Wie groß ist groß? Der MOVEit-Verstoß dürfte der größte seit Jahren sein.

Big-Data-Verstöße sind mit hohen Kosten verbunden. Das wissen Sie wahrscheinlich schon, aber verfolgen Sie wirklich die Zahlen? Mit Stand vom 25. August 2023 wurden die durchschnittlichen Kosten einer Datenschutzverletzung für das Jahr auf 4,45 Millionen US-Dollar geschätzt. Das sind 15 % mehr als im Jahr 2020.

Aber denken Sie daran, das ist der Durchschnitt. Wenn ein großes Unternehmen 50 Millionen oder mehr Datensätze verliert, liegen die Kosten bei über 300 Millionen Dollar. Es ist keine Überraschung, dass die gleiche IBM-Studie ergab, dass 51 % der Unternehmen höhere Investitionen in die Cybersecurity planen.

Der MOVEit-Verstoß

Als eine russische Ransomware-Gruppe namens Cl0p beginnend im Mai 2023 eine Schwachstelle in Progress Softwares Dateitransferprogramm MOVEit für Unternehmen ausnutzte, konnten sie große Datenmengen stehlen und als „Geiseln“ nehmen. Der Angriff ist noch im Gange und Cl0p meldet häufig neue Opfer. Dieser Vorfall ist bereits auf dem besten Weg, zum katastrophalsten und kostspieligsten Datenschutzverstoß in der jüngeren Geschichte zu werden.

Opfer des MOVEit-Verstoßes

Bisher haben mehr als 2.500 Organisationen Angriffe gemeldet, die die Daten von mehr als 67 Millionen Personen betrafen.

• BORN Ontario, ein Register für Säuglinge und Personen, die vor und nach der Geburt Pflege suchen, hat Daten von 3,4 Millionen Personen verloren, einschließlich Aufzeichnungen von 2010 bis 2023.
  
• Maximus, ein riesiger Auftragnehmer für US-Regierungsdienstleistungen, verlor die persönlichen Daten von 8 bis 11 Millionen Personen, einschließlich Sozialversicherungsnummern und Gesundheitsdaten.
• Pôle Emploi, die französische Arbeitsagentur, hat die Daten von bis zu 10 Millionen Personen verloren.
• Da U.S. Dept. of Justice and Pentagon erlitt einen Verstoß gegen 632.000 E-Mail-Konten.

Das sind nur einige der wichtigsten Opfer, die bisher bekannt geworden sind. Viele Millionen anderer individueller Aufzeichnungen wurden bei diesem Verstoß ebenfalls gestohlen.

Lehren aus dem Einbruch

Wie bei anderen groß angelegten Sicherheitsverletzungen der letzten Zeit handelt es sich auch hier um die Kompromittierung einer weit verbreiteten Software, über die niemand viel nachdenkt – sie ist nur ein Teil der Infrastruktur, die geschützte Dateien bei Bedarf sicher und zuverlässig bewegt.

Da MOVEit so weit verbreitet ist, konnte ein einziger Angriff die unterschiedlichsten Zielorganisationen treffen.

Von staatlichen und bundesstaatlichen Behörden, Pensionsfonds, staatlichen Kraftfahrzeugämtern, Finanzdienstleistern, gemeinnützigen Organisationen und anderen Organisationen ist die Gesamtmenge der persönlichen Daten, die bei diesem Angriff entwendet wurden, atemberaubend.

Einige Opfer haben Lösegeldforderungen erhalten, um zu verhindern, dass ihre Daten an die Öffentlichkeit gelangen, und einige haben bezahlt. Zweifellos überdenken viele ihre Cyber-Versicherungspolicen noch einmal genau.

Schutz vor solchen Angriffen

Die Verteidigung gegen einen Zero-Day-Exploit wie den MOVEit-Verstoß kann eine Herausforderung sein, aber Sie können die Risiken durch den Aufbau einer umfassenden, integrierten Sicherheitsinfrastruktur verringern. Eine fortschrittliche Plattform zum Schutz von Web-Applikationen und APIs (WAAP) wie Barracuda Application Protection kann dazu beitragen, einige Risiken aus Software-Lieferketten und Anwendungen von Drittanbietern aufzudecken und zu mindern.

Die enorme Reichweite dieses Verstoßes ist zum Teil auf die Komplexität moderner Software-Lieferketten zurückzuführen. Etwa ein Drittel der bekannten Opfer wurde über Dritte oder durch Subunternehmer, Auftragnehmer und Lieferanten geschädigt. Und das ganze Ausmaß der Auswirkungen ist noch nicht bekannt.

Die Neugestaltung und der Umbau von Softwarebeschaffungs- und -entwicklungsprozessen zur Optimierung der Sicherheit in der gesamten Lieferkette ist eine große Herausforderung, aber die Vorteile in Bezug auf die Gefährdung durch Cyberrisiken machen es für viele Unternehmen lohnenswert.