So funktioniert ein Datenleck — und warum 194 Tage bis zur Entdeckung vergehen

Die meisten Datenlecks erreichen den Einzelnen auf vertraute Weise: ein Firmenschreiben, eine vorsichtige Entschuldigung und ein Angebot von zwölf Monaten kostenloser Kreditüberwachung. Was der Brief nicht beschreibt, ist alles, was vor seinem Versand geschah. Zwischen dem Moment, in dem ein Angreifer erstmals in ein Netzwerk eindringt, und dem Moment, in dem Sie erfahren, dass Ihre Daten betroffen sind, vergehen im Durchschnitt 194 Tage. Zu verstehen, was in diesen Monaten passiert und warum es unsichtbar bleibt, ist nützlicher als der Überwachungsdienst.

Ein Datenleck ist jeder Sicherheitsvorfall, bei dem geschützte Informationen ohne Autorisierung abgerufen, kopiert oder extrahiert werden. Dies umfasst Kundendaten, Finanzdaten, medizinische Akten, staatliche Identifikatoren und Mitarbeiterinformationen. Die rechtlichen Rahmenbedingungen, die sie regeln, fügen eine weitere Ebene hinzu: Gemäß der Europäischen Datenschutz-Grundverordnung (DSGVO) müssen Organisationen die Behörden innerhalb von 72 Stunden nach Kenntnis eines Datenlecks benachrichtigen. Der entscheidende Ausdruck ist ‚Kenntnis erlangen‘, und die Lücke zwischen dem Beginn eines Datenlecks und dem Zeitpunkt, an dem ein Unternehmen davon Kenntnis erlangt, ist genau der Punkt, an dem der meiste Schaden entsteht.

Angreifer verschaffen sich auf eine Handvoll zuverlässiger Methoden Zugang. Im Jahr 2024 entfielen 33 Prozent der Datenlecks auf die Ausnutzung von Sicherheitslücken in Software, insbesondere in VPNs, Firewalls und Fernzugriffstools, die Organisationen als sichere Einstiegspunkte nutzen. Gestohlene oder kompromittierte Anmeldedaten waren für 16 Prozent verantwortlich, Phishing-E-Mails für 14 Prozent. Der MOVEit-Vorfall, der in einer einzigen Kampagne mehr als 62 Millionen Menschen in Hunderten von Organisationen betraf, zeigt, wie eine einzige unentdeckte Schwachstelle in weit verbreiteter Dateiübertragungssoftware ausgenutzt werden kann, bevor der Anbieter überhaupt davon weiß. Lieferkettenangriffe dieser Art nutzen das Vertrauen aus, das Organisationen in Drittanbieter-Tools setzen; sobald die Software kompromittiert ist, wird jedes Unternehmen, das sie nutzt, gleichzeitig zu einem potenziellen Ziel.

In ein Netzwerk einzudringen ist der Anfang, nicht das Ziel. Sobald ein Angreifer ersten Zugang hat, beginnt die Arbeit, sich durch das Netzwerk zu bewegen: weitere Anmeldedaten sammeln, Berechtigungen erweitern und die Systeme identifizieren, die die wertvollsten Daten enthalten. Diese Phase, laterale Bewegung genannt, nimmt Zeit in Anspruch und ist darauf ausgelegt, unsichtbar zu bleiben. Der Change Healthcare-Vorfall, der schätzungsweise 100 Millionen Amerikaner betraf und direkte Kosten von über 2,4 Milliarden Dollar verursachte, begann mit einem einzigen kompromittierten Zugangsdaten für ein Remote-Zugriffsportal, dem die Multi-Faktor-Authentifizierung fehlte. Authentifizierungslücken auf der Zugriffsebene – ein fehlender zweiter Faktor oder eine nicht gepatchte Anmeldeoberfläche – erweisen sich durchweg als folgenreicher als ausgefeilte technische Exploits.

Die durchschnittliche Erkennungszeit von 194 Tagen spiegelt eine grundlegende Asymmetrie wider: Angreifer arbeiten in ihrem eigenen Tempo in einem Netzwerk, das sie bereits kontrollieren, während Verteidiger nach Signalen suchen, die der Angreifer aktiv verbirgt. Wenn Organisationen Datenlecks durch ihre eigene Überwachung erkennen, sinkt die mediane Verweildauer drastisch auf 16 Tage, was darauf hindeutet, dass interne Erkennungsfähigkeiten, sofern sie vorhanden sind und korrekt funktionieren, Eindringlinge weitaus früher aufspüren. Unternehmen, die Echtzeit-Bedrohungsinformationen nutzen, identifizierten Eindringlinge im Durchschnitt 28 Tage schneller. Nach der Erkennung dauert die Eindämmung eines Datenlecks im Durchschnitt weitere 64 Tage, sodass der gesamte Lebenszyklus vom Eindringen bis zur Eindämmung bei etwa 258 Tagen liegt.

Bevor eine Erkennung erfolgt, hat die Exfiltration fast immer schon stattgefunden. Gestohlene Daten folgen vorhersehbaren Wegen durch kriminelle Märkte. Hochwertige Datensätze – darunter Sozialversicherungsnummern, medizinische Identifikatoren und Finanzkontodaten – werden in großen Mengen verkauft und an spezialisierte Käufer weiterveräußert. Der National Public Data-Vorfall kompromittierte schätzungsweise 2,9 Milliarden Datensätze, darunter Sozialversicherungsnummern von Personen in den USA, Großbritannien und Kanada, wobei der Datensatz zum Preis von 3,5 Millionen Dollar angeboten wurde, bevor das Unternehmen eine öffentliche Stellungnahme abgab. Automatisierte Tools beschleunigen nun sowohl die Ausbeutungs- als auch die Monetarisierungsphasen, was bedeutet, dass das Zeitfenster zwischen einem erfolgreichen Datenleck und der ersten kriminellen Nutzung der extrahierten Daten weitaus kürzer sein kann als das Zeitfenster zwischen dem Datenleck und Ihrer Benachrichtigung.

Die Folgen eines Datenlecks sind weder sofort noch einheitlich. Die Verluste durch Identitätsbetrug beliefen sich im Jahr 2025 auf 27,3 Milliarden Dollar, aber die meisten betrügerischen Konten, die mit gestohlenen Identitäten eröffnet werden, tauchen Monate oder Jahre nach dem Datenleck auf, wenn Kriminelle den Zeitpunkt für günstig halten. Medizinischer Identitätsdiebstahl hat seinen eigenen zeitlichen Verlauf: betrügerische Versicherungsansprüche, die unter einer gestohlenen Identität eingereicht werden, können die Krankengeschichte des rechtmäßigen Inhabers verfälschen, zukünftige Versicherungsdeckungen beeinträchtigen und Jahre dauern, um identifiziert und korrigiert zu werden. Das Bewusstsein für diese Pipeline gehört zu den wirksamsten individuellen Abwehrmaßnahmen, nicht weil Bewusstsein Datenlecks verhindert, sondern weil das frühzeitige Erkennen verdächtiger Aktivitäten den letztendlichen Schaden dramatisch reduziert.

Keine Sicherheitsinvestition kann das Risiko von Datenlecks vollständig ausschließen. Die Organisationen, die in den letzten Jahren die größten und folgenreichsten Datenlecks erlitten, waren nicht nachlässig. Sie betrieben komplexe Systeme in großem Maßstab, und die Angreifer fanden die Lücken, die in komplexen Systemen in großem Maßstab unvermeidlich sind. Was Sicherheitsausgaben verändern, ist die Erkennungsgeschwindigkeit und der Umfang des Zugriffs, den ein Angreifer ansammeln kann, bevor er gefunden wird. Datenlecks, die innerhalb von 200 Tagen entdeckt werden, kosten Organisationen durchschnittlich 1,39 Millionen Dollar weniger als solche, die länger unentdeckt bleiben. Das realistische Ziel ist nicht Unverwundbarkeit, sondern Reaktionsfähigkeit.

Wenn Sie eine Benachrichtigung über ein Datenleck erhalten, sind drei Schritte wichtiger als das Angebot einer Kreditüberwachung. Erstens: Frieren Sie Ihre Kreditauskunft bei den großen Auskunfteien ein – das verhindert, dass neue Konten in Ihrem Namen eröffnet werden, und das Auftauen ist unkompliziert, wenn Sie einen Kredit beantragen müssen. Zweitens: Überprüfen Sie mit dem kostenlosen Tool Have I Been Pwned, ob Ihre E-Mail-Adresse in bekannten Datensätzen von Datenlecks auftaucht. Drittens: Ändern Sie jedes Passwort, das zwischen dem betroffenen Dienst und anderen Konten geteilt wird, da Credential Stuffing auf wiederverwendeten Passwörtern basiert. Die DSGVO-Benachrichtigung, die Sie möglicherweise von einem europäischen Unternehmen erhalten, stellt das 72-Stunden-Fenster ab dem Zeitpunkt dar, an dem die Organisation Kenntnis erlangt hat, nicht ab dem Zeitpunkt des Datenlecks. Das nützlichste Detail in jedem Benachrichtigungsschreiben ist die spezifische Art der betroffenen Daten: zu wissen, ob Ihre medizinischen Unterlagen, Finanzdaten oder staatlichen Identifikatoren offengelegt wurden, bestimmt, wie dringend Sie handeln müssen.

Schlagwörter: Cybersicherheit, Datenschutz, Datenleck, DSGVO, ransomware, Identitätsdiebstahl