Zusammenfassung der Nachricht: Die Ausarbeitung Ihrer Verstoßbenachrichtigung während eines Verstoßes ist ein Rezept für eine Katastrophe.
Im Dezember 2018 wurde Booking.com Opfer eines Sicherheitsvorfalls, bei dem das Unternehmen durch einen Vishing- Angriff kompromittiert wurde. Vishing ist eine Hacking-Methode, bei der Anrufe und Voicemail-Nachrichten vorgetäuscht werden, von seriösen Unternehmen zu stammen. Ziel ist es, Nutzer zur Preisgabe persönlicher Daten wie Bankinformationen, Kreditkartennummern oder anderer nicht-öffentlicher personenbezogener Daten zu verleiten . Dies ähnelt Phishing und Smishing , nutzt aber Telefonsysteme und Voicemail anstelle von E-Mails oder SMS. Brisant an diesem Vorfall sind jedoch nicht der Datenverlust selbst, sondern die daraufhin von der niederländischen Datenschutzbehörde (DPA) verhängten Bußgelder. Lesen Sie weiter, um zu erfahren, warum diese Bußgelder verhängt wurden.
Dem Bericht zufolge richtete sich der Angriff gegen Hotels in den Vereinigten Arabischen Emiraten (VAE). Die Hacker nutzten dabei telefonische Social-Engineering -Tricks , um Mitarbeiter von 40 verschiedenen Hotels in der Region zu erreichen und sie zur Herausgabe der Zugangsdaten für ihre Hotelkonten im Booking.com-System zu bewegen.
Mit den gestohlenen Zugangsdaten erbeuteten die „Visher“ Daten zu 4109 Kundenbuchungen, darunter Namen, Adressen und Telefonnummern. Außerdem erbeuteten die Kriminellen die Kreditkartendaten von 283 dieser Buchungen. Die Hacker stahlen sogar 97 CVVs (dreistelliger Code auf der Kartenrückseite), die niemals in elektronischen Systemen gespeichert werden sollten!
Monique Verdier, stellvertretende Vorsitzende der niederländischen Datenschutzbehörde (DPA), wies im Bericht der Behörde über den Verstoß darauf hin:
Indem sie sich in E-Mails oder am Telefon als Hotelangestellte ausgaben, versuchten sie, Geld von Menschen zu stehlen. Ein solcher Ansatz kann sehr glaubwürdig wirken, wenn der Betrüger genau weiß, wann Sie gebucht haben und welches Zimmer Sie gebucht haben, und Sie dann auffordert, die entsprechenden Nächte zu bezahlen. Auf diese Weise können hohe Geldbeträge gestohlen werden.
Alles, was bisher in diesem Artikel besprochen wurde, erklärt, wie die meisten Verstöße zustande kommen. Nur sehr wenige betroffene Unternehmen erhalten zusätzliche staatliche Bußgelder. Was also ist hier der Grund dafür?
Die niederländische Datenschutzbehörde verhängte gegen Booking.com eine Geldstrafe von fast einer halben Million Euro, nicht weil es einen Verstoß gab, sondern weil das Unternehmen den Verstoß nicht schnell genug gemeldet hatte :
Die niederländische Datenschutzbehörde (DPA) hat Booking.com eine Geldstrafe von 475,000 Euro auferlegt, weil das Unternehmen zu lange brauchte, um der DPA einen Datendiebstahl zu melden. Bei dem Vorfall erbeuteten Kriminelle die persönlichen Daten von über 4,000 Kunden. Außerdem gelangten sie an die Kreditkarteninformationen von fast 300 Personen.
EU-Unternehmen haben ab dem Zeitpunkt ihrer Bestätigung 72 Stunden Zeit, einen Datenleck zu melden. Booking.com wusste zwar bereits am 13. Januar von einem Datenleck, kannte aber möglicherweise noch nicht das Ausmaß des Datenlecks, das eine Benachrichtigung der Behörden erforderlich gemacht hätte. Im Januar, als Booking.com bestätigte, dass das Datenleck mehr als 500 Datensätze betraf, hätte das Unternehmen die Datenschutzbehörde innerhalb von 72 Stunden informieren müssen. Dies versäumte Booking.com jedoch und wurde deshalb mit einer hohen Geldstrafe belegt.
Bei der Meldung von Datenschutzverletzungen ist es äußerst wichtig, die betroffenen Nutzer und die zuständigen Behörden wie die niederländische Datenschutzbehörde umgehend zu informieren. Seit 2002 wurden weltweit zahlreiche Datenschutzgesetze erlassen. In den USA gibt es zwar ein Flickwerk an Datenschutzgesetzen für die einzelnen Bundesstaaten, aber kein Bundesgesetz. Wenn Sie international tätig sind, müssen Sie bei der Vorbereitung Ihres Prozesses zur Meldung von Datenschutzverletzungen die folgenden Vorschriften berücksichtigen:
CyberHoot empfiehlt, sich mit den für Ihr Unternehmen geltenden Gesetzen vertraut zu machen und ein entsprechendes Dokument zum Benachrichtigungsprozess bei Datenschutzverletzungen zu erstellen. Vergessen Sie nicht, den Prozess jährlich zu testen.
Neben der Einrichtung eines Benachrichtigungsprozesses bei Sicherheitsverletzungen gibt es viele weitere Maßnahmen, die Ihr Unternehmen ergreifen kann, um das Risiko einer Sicherheitsverletzung zu verringern. CyberHoot empfiehlt die folgenden grundlegenden Gegenmaßnahmen:
Heutzutage ist jeder Opfer von Datenschutzverletzungen. Nicht jeder wird bestraft, weil er die zuständigen Behörden nicht rechtzeitig benachrichtigt. Cyberhoot empfiehlt die beiden folgenden Videos, um zu erfahren, wie Sie ein Verfahren zur Benachrichtigung bei Datenschutzverletzungen für alle zu erfüllenden Vorschriften einrichten.
Quellen:
Wikipedia – Gesetze zur Meldung von Verstößen
Weitere Leseempfehlungen:
Entdecken und teilen Sie die neuesten Trends, Tipps und Best Practices zur Cybersicherheit – sowie neue Bedrohungen, vor denen Sie sich in Acht nehmen sollten.
Autorin: Katie Boquetti | Redaktion: Craig Taylor Kommentar von Craig Taylor: Das wissen wir hier schon länger...
Weiterlesen
Autorin: Katie Boquetti | Redaktion: Craig Taylor | Kommentar von Craig Taylor: Ein CAPTCHA sollte prüfen, ob …
Weiterlesen
Autorin: Katie Boquetti | Redaktion: Craig Taylor Kommentar von Craig Taylor: Ich bin gesegnet, …
WeiterlesenBehalten Sie die menschlichen Risiken im Blick – mit dem positiven Ansatz, der herkömmlichen Phishing-Tests überlegen ist.
