Das Pentagon informiert mehr als 2 Millionen aktiver und ehemaliger Militärangehöriger darüber, dass ihre Personalakten bei einem monatelangen Netzwerkverstoß gestohlen wurden. Das Defense Manpower Data Center, das Personalakten des Verteidigungsministeriums zusammenführt, wurde laut Pentagon bereits im vergangenen Oktober durchbrochen.
Benachrichtigungsschreiben, die auf Reddit veröffentlicht wurden, geben an, dass gestohlene Aufzeichnungen Sozialversicherungsnummern, Namen, Adressen, Geschlecht, Rasse und Fachgebiet umfassen. Das Pentagon sagt, der Verstoß habe die Aufzeichnungen von 2,8 Millionen lebenden Personen beeinträchtigt.
Der Verstoß im Defense Manpower Data Center
Das Defense Manpower Data Center dient als zentrale Datenbank für Personalakten des Verteidigungsministeriums. Seine Aufgabe ist es, Daten über Militärangehörige in allen Teilstreitkräften zu sammeln und zu speichern.
Der Verstoß begann im vergangenen Oktober. Der vollständige Zeitplan des Verstoßes ist noch unklar, aber die jetzt versendeten Benachrichtigungsschreiben bestätigen, dass der Datendiebstahl mehrere Monate dauerte.
Das Ausmaß des Verstoßes ist enorm. Mehr als 2 Millionen Soldaten und Veteranen könnten in den kommenden Wochen Benachrichtigungsschreiben erhalten. Das Pentagon sagt, der Verstoß habe die Aufzeichnungen von 2,8 Millionen lebenden Personen beeinträchtigt, eine Zahl, die die Anzahl der betroffenen Soldaten übersteigt.
Die gestohlene Daten umfasst hochsensible Informationen. Sozialversicherungsnummern, Namen, Adressen, Geschlecht, Rasse und Fachgebiet gehören zu den gestohlenen Daten. Diese Kombination von Kennungen setzt betroffene Personen dem Risiko von Identitätsdiebstahl und finanziellem Betrug aus.
Die Briefe geben an, dass die gestohlenen Aufzeichnungen Sozialversicherungsnummern, Namen, Adressen, Geschlecht, Rasse und Fachgebiet umfassen.
Was die Benachrichtigungsschreiben offenbaren
Reddit-Nutzer haben Bilder der Benachrichtigungsschreiben gepostet, die sie erhalten haben. Die Briefe beschreiben den Umfang der offengelegten Daten.
Die Briefe bestätigen außerdem, dass der Verstoß die Aufzeichnungen von 2,8 Millionen lebenden Personen beeinträchtigt hat.
Der zweite größere Netzwerkverstoß in den letzten Monaten
Dieser Hack ist der zweite größere Netzwerkverstoß in den letzten Monaten, der sensible Personalakten der US-Regierung aufgedeckt hat. Letzten Monat beanspruchte die Ransomware-Gruppe ShinyHunters, sie habe FBI-Systeme gehackt und Akten von Tausenden von derzeitigen oder ehemaligen Mitarbeitern gestohlen.
ShinyHunters ist eine bekannte Ransomware-Gruppe, die bereits mehrere Organisationen ins Visier genommen hat. Ihr Vorgehen beinhaltet das Eindringen in Netzwerke, das Stehlen von Daten und die Drohung mit deren Veröffentlichung, es sei denn, ein Lösegeld wird gezahlt.
Der FBI-Verstoß betraf Akten von Tausenden von derzeitigen oder ehemaligen Mitarbeitern. Laut Reuters umfassten die in diesen Akten genannten Stellenbezeichnungen Positionen im Zusammenhang mit der Untersuchung von China oder Russland.
Das FBI hat öffentlich auf die Bedrohung reagiert. Ein FBI-Beamter forderte Gruppenmitglieder auf, sich selbst zu melden. ShinyHunters hat mitgeteilt, dass sie die Informationen nicht veröffentlichen will.
Vergleich der beiden Sicherheitslücken
| Sicherheitslücke | Betroffene Organisation | Anzahl der gestohlenen Datensätze | Offenliegende Daten |
|---|---|---|---|
| Defense Manpower Data Center | Verteidigungsministerium | 2,8 Millionen lebende Personen | Sozialversicherungsnummern, Namen, Adressen, Geschlecht, Rasse, Berufsbezeichnung |
| ShinyHunters | FBI | Tausende von Mitarbeitern | Stellenbezeichnungen im Zusammenhang mit China- und Russland-Ermittlungen |
Beide Sicherheitslücken weisen einen gemeinsamen Nenner auf: Sie beinhalten sensible Personalakten von Regierungsbehörden. Beide betreffen große Personenzahlen. Und beide unterstreichen die Verwundbarkeit von Netzwerken der Bundesbehörden.
Der Zeitpunkt der beiden Sicherheitslücken ist bemerkenswert. Sie ereigneten sich innerhalb eines Monats. Diese Nähe wirft Fragen auf, ob es ein breiteres Muster von Cyberangriffen gibt, die auf Regierungsbehörden abzielen.
Das Risiko für Einzelpersonen
Die gestohlenen Daten umfassen Sozialversicherungsnummern, die eindeutige Kennungen für alles von Steuererklärungen bis hin zu Bankgeschäften sind. Namen, Adressen und andere persönliche Daten können mit den Sozialversicherungsnummern kombiniert werden, um vollständige Profile der betroffenen Personen zu erstellen.
Identitätsdiebstahl ist ein ernstes Risiko. Kriminelle, die diese Daten erlangen, können Konten im Namen der Opfer eröffnen, betrügerische Steuererklärungen einreichen und auf Bankkonten zugreifen. Der Schaden kann Jahre dauern, bis er behoben ist.
Die Überwachung von Kreditberichten und die Benachrichtigung von Kreditauskunfteien ist ein umsichtiger Schritt.
Der breitere Kontext der Cybersicherheit
Cybersicherheit ist zu einer entscheidenden Herausforderung für Regierungen auf der ganzen Welt geworden. Nation-State-Hacker, kriminelle Gruppen und interne Bedrohungen zielen alle auf Regierungsnetzwerke ab.
Bundesbehörden verfügen über riesige Mengen sensibler Daten. Zu diesen Daten gehören Personalakten, Gesundheitsinformationen und Finanzdaten. Der Schutz erfordert ständige Wachsamkeit.
Der Verteidigungssektor ist ein besonderes Ziel. Militärische Netzwerke enthalten Informationen, die Gegner wollen. Das Defense Manpower Data Center ist ein zentrales Repository für Personaldaten und damit ein wertvolles Ziel für Angreifer.
Was kommt als Nächstes
Das Pentagon befindet sich nun im Prozess, die betroffenen Personen zu benachrichtigen. Dieser Prozess wird Wochen, möglicherweise Monate dauern.
Betroffene Personen sollten auf Benachrichtigungsbriefe achten. Sie sollten die Briefe sorgfältig lesen und den darin enthaltenen Ratschlägen folgen.
Die beiden Sicherheitslücken werfen Fragen zum Stand der Cybersicherheit bei Bundesbehörden auf. Der Sicherheitsverstoß beim Defense Manpower Data Center zeigt, dass selbst große, gut finanzierte Organisationen kompromittiert werden können.
Die gestohlenen Daten sind eine Erinnerung an das hohe Risiko. Der Sicherheitsverstoß beim Defense Manpower Data Center ist ein bedeutendes Ereignis. Er betrifft Millionen von Personen und legt sensible persönliche Informationen offen. Allein die Tatsache, dass es überhaupt passiert ist, ist zutiefst beunruhigend.
Der FBI-Zwischenfall verstärkt die Besorgnis. Zusammen zeigen die beiden Vorfälle ein Muster von Cyberangriffen, die auf Personalakten der Regierung abzielen.
Das Pentagon und das FBI müssen ihre Cybersicherheitslage verbessern. Die Sicherheitslücken zeigen, dass die derzeitigen Schutzmaßnahmen unzureichend sind. Die gestohlenen Daten sind eine Erinnerung an das hohe Risiko.
Betroffene Personen sollten die Warnungen ernst nehmen. Sie sollten ihre Kreditwürdigkeit überwachen und auf Anzeichen von Betrug achten. Die Benachrichtigungsbriefe sind der Beginn eines langwierigen Wiederherstellungsprozesses.
Die Position der Zeitung
Die Zeitung bekennt sich zu keiner der beiden Seiten, steht aber entschieden gegen das an, was dies verursacht hat: eine Behörde, die ohne jede Zurückhaltung riesige Mengen an persönlichen Daten sammelt, was solche Sicherheitslücken überhaupt erst ermöglicht. Das Defense Manpower Data Center war niemals dafür vorgesehen, die Aufzeichnungen von Millionen von Militärangehörigen zu speichern, und sein Zusammenbruch zeigt, was passiert, wenn die Regierung das Leben der Bürger als bloße Daten behandelt.
Die Position der Zeitung ist einfach: Macht, die sich an einem Ort sammelt, wird missbraucht. Das Defense Manpower Data Center wurde nicht dazu gebaut, das Datenvolumen zu verarbeiten, das es sammelte, und das Ergebnis war vorhersehbar. Ein kleineres, stärker dezentrales System wäre möglicherweise ebenfalls gescheitert, aber es wäre auf eine Weise gescheitert, die weniger Menschen betraf und weniger auf einmal preisgab. Stattdessen kompromittierte ein einziger Verstoß Aufzeichnungen, die 2,8 Millionen lebenden Personen gehören.
Der Leser sollte auf das nächste Benachrichtigungsschreiben achten, denn ein weiterer Verstoß ist wahrscheinlich bevorstehend. Das Muster ist klar: Bundesbehörden halten riesige Mengen an persönlichen Daten, und Angreifer finden immer wieder Wege hinein. Die Zeitung wird weiterhin davor warnen, dass Behörden ihre eigene Befugnis ausschreiben und mehr Macht sammeln, unabhängig davon, welche Partei sie innehat.
Quelle: “Hacks of 2 federal agencies in a month have spilled a bonanza of sensitive data,” Ars Technica.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.