Datendiebstahl was jetzt?

[tomacco]

Liebe Community,

soeben erreichte mich diese Infomail eines größeren Onlineshops, bei dem ich als Gast bestellt hatte. Gibt es in diesem Fall Maßnahmen die ich sinnvollerweise ergreifen soll oder kann?

Sehr geehrte Damen und Herren,

Datenschutz und Datensicherheit sowie der damit einhergehende Schutz unserer Kundinnen und Kunden stehen bei der xxx GmbH an erster Stelle. Deshalb ist es uns ein wichtiges Anliegen, Ihnen alle relevanten Informationen zu einem Datenschutzvorfall mitzuteilen: Am 14.02.2021 mussten wir mit Bedauern feststellen, dass durch einen Sicherheitsvorfall folgende personenbezogene Kundendaten im Rahmen Ihrer Gast-Bestellung innerhalb Ihres Shop-Zugangs betroffen sind:

Name, Anschrift, E-Mail-Adresse.

Wichtig: Weitere Daten, wie zum Beispiel Ihre Bank- oder Zahlungsdaten, sind von diesem Vorfall nicht betroffen!

Aufgrund der entwendeten Kundendaten besteht ein Risiko des Identitätsdiebstahls, da Angreifer mit den bekannten Informationen einen Versuch unternehmen könnten, sich unter Verwendung Ihrer personenbezogenen Daten gegebenenfalls auf anderen Plattformen oder zu Newslettern anzumelden.

Bitte seien Sie deshalb beim Erhalt von E-Mails im Namen von der xxx GmbH besonders vorsichtig und klicken nicht auf enthaltene Links oder öffnen darin beigefügte Anhänge.

Wir haben die zuständige Aufsichtsbehörde über den Vorfall gem. Art. 33 DS-GVO informiert und bei der örtlichen Polizeibehörde umgehend angezeigt. Die Systeme wurden sofort abgesichert. Es besteht keine Gefahr mehr für Ihre Daten. Wir nehmen den Schutz Ihrer Daten sehr ernst!

Bei dringenden Fragen stehen Ihnen unsere Mitarbeiterinnen und Mitarbeiter sowie unser Datenschutzbeauftragter zur Verfügung.

Mit freundlichen Grüßen

Ihr Team von xxx

 

[Sahit]

Da kannst du meiner Meinung nach nichts machen. Umziehen wäre wohl etwas too much. Ist halt Blöd gelaufen.

 

[Bard]

Änder sicherheitshalber das Passwort des E-Mail Accounts, ansonsten kannst du nicht viel gegen den Rest tun.
Da einfach die E-Mails aufmerksam lesen und falls da was ist wo du dich nicht registriert hast oder sonst was ist, einfach ignorieren und von nun an keine Links mehr anklicken.

 

[Apple ][]

E-Mail Account nicht mehr nutzen bzw. löschen. Umziehen wäre vermutlich nicht sinnvoll.

Ergänzung (24. Februar 2021)

@Bard Warum das Passwort ändern? Der E-Mail Account ist doch nicht kompromittiert.

 

[Bard]

@Apple ][ Ja, aber das wird Bots trotzdem nicht davon abhalten, unentwegt Login-Versuche zu machen, bis man es dann knackt.

 

[Apple ][]

Deswegen Email Account löschen bzw. nicht mehr nutzen. Ist Shit, aber deswegen hat man ja zum Einkaufen nicht die wichtigste Email Adresse genommen, oder?

 

[wetterauer]

Werkzeugversand? Habe ich heute auch bekommen, aber vom 15.02.2021. Ich bin dabei die Email überall zu ändern wo sie in Benutzung war und dann lösche ich sie. War einer meiner Shopping Adressen.

 

[Sykehouse]

Deswegen Email Account löschen bzw. nicht mehr nutzen

Wenn es denn ein Wegwerfaccount war. Ansonsten wenn möglich 2FA aktivieren.

 

[SI Sun]

Tipp:
Erstelle dir mehrere E-Mail-Aliase.
Für jede wichtige Seite oder zumindest jede wichtige Kategorie einen eigenen Alias.

Beispiel:

• eine für Shops
• eine für Banking
• eine für Foren
• eine für unwichtige Apps
• eine für Freunde
• eine für Beruf
• eine für Familie
• und ganz wichtig: die Adresse mit der du dich in deinem Microsoft/Google/Apple Account einloggst, sollte absolut niemand haben oder kennen und diese sollte keine persönlichen Daten von dir enthalten oder mit unwichtigem Zeug wie Logins, Spielen oder sonst was verbunden werden. Sie sollte einzig und alleine für das Einloggen in den Account dienen.

 

[Amaoto]

Jetzt hat jemand einen Namen, Anschrift und die dazugehörige E-Mail-Adresse. Solche Tupel lassen sich ganz einfach generieren. Was soll da weiter passieren? Spam- oder Phishing-Mails? Als ob man sonst keine bekommt...
Ob man den E-Mail-Account jetzt weiternutzt oder nicht, ändert nichts großartig am "Risiko des Identitätsdiebstahls".

 

[korbenm]

Mache Antworten finde ich ein bisschen übertrieben.
Das kann eine x-beliebige Firma auch für Werbezwecke einkaufen.
Teilweise direkt von deiner Gemeinde.

Einen echten Unterschied zu vorher gibt's also nicht wirklich.

 

[tomacco]

Ja, war jetzt nicht die wichtigste Mailadresse, aber trotzdem ärgerlich, weil da halt all die anderen Online Händler auch auf dieser Mail sind. Wie gesagt ne Shopping email, aber auch keine Wegwerfadresse für Newsletter und co.

Aber naja, mir ist da jetzt auch nicht viel eingefallen. Danke trotzdem für die vielen Tipps.

Ergänzung (24. Februar 2021)

Wenn es denn ein Wegwerfaccount war. Ansonsten wenn möglich 2FA aktivieren.

Guter Hinweis, sagen wir mal so, für den Email Account jetzt nicht, weil ich das schon auf dem wichtigeren habe, aber ich denke jetzt nicht dass ich deswegen den Account still legen werden. Für die noch mit dieser Mail verknüpften Accounts werde ich mal 2Fa aktivieren und gegebenenfalls ungenutzte Shopaccounts aktiv deaktivieren lassen.

 

[Hayda Ministral]

Änder sicherheitshalber das Passwort des E-Mail Accounts

Begründe mal bitte, inwiefern das ändern des Passworts des E-Mail Accounts in diesem konkreten Fall zur Sicherheit beitragen könnte.

 

[BeBur]

Was du machen solltest:
1. Falls du das zugehörige Passwort oder Varianten davon irgendwo verwendet hast -> Überall ändern.
2. Falls du ein schwaches Passwort (google) verwendet hast für dein E-Mail Account -> Ändern
3. Falls E-Mail Account Passwort und Händler Passwort identisch -> Sofort Ändern, sofort 2 Faktor Authentifizierung aktivieren und bei allen Diensten, welche diese E-Mail Adresse verwendet haben, diese austragen und deine neue eintragen. Und niemals wieder sowas machen, das ist das schlimmste was du tun kannst.

Danach: Frage nach, mit welchem Hash-Verfahren sie ihre Passwörter geshasht hatten und schreibe uns hier die Antwort.

Wenn du für den E-Mail Account ein einzigartiges und starkes Passwort verwendet hast, dann brauchst du da nicht zwingend irgendwas machen jetzt.

 

[tomacco]

@BeBur
Danke. Zum Glück gehöre ich zu den "glücklichen" die als Gast bestellt haben. Also ohne Account anzulegen oder Passwort. Auf Mydealz ist zum besagten Händler auch schon eine Diskussion entbrannt, dort gehen einige davon aus, die Passwörter seien als Klartext gespeichert worden. Nur Spekulation, wenn sich das bewahrheitet, wäre das natürlich ärgerlich.

@Hayda Ministral
Der Gedanke einiger Bekannten die mir dies auch geraten hatten, meinten sie hätten Angst vor einer nun höheren Wahrscheinlichkeit, dass jemand versucht den Email Account zu Brute forcen.

 

[M@rsupil@mi]

Die Angst ist völlig übertrieben. Entweder der Mail-Account ist gut abgesichert, sonst müsste man ja nach jeder Eingabe der Adresse oder Versand einer Mail "Angst" haben oder der Schutz vom Mail-Konto ist schwach (schlechtes, kurzes Passwort, welches ggf. mehrfach auch für andere Dienste verwendet wird, kein 2FA / (schlechte) Zusatzabsicherung, etc.), dann sollte man da sowieso nachbessern.

Einfach nicht jeden Mist in einer Mail anklicken, Anhänge öffnen oder unerwartete Mails für echt halten und panisch reagieren. Das zusammen mit einer guten Absicherung und man ist gar nicht mehr in der großen Masse / Zielgruppe für "Hacks".

 

[Amaoto]

Der Gedanke einiger Bekannten die mir dies auch geraten hatten, meinten sie hätten Angst vor einer nun höheren Wahrscheinlichkeit, dass jemand versucht den Email Account zu Brute forcen.

Das ist zum einen übertrieben, weil es bereits riesige Listen mit gültigen E-Mail-Adressen gibt, zum anderen so gut wie unmöglich. Selbst wenn du einen E-Mail-Anbieter auf dem technischen Stand von vor 20 Jahren hast, der das überhaupt erlaubt und nicht die Anmeldung nach ein paar Fehlversuchen vorübergehend sperrt oder weitere Hürden (Captcha etc.) vorschaltet, wie soll man das brute-forcen? Übers Internet? Wie viele Passwörter schafft man dann pro Sekunde, fünf? Bei einem schwachen Passwort mit sechs alphanumerischen Stellen [a-zA-Z0-9] würde das Ausprobieren aller Kombinationen 62^6/5 Sekunden, also 360 Jahre dauern. Bei den immer noch oft empfohlenen acht Stellen über 1 Mio. Jahre.

 

[Hayda Ministral]

@Hayda Ministral
Der Gedanke einiger Bekannten die mir dies auch geraten hatten, meinten sie hätten Angst vor einer nun höheren Wahrscheinlichkeit, dass jemand versucht den Email Account zu Brute forcen.

Aber die Wahrscheinlichkeit für eine erfolgreiche bf sinkt nicht durch das Wechseln des Passworts.
Auch dass das Passwort vorher ja möglicherweise unsicher war zählt nicht. Passwörter werden nicht sicherer indem man sie sich neu ausdenkt. Wer vorher "Start123" hatte wird dazu neigen auch hinterher "Admin234" in Betracht zu ziehen.

tl;dr: Passwörter überprüfen und bei Bedarf wechseln. Der aktuelle Trigger kann ein geeigneter Motivator sein um sich mal einen Passwortmanager wie (exemplarisch) Keepass zu zu legen, der bei Bedarf auch 20stellige Passwörter erzeugt und verwaltet und um doppelt verwendete Passwörter aufzulösen.