Virgin Media, einer der größten Kabel- und Telekommunikationsanbieter des Vereinigten Königreichs, unterhielt eine Marketingdatenbank, die fehlerhaft konfiguriert war, sodass ohne Autorisierung auf sie zugegriffen werden konnte. Die Fehlkonfiguration wurde etwa zehn Monate lang nicht bemerkt. Im März 2020 gab das Unternehmen bekannt, dass rund 900.000 Personen betroffen waren, darunter Festnetzkundinnen und -kunden, die etwa 15 % dieses Kundenstamms ausmachen.
Bei den offengelegten Daten handelte es sich um Kontaktinformationen: Namen, Wohn- und E-Mail-Adressen sowie Telefonnummern. Virgin Media erklärte, die Datenbank habe keine Passwörter und keine Finanzdaten wie Kreditkarten- oder Bankkontonummern enthalten. Das Unternehmen erklärte, es habe von dem Problem erfahren, den Zugriff auf die Datenbank gesperrt und das Information Commissioner's Office auf dem Laufenden gehalten.
Der Fall ist klein im Vergleich zu den Mega-Datenlecks, doch sein Mechanismus ist der übliche: Die Datenbank wurde weniger gehackt als vielmehr offen gelassen. Ein Konfigurationsfehler blieb fast ein Jahr lang unbeobachtet, und die Lücke zwischen „eingerichtet“ und „überprüft“ wurde zur Preisgabe der persönlichen Daten von fast einer Million Kundinnen und Kunden.
Bei dem Vorfall handelte es sich nicht um einen Hack, sondern um einen unbeobachteten Konfigurationsfehler; die Behebung bestand darin, den Zugriff zu sperren, doch der Preis waren die offengelegten Daten von fast einer Million Kundinnen und Kunden.
Eine Marketingdatenbank war fehlerhaft konfiguriert, sodass ohne Autorisierung auf sie zugegriffen werden konnte.
Die Fehlkonfiguration blieb etwa zehn Monate lang unentdeckt, sodass das Zeitfenster der Exposition lang war, bevor jemand nachsah.
Die Datenbank enthielt die Kontaktdaten von rund 900.000 Personen – Namen, Wohn- und E-Mail-Adressen sowie Telefonnummern.
Weder eine Überwachung noch eine Zugriffsprüfung erkannte die offene Datenbank; das Versäumnis war ein fehlendes Nachprüfen, kein ausgeklügelter Angriff.
Kundendaten brauchen einen Verantwortlichen, der sie überprüft. Die Marketingdatenbank von Virgin Media blieb zehn Monate lang fehlerhaft konfiguriert, bevor es jemandem auffiel – der Vorfall war die Lücke zwischen „konfiguriert“ und „überwacht“.
Virgin Media sperrte den Zugriff auf die Datenbank, kontaktierte betroffene Kundinnen und Kunden und hielt das britische Information Commissioner's Office auf dem Laufenden. Da keine Finanzdaten und keine Passwörter offengelegt wurden, war der unmittelbare Schaden für die Kundinnen und Kunden begrenzt, doch der Vorfall gilt als Lehrbuchbeispiel dafür, wie Datenschutzverletzungen üblicherweise geschehen: nicht durch ein raffiniertes Eindringen, sondern durch ein fehlerhaft konfiguriertes System, auf das niemand achtete.
DEN BELEGEN FOLGEN