Gebrauchte Festplatten: Gehaltslisten, Kreditkartendaten, Passwörter und Kundendaten gefunden

Attingo Datenrettung weist auf leichtsinnigem Umgang mit sensiblen Daten hin

[datensicherheit.de, 20.03.2018] Mit wenigen Klicks an vertrauliche Daten einer großen Supermarktkette gelangen? Attingo Datenrettung kann es nach eigenen Angaben nachweisen, dass es solche Fälle gibt: Auf namhaften Online-Auktionsplattformen und Kleinanzeigenportalen in Österreich und Deutschland seien 100 gebrauchte Datenträger für etwa sechs Euro pro Stück für das Ersatzteillager eingekauft worden. „Wir konnten es selbst kaum glauben, aber auf mehr als 73 Prozent der Festplatten, SSDs und SD-Cards waren noch – teils streng vertrauliche – Daten vorhanden“, berichtet Nicolas Ehrschwendner, Geschäftsführer der Attingo Datenrettung GmbH. Das sei insofern „brisant“, da in ihren Studien eigentlich seit 2011 jedes Mal ein deutlicher Rückgang nicht korrekt gelöschter Datenträger festzustellen gewesen sei – in der Studie 2014 seien sogar nur mehr 28 Prozent der Datenträger betroffen gewesen.

Ein Mythos: Löschen und Formatieren vernichten Daten

Es sei durchaus nicht ungewöhnlich, dass Privatpersonen sich mit dem Verkauf ihrer ausrangierten Datenträger ein Zubrot verdienen wollten. Auf restlose Datenlöschung achteten dabei jedoch nur wenige: Die gekauften Festplatten und Foto-Karten seien zum größten Teil „nur“ gelöscht oder formatiert worden, in manchen Fällen seien gar keine Löschversuche unternommen worden. Nur auf einigen wenigen Datenträgern seien die Daten vor dem Verkauf vollständig vernichtet worden.
Vielen Menschen fehle das technische Know-How darüber, was das Löschen von Daten und Verzeichnissen oder gar das Formatieren eines Datenträgers tatsächlich bedeutet: Es sei ein Irrglaube, dass danach „die Dateien wirklich weg sind“, warnt Ehrschwendner. „Genau das Gegenteil ist nämlich der Fall: Beim Löschen wird nur eine Markierung gesetzt, dass die betroffene Datei nicht mehr verfügbar ist. Der Inhalt ist meistens noch vollständig vorhanden. Ähnlich wirkungslos ist auch das Formatieren.“

Sensible Datenbestände könnten ausgenutzt werden

Somit überrasche es nicht, dass Attingo Datenrettung auf den gebrauchten Datenträgern neben private Finanzdateien sowie Zugangsdaten für Internet-Banking und Online-Shops auch Urlaubsfotos und sogar erotische, nicht jugendfreie Videoaufnahmen aus dem Schlafzimmer gefunden habe.
Bei Privatpersonen schade ein solches Verhalten „nur“ den Handelnden selbst. Anders sehe es jedoch bei Unternehmen aus, die den Datenschutzgesetzen verpflichtet seien: Umso erschreckender sei es, dass sogar hochsensible Daten von Großkonzernen auf deren gebrauchten Datenträgern gefunden würden. „In einem Fall wurden die Datenträger sogar vom Chief IT Security Officer eines Unternehmens selbst privat verkauft“, erinnert sich Ehrschwendner.
Besonders beachtlich sei die Ausbeute von mehreren Datenträgern aus dem Server-Verbund einer großen Supermarktkette gewesen: Neben Zugangsdaten für den Zugriff auf das interne Netzwerk im Klartext, Preislisten und internen Verhandlungsprotokollen von Zulieferern seien auch die Gehaltslisten der Mitarbeiter gefunden worden.
Ein gesamter Mail-Server mit E-Mails von Tausenden Mitarbeitern eines österreichischen Unternehmens aus der Lagerlogistik-Branche habe sich auf dessen ausrangierten Festplatten befunden.
Die Datenträger eines in Deutschland und Österreich tätigen holzverarbeitenden Konzerns seien über einen Online-Flohmarkt ebenfalls bei Attingo Datenrettung gelandet: Internationale Ausschreibungsunterlagen, Angebote und vertrauliche Korrespondenzen hätten rekonstruiert werden können.
Ein besonderer unverhoffter „Datenreichtum“ aufgrund nicht korrekt gelöschter Festplatten habe Attingo dank eines großen niederländischen Kabel-TV-Betreibers ereilt: Alle Kundendaten seien noch auf einem Datenträger vorhanden gewesen.

Sensibilisierung für Datenschutz beim Verkauf gebrauchter Datenträger!

„Ein grob fahrlässiger Umgang mit Daten auf gebrauchten Speichermedien scheint bei vielen Unternehmen immer noch an der Tagesordnung zu stehen, und das trotz der neuen EU-Datenschutz-Grundverordnung“, befürchtet Ehrschwendner.
Datenschutz beinhalte auch die korrekte Vernichtung der Daten von ausgedienter Hardware. Attingo Datenrettung bietet nach eigenen Angaben z.B. neben der professionellen Datenrettung von defekten Festplatten, SSDs und Datenbändern auch die Verifikation von gelöschten Datenträgern an – dies empfehle sich insbesondere für Firmen, die sichergehen wollen, dass ihre internen Datenlöschungsstrategien auch wirklich ausreichend sind.

Weitere Informationen zum Thema:

datensicherheit.de, 16.05.2013
Datenretter Attingo warnt vor blindem Vertrauen in RAID-Festplattensysteme

datensicherheit.de, 19.07.2012
Zerstörte Geräte beim Flugzeugabsturz in Tripolis: Datenretter Attingo rekonstruiert Daten