchfall: ungesalzene SHA-256-Hashes, obwohl das Unternehmen Kunden beruhigt hatte, Angreifer hätten auf verschlüsselte Passwörter zugegriffen, aber nur im verschlüsselten Format. Verschlüsselt ist ein beliebtes Corporate-Wort. Gesalzen ist das Wort, das Sie schützt. Wenn ein Leak-Eintrag Klartext behauptet, behandeln Sie ihn als Katastrophenfall und fragen Sie zugleich, ob die Liste selbst hält, was sie verspricht. Der angebliche Abfluss von 47,9 Millionen Datensätzen der koreanischen Liefer-App FLY, über die wir im August berichtet haben, nannte Klartext-Passwörter und aktive Payment-Keys und blieb bei Veröffentlichung unbelegt. Unbelegt heißt nicht harmlos; es heißt unbewiesen, und Have I Been Pwned stellt nüchtern fest, dass das Fehlen von Beweisen nicht der Beweis des Gegenteils ist. In beiden Fällen gilt: Gehen Sie vom kompromittierten Passwort aus und ersetzen Sie es überall, wo es wiederverwendet wurde.Was Zahlungsdaten bedeuten und was nicht
Zahlungsdaten waren betroffen klingt alarmierend und ist es oft nicht. Der Begriff deckt alles ab, von vollständigen Kartennummern mit CVV, die sofort gefährlich sind, bis zu maskierten oder gekürzten Ziffern, mit denen sich nichts abbuchen lässt. Händler halten die vollständige Nummer häufig gar nicht; das tun Zahlungsabwickler. Als M&S bestätigte, dass Kundendaten abgeflossen waren, hieß es, die Daten enthielten keine nutzbaren Zahlungs- oder Kartendaten, weil das Unternehmen diese auf den betroffenen Systemen nicht vorhält, ebenso wenig Konto-Passwörter. Anders gelesen: Kontaktdaten und Bestellhistorie waren weg, Treibstoff für überzeugendes Phishing statt für Kartenbetrug. Passen Sie die Reaktion an die Datenklasse an, nicht an das Wort Zahlung.Warum die Meldung Wochen später kommt
Die Lücke zwischen Entdeckung und Offenlegung ist strukturell, nicht unbedingt Verschleierung. Forensik braucht Zeit, der Umfang wächst mit jedem gelesenen Log, und die Aufsichtsbehörden legen ihre eigenen Fristen obendrauf. Die britische ICO verlangt, dass Organisationen sie so bald wie möglich und wo machbar innerhalb von 72 Stunden nach Kenntnis informieren; Details dürfen folgen. Kalifornien verlangt, dass von jeder Kundenbenachrichtigung an mehr als 500 Einwohner ein Musterexemplar beim Staat eingereicht wird; so wird die Einreichungsdatenbank zu einem öffentlichen Archiv echter Meldungen. NISTs Leitfaden zum Incident Response, im April 2025 aktualisiert, behandelt Eindämmung, Beweissicherung und koordinierte Wiederherstellung als einen bewusst langsamen Prozess. M&S hatte den Online-Shop bereits mehr als drei Wochen geschlossen, bevor am 13. Mai bestätigt wurde, dass Kundendaten abgeflossen waren. Das Schweigen war die Distanz zwischen Verdacht und etwas, das ein Unternehmen schriftlich geben kann.Was zuerst tun und was ignorieren
Die erste Stunde nach einer relevanten Meldung zählt mehr als der Gutschein für Wiederherstellungsleistungen. Der Reihe nach:- Setzen Sie ein einzigartiges Passwort für das betroffene Konto und ändern Sie es überall, wo das alte wiederverwendet wurde.
- Lassen Sie Sitzungen ablaufen: Eine Passwortänderung tut das meist automatisch, aber widerrufen Sie verbundene Anmeldungen und API-Tokens, wo angeboten.
- Aktivieren Sie die Multi-Faktor-Authentifizierung, solange Sie noch angemeldet sind.
- Folgen Sie der Datenklasse: Vollständige Kartennummern bedeutet, achten Sie auf Ihre Bank, nicht auf den Händler; Kontaktdaten bedeutet, erwarten Sie Phishing, das Ihre Bestellhistorie zitiert.