Was ein Kontaktdatenleck wirklich testet: die Benachrichtigungsklauseln im Lieferantenvertrag

Wenn bei einem Analytics-Dienstleister Kontaktdaten von Kunden offengelegt werden, ist es selten der Dienstleister, der sich gegenüber Aufsichtsbehörden, Journalisten und besorgten Nutzern verantworten muss. In der Regel trifft es das Unternehmen, dessen Name mit dem Vorfall in Verbindung gebracht wird und dessen Meldepflichten greifen, sobald genügend Informationen vorliegen, um entsprechende Maßnahmen einzuleiten.

Wie TradingView am 30. Oktober berichtete, bestätigte Coinbase einen Sicherheitsvorfall bei seinem Analytics-Anbieter Amplitude, von dem „Kontaktdaten einer kleinen Gruppe von Coinbase-Kunden“ betroffen waren. Coinbase erklärte, dass es keinen unbefugten Zugriff auf die eigenen Systeme gegeben habe und „die Kundengelder sicher geblieben seien“. Betroffene Nutzer sollten entsprechend informiert werden.

Diese Kombination verdient besondere Aufmerksamkeit. Kein unbefugter Zugriff auf die Systeme der Kryptobörse, keine geleerten Wallets und keine direkte Beeinträchtigung der Verwahrungsinfrastruktur – und dennoch sind eine öffentliche Stellungnahme, die Benachrichtigung betroffener Nutzer und ein professioneller Umgang mit der öffentlichen Wahrnehmung erforderlich. TradingView weist darauf hin, dass das Unternehmen bislang keine umfassende öffentliche Aufschlüsselung dazu vorgelegt hat, welche Datenfelder genau betroffen waren und wie viele Kunden der Vorfall insgesamt betrifft.

Die Verantwortung wandert mit den Daten

Bei einer solchen Meldung liegt der Schluss nahe, dass der Vorfall beim Dienstleister keine Kundengelder betroffen hat und deshalb die üblichen Sicherheitsmaßnahmen ausreichen. Doch der Artikel macht auf einen entscheidenden Mechanismus aufmerksam: Offen gelegte Kontaktdaten sind keineswegs harmlos, nur weil kein Geld verloren gegangen ist.

Betrüger können E-Mail-Adressen oder Telefonnummern nutzen, um überzeugende Identitätsdiebstähle vorzubereiten, eine Kontowiederherstellung zu versuchen oder sich als Mitarbeiter des Kundensupports auszugeben. Der eigentliche Schaden entsteht häufig erst später – durch eine Phishing-Nachricht oder eine Aufforderung zur Herausgabe eines Authentifizierungscodes, die gerade genügend echte Informationen enthält, um glaubwürdig und vertraut zu wirken.

Für Unternehmen mit Tausenden von Dienstleistern ist genau dieser zeitversetzt eintretende Schaden die größte Herausforderung. Innerhalb der eigenen IT-Infrastruktur lässt sich nicht erkennen, wenn ein Betrüger eine offengelegte Kontaktinformation nutzt, um beispielsweise die Buchhaltung telefonisch zu kontaktieren. Was ein Unternehmen jedoch kontrollieren kann, ist, wie viele und welche Informationen ein Dienstleister überhaupt speichert und wie schnell er das Unternehmen informiert, wenn diese Daten in falsche Hände geraten.

Datenfelder bereits bei den Vertragsverhandlungen erfassen

Die meisten Unternehmen stellen vor Vertragsabschluss bestimmte Fragen zur Informationssicherheit. Deutlich weniger betrachten jedoch die genaue Auflistung der übermittelten Datenfelder als eigenständige Sicherheitsmaßnahme.

Die von TradingView genannten Bereiche – Analytics, Kommunikation und Support – verarbeiten nicht nur Identifikationsdaten, sondern auch Informationen über die bisherige Kundenbeziehung. Ein Analytics-Anbieter kann beispielsweise Kundennummern, Zeitstempel, Geräteinformationen oder Kontoeinstellungen speichern. Ein Support-Dienstleister wiederum kann Gesprächsprotokolle aufbewahren, in denen Kunden möglicherweise Bestellnummern oder sogar Codes zur Kontowiederherstellung angegeben haben.

Jedes zusätzliche Datenfeld liefert Angreifern weitere Informationen, mit denen sie noch überzeugendere Social-Engineering-Angriffe durchführen können. Gleichzeitig verändert sich dadurch auch der Umfang der Verpflichtungen, die für ein Unternehmen im Falle eines Datenlecks entstehen.

Deshalb sollte die Erfassung der bei Dienstleistern gespeicherten Daten nicht als einmalige Tabellenpflege, sondern als kontinuierliches Programm verstanden werden. Ein Managed Third-Party Risk Management-Programm ermöglicht es auch kleineren Teams mit begrenzten Ressourcen, ihre Prüfkapazitäten gezielt auf jene Dienstleister zu konzentrieren, bei denen die Kombination der gespeicherten Daten das größte Schadenspotenzial birgt. Dabei werden die einzelnen Feststellungen validiert, bevor sie an das Unternehmen weitergegeben werden.

Die genaue Formulierung der Meldepflicht ist der eigentliche Kontrollmechanismus

Die meisten Dienstleisterverträge enthalten eine Klausel zur Meldung von Sicherheitsvorfällen. Der Unterschied zwischen einer wirksamen Sicherheitsmaßnahme und einem unverbindlichen Versprechen liegt jedoch in der präzisen Definition der verwendeten Begriffe.

Für ein Unternehmen ohne rund um die Uhr verfügbares Vendor-Security-Team muss der Vertrag eindeutig festlegen, was eine unverzügliche Benachrichtigung bedeutet, wenn der Dienstleister beispielsweise am Freitagabend einen verdächtigen Vorfall feststellt.

Wann beginnt die Meldefrist? Bereits dann, wenn beim Dienstleister ein begründeter Verdacht besteht, oder erst, wenn die eigentliche Ursache zweifelsfrei geklärt wurde? Erfasst die Klausel auch Daten von Kunden und Mitarbeitern des Unternehmens oder ausschließlich Daten, die dem Dienstleister selbst gehören? Wie viel Zeit darf maximal zwischen der bestätigten Offenlegung von Daten und der Benachrichtigung des Unternehmens vergehen, das sich anschließend für die Folgen des Vorfalls verantworten muss?

Die europäischen Vorschriften konkretisieren einige dieser Anforderungen. Die DSGVO verpflichtet Auftragsverarbeiter dazu, den Verantwortlichen unverzüglich über eine ihnen bekannt gewordene Verletzung des Schutzes personenbezogener Daten zu informieren. DORA wiederum verlangt von Finanzunternehmen, die Meldepflichten bei IKT-Vorfällen in ihren Verträgen mit IKT-Drittdienstleistern festzulegen. Ob und in welcher Form diese Anforderungen für eine bestimmte Dienstleisterbeziehung gelten, hängt unter anderem vom jeweiligen Sektor, der datenschutzrechtlichen Rolle und der Unternehmensgröße ab. Unternehmen sollten die Anwendbarkeit daher für ihre eigenen Vertragsbeziehungen prüfen, anstatt ungeprüft eine allgemeine Vorlage zu übernehmen.

Die Zuordnung dieser Verpflichtungen zu den jeweiligen Dienstleisterkategorien führt letztlich wieder zu derselben vertraglichen Datendokumentation, auf der auch die Sicherheitsmaßnahmen aufbauen.

Wenn ein Dienstleister das nächste Mal Kontaktdaten von Kunden verliert, wird die Öffentlichkeit sich nicht damit zufriedengeben, dass Kundengelder und zentrale Systeme unangetastet geblieben sind. Sie wird wissen wollen, warum das betroffene Unternehmen nicht innerhalb weniger Stunden sagen konnte, welche Personen betroffen waren und welche Daten der Dienstleister gespeichert hatte.

Stellen Sie deshalb vor der nächsten Vertragsverlängerung jedem Analytics-, Support- und Kommunikationsdienstleister eine einzige Frage: Wie schnell werden wir informiert, wenn Kontaktdaten offengelegt werden?