Ende September 2023 wurde die Hotelkette Motel-One Ziel eines gravierenden Hackerangriffs, bei dem nach öffentlichen Angaben mehr als 6 Terabyte Kundendaten, inklusive sensibler persönlicher Informationen wie Anschriften, Telefonnummern, Geburts- und Übernachtungsdaten offengelegt wurden.
Dieter Müller, Mitbegründer und Teilhaber von Motel-One, dessen eigene Daten auch kompromittiert wurden, appelliert infolge des signifikanten Datenlecks an die politischen Entscheidungsträger, die nationalen Cyberabwehrmechanismen deutlich zu stärken.
Kommentar/Meinung:
Während Müllers Aufruf an die Politik nach verstärkter Cyberabwehr zunächst durchaus berechtigt erscheint, ist es zentral zu betonen, dass Datensicherheit und Schutz zunächst und primär eine unternehmensinterne Verantwortung darstellen. Mögliche eigene Versäumnisse sollten nicht ausschließlich externen Strukturen, wie der Bundesregierung oder dem Bundesamt für Sicherheit in der Informationstechnik (BSI), angelastet werden. Das BSI bietet umfangreiche Informationen und Leitfäden, die Unternehmen bei der Implementierung von effektiven Cyberabwehrstrategien unterstützen, wenngleich ein absoluter Schutz vor Cyberangriffen niemals garantiert werden kann. Effiziente interne Maßnahmen und Mechanismen, etwa die Nutzung von Anomalie-Erkennungssystemen wie „Splunk“, können proaktiv agieren, um illegale Datenbewegungen frühzeitig zu identifizieren und angemessene Gegenmaßnahmen einzuleiten.
Die Berücksichtigung internationaler Sicherheitsstandards, wie die Einhaltung der ISO 27001-Norm, kann darüber hinaus als integraler Bestandteil einer robusten Cybersicherheitsstrategie betrachtet werden.
Auch wenn es sich ggf. um eine misslungene Ransomware-Attacke gehandelt haben sollte, hier ein paar wichtige Hintergrundinformationen über die für den Angriff sich bekennende Hackergruppe ALPHV und deren Bezug zur Entwicklungsplattform der Ransomware „BlackCat“: BlackCat, eine hochgefährliche Datenverschlüsselungssoftware, die als Software-as-a-Service (SaaS) auch für technisch weniger versierte Cyberkriminelle verfügbar ist, eröffnet die Möglichkeit, Unternehmen zu verschlüsseln und Erpressungen vorzunehmen, während die Entwickler einen Anteil der erpressten Lösegelder einstreichen.
Das Auftauchen von Daten aus dem Jahr 2016 wirft denken wir auch ernsthafte Fragen in Bezug auf die Konformität mit der Datenschutz-Grundverordnung (DSGVO) der Hotelkette auf und verlangt nach zusätzlichen internen Anpassungen der Datenspeicherpraktiken.
Schlussendlich wäre es ratsam, wenn sich Unternehmen wie Motel-One primär auf die Optimierung und Verstärkung der eigenen Cybersicherheit konzentrieren, anstatt den Fokus auf externe Regulierungen zu legen. Leider ist immer wieder festzustellen, dass hausinterne IT-Abteilungen der Meinung sind, IT-Sicherheit vollständig und alleine in den Griff zu bekommen. IT-Sicherheit ist jedoch ein eigenes und weitläufiges Feld. Die Einbindung von Experten wie Redteamern und ethischen Hackern (White Hat Hackers), die Durchführung von Penetrationstests und die Implementierung weiterer proaktiver Sicherheitsmaßnahmen liegen in der unmittelbaren Verantwortung des Unternehmens und sollten als solche ernst genommen werden.
