Welche Motivation steckt hinter einem Datendiebstahl? Welche Daten lassen sich erbeuten und was passiert damit?
Datendiebstahl ist lukrativ. Man kann unterstellen, dass Unternehmen und Privatpersonen mit Vorsatz materiell, gesellschaftlich und/oder persönlich geschädigt werden sollen. Es gibt auch Datendiebe, die es aus Spaß als sportliche Herausforderung sehen, eine Firewall zu knacken. Auch so motivierte Eingriffe in die Privatsphäre sind böswillig. Aber nicht nur von angegriffenen Unternehmen und Privatpersonen fließen Daten ab, auch aus sozialen Netzwerken und Suchmaschinen erbeuten Angreifer Informationen. Je nach Art des Schadens wird dieser selten angezeigt. Denn wer möchte gerne offenlegen, dass er regelmäßig Webportale besucht, die Rückschlüsse, z. B. auf mögliche Suchterkrankungen oder sexuelle Vorlieben, erlauben? Datendiebstahl hat ein großes Dunkelfeld, dem präventiv mit Aufklärung und Warnung begegnet werden muss.
Identitätsdiebstahl ist zunächst gar nicht das Ziel der Angreifer. Sie sind daran interessiert, möglichst umfassende Identitätsdatensätze mit Name, Geburtsdatum, Adresse und Kontaktdaten zu erhalten. Sind zusätzlich digitale ID-Daten, wie E-Mailadresse, Hinweise auf Konten bei Amazon, eBay, XING etc. enthalten, umso besser.
Mit Aufwand und Wissen ist manchmal eine technische Aufbereitung und Informationsanreicherung der Daten möglich (z. B. ergänzen von Klartextpasswörtern aus den unzählig im Dark Net kursierenden Listen mit offengelegten Informationen aus diversen Quellen), sodass aus den erbeuteten Datensatzfragmenten vollwertige Datensätze bzw. Identitäten werden, für die sich viel Geld verlangen lässt.
Die Hacker bieten auf speziellen Online-Marktplätzen die Identitätsdaten an. Um potenzielle Käufer, sogenannte Datenbroker, von der Qualität ihrer Datensammlung zu überzeugen, wird ein Teil der Daten per Pastebin vor dem Kauf zur Verfügung gestellt wird. Pastebin (engl. für Paste/kopieren und bin/Eimer) ist eine Bezeichnung für diverse Webanwendungen (z. B. zum Upload von Dateien oder zum Veröffentlichen von Texten). Das Vorgehen erfolgt in der Regel anonym und Zugriff erhalten dediziert spezielle Zielgruppen.
Quellen zur Ergänzung von Identitätsdaten sind Foren, Untergrundseiten, Tauschbörsen. Sie werden durch Phishing und Social Engineering abgegriffen oder stammen – ganz banal – aus dem Altpapier. Die Datensätze werden sowohl manuell als auch automatisiert mit Paste-Sites abgeglichen mit dem Ziel der Datensatzkomplettierung. Einfach ist die technische Aufbereitung nicht. Die Daten sind syntaktisch unterschiedlich und semantisch nicht dokumentiert, somit lassen sie sich automatisiert nur schwer analysieren.
Beim Aufbereiten der Datensätze sind deren Metadaten leicht zu identifizieren, weil die einzelnen Felder durch „“-Trennzeichen voneinander separiert und automatisch erkannt werden (siehe Abbildung unten). Datentypen sind E-Mail-Adresse, Passwort, Hash (z. B. Passwort-Hash), Benutzername, Vor-, Nachname, PLZ-API (API = Application Programmierung Interface = Programmschnittstelle), Adressen, IBAN, Kreditkartennummer, Telefonnummer-API).
Die Felder der Metadaten werden einzeln geprüft, in der Hoffnung, weitere Informationen herauslesen zu können. An zweiter Stelle steht fast immer der Name. Handelt es sich beim Rufnamen um einen Trend-Vornamen, kann man auf eine bestimmte Altersgruppe rückschließen. Adressen oder auch nur deren Fragmente lassen sich mit Open Street Map abgleichen und möglicherweise vervollständigen. Datumswerte zeigen, wie alt der Datensatz ist. E-Mail-Adressen sind anhand des @-Zeichens erkennbar. Ist das Benutzerkonto bekannt, kann der Hacker über den „Passwort vergessen“-Button ein neues anfordern und schon ist das fremde Postfach für ihn offen. Eventuell findet er hier Hinweise auf weitere Konten, Kredit- oder Bezahlinformationen.
Was mit Computerspionage und Datenklau beginnt, wird mit Datenhehlerei und Betrug fortgeführt. Stellt sich die Frage: Ist Identitätsdatendiebstahl gleich Identitätsdiebstahl?
Unmittelbar Betroffener des Identitätsdiebstahls ist der Betreiber der Technik bzw. des Geräts (Server, PC, Smartphone). Identitätsinhaber sind nur mittelbar betroffen und merken den Diebstahl in der Regel nicht. Die Wege, auf denen man vom Abhandenkommen der eigenen Daten erfährt, sind ebenso vielfältig wie die der Datendiebe. Häufig zeigt erst der Blick auf den Kontoauszug, dass jemand in meinem Namen Waschmaschine, Beamer & Co. auf Rechnung gekauft hat.
Strafrechtliche Betrachtung: Man redet immer von Datendiebstahl. Das ist Sprachgebrauch. Rechtlich ist Diebstahl nach § 242 StGB die Wegnahme einer beweglichen Sache mit Zueignungsabsicht. Das liegt beim Datendiebstahl nur vor, wenn man beispielsweise eine Karteikarte physisch entwendet.
Für die Strafverfolgung kommen mehrere Rechtsvorschriften in Betracht, z. B.:
- unerlaubtes Ausspähen/Abfangen (§§ 202 a, b StGB)
- Datenhehlerei (§ 202 d StGB)
- Datenveränderung (§ 303 a StGB)
- Betrug bzw. Vermögensvorteil durch Vorspielen falscher oder Unterdrückung wahrer Tatsachen (§ 263 StGB)
- Computerbetrug, sogenannter Hackerparagraph (§ 263 a StGB)
Ratschläge, was Betroffene unternehmen können und wo sie Hilfe erhalten, können Sie in Heft 3/2018, S. 43 f., des Sicherheits-Berater unter „Empfehlung für Phishing-Opfer“ nachlesen.
