Als ich damit begann, diesen Blogpost zu schreiben, war ich "erst" zwei Mal Betroffener eines Datenleaks in diesem Jahr. Dann kam kurzfristig die Republik mit ihrem Artikel über den Hackerangriff um die Ecke. Drei Vorfälle in einem Jahr sind definitiv zu viel! In dieser 3-teiligen Blogserie schreibe ich über Verantwortung, was bei IT-Sicherheit zentral ist und wie sich LLM's in die ganze Thematik einbringen. Doch beginnen wir erst mal bei der Ausgangslage.
Der erste Fall war Anfang Sommer der Datenleak von Portraitbox.
In der Schule unserer Kinder wurden einmal jährlich durch einen externen Fotografen Fotos von unseren Kindern gemacht. Diese Fotos konnten wir im Anschluss käuflich erwerben. Per E-Mail wurden wir darüber informiert, dass es einen "Sicherheitsvorfall" gab und unsere Daten sowie die Fotos unseres Kindes abhanden gekommen seien.
Man habe "Massnahmen ergriffen". Das "Einfallstor" wurde geschlossen. Ach ja, die "IT-Sicherheitsmassnahmen" wurden grundlegend überarbeitet. Man bedauere die Umstände und dankt für unser Verständnis. Ausserdem würde man uns informieren, wenn weitere Erkenntnisse vorliegen würden.
Das blieb bisher aus und ich gehe auch davon aus, dass das Thema bei Portraitbox schon lange ad acta gelegt wurde. Auch auf meine Anfrage nach Details des Vorfalls wurde nicht konkret eingegangen.
Eine persönliche Nachricht von Francesco, dem Geschäftsführer bei Ricardo ging am 10. Oktober in meinem Mailpostfach ein. Er hat mir mitgeteilt, dass es einen "unberechtigten Zugriff auf meinen Namen, meine Postadresse und meine Telefonnummer" gegeben habe. Er bedauert das zutiefst.
Auch er wird nicht konkreter. Eine "entdeckte Sicherheitslücke" wurde vom Ricardo Team geschlossen. Meine Zugangsdaten seien sicher. Auch Ricardo verweist mich auf ihre Hilfeseite, auf der ich weitere Informationen zur Betrugsprävention finden würde. Vielleicht liest Francesco ja auch meine Blogposts für Tipps zu mehr IT-Sicherheit. ;)
Zum Schluss gibt er mir noch sein Wort, dass sie "alles tun werden", um sich weiter zu verbessern.
Die Republik hat mich nicht persönlich informiert, sondern den Fall als Artikel auf ihrer Webseite veröffentlicht. Es gab einen Zugriff auf meine Daten. Mal wieder. Aber die Republik erklärt wenigstens transparent, was genau passiert ist. Sie haben mehrere Fehler gemacht:
Auch die Republik bedauert den Vorfall und sie werden alles daran setzen, besser zu werden.
Fragen wir mal die Wikipedia, worum es bei Verantwortung konkret geht:
"Verantwortung ist vorrangig die Fähigkeit, das eigene Können und die möglichen Folgen von Entscheidungen einzuschätzen und so zu handeln, dass die erwarteten Ziele mit grösster Wahrscheinlichkeit erreicht werden."
"In diesem Zusammenhang kann aus der Verantwortung die freiwillige (verantwortungsbewusste) oder (bei Unwissenheit oder Fremdbestimmung) unfreiwillige Übernahme einer Verpflichtung hervorgehen, für die möglichen Folgen einer Handlung oder einer getroffenen Entscheidung einzustehen und gegebenenfalls dafür Rechenschaft abzulegen oder Strafen zu akzeptieren. Verantwortungsgefühl setzt ein Gewissen, die Kenntnis der Wertvorstellungen sowie der rechtlichen Vorschriften und sozialen Normen voraus."
Verantwortung zu tragen heisst also nicht, zu bedauern und eine Meldung an den EDÖB abzusetzen. Verantwortung fängt viel früher an. Das ist mit sehr viel Aufwand, Wissen und Fleiss verbunden. Gerade deshalb wird das so sträflich vernachlässigt. Bei den genannten Fällen sind meine Gedanken und Konsequenzen dazu wie folgt.
Wir haben der Schule die pauschale Erlaubnis entzogen, Fotos unserer Kinder zu machen. Das finden wir schade, daher akzeptieren wir das in Einzelfällen wie allgemeinen Klassenfotos weiterhin. Externe Fotografen dürfen unsere Kinder aber in der Schule nicht mehr fotografieren. Portraitbox musste alle von uns gespeicherten Daten löschen.
Bei Ricardo werde ich voraussichtlich mein Konto löschen. Aktuell habe ich das aber noch nicht gemacht. Francesco hat mein Vertrauen verloren. Auch wenn er mir sein Wort gibt, ich habe bisher von keinen konkreten Massnahmen erfahren.
Bei der Republik habe ich eine Löschanfrage für mein Konto inkl. den Kommentaren gestellt. Einerseits schätze ich die transparente Kommunikation, andererseits sehe ich aktuell noch zu viele Fahrlässigkeiten in der IT-Infrastruktur.
Ich erwarte bei solchen Vorfällen vom jeweiligen Anbieter eine umfangreiche Post-mortem-Analyse, welche öffentlich (oder zumindest für die betroffenen Personen) in vollem Umfang zur Verfügung gestellt wird. Darin müssen auch die konkreten Massnahmen aufgelistet werden, um solche Vorfälle zukünftig zu vermeiden. Nur so gewinnt man das Vertrauen zurück und zeigt, dass man echte Verantwortung tragen kann.
Kleiner Tipp zum Ende:
Datensparsamkeit ist das Thema der Stunde. Ich überlege mir bei allen Accounts, die ich einrichte, ob die angeforderte Information wirklich nötig ist, um die angebotene Dienstleistung anbieten zu können.
Braucht Adobe wirklich mein Geburtsdatum, um mir eine Lizenz zuweisen zu können? Muss Steam meine korrekte Postadresse haben, um mir ein Onlinespiel zu verkaufen?
Im Zweifel ist mein Geburtsdatum halt der 01.01.2000 und ich wohne am Paradeplatz 1 in Zürich.
Falls diese falschen Informationen zu Problemen führen, werde ich es bedauern und Besserung geloben. ;)
In Teil 2 geht es dann darum, warum Security-Patches einzuspielen nicht reicht, um IT-Sicherheit ernst zu nehmen.
