Datenleck in Lettland erleichtert Betrug

Wer in Lettland seit 2008 ein Auto angemeldet hat, muss nun mit gezielten Betrugsversuchen rechnen. Angreifer sind in Systeme der lettischen Straßenverkehrsbehörde CSDD eingedrungen und haben Zahlungsbelege zu rund 1,2 Millionen Personen sowie etwa 150.000 bis 200.000 Unternehmen erbeutet (LSM, BNN). In einem Land mit weniger als zwei Millionen Einwohnern betrifft das einen großen Teil der erwachsenen Bevölkerung. Bankkonten wurden nach den bisherigen Angaben nicht leergeräumt. Der eigentliche Schaden liegt woanders: Kriminelle besitzen nun Daten, mit denen sich Betrug sehr glaubwürdig inszenieren lässt. Weil die Datensätze fast zwei Jahrzehnte zurückreichen, wird dieses Risiko auch nicht schnell verschwinden.

Was Betrüger nun wissen

Die abgeflossenen Daten ergeben kein vollständiges Finanzprofil, aber ein erstaunlich brauchbares persönliches Dossier. Dazu gehören Namen, nationale Identitätsnummern, Kfz-Kennzeichen, Zahlungsbeträge, Zahlungsdaten und die damals hinterlegte Wohnadresse, wenn ein Dienst der Behörde genutzt wurde (tezinas.lv, inbox.lv). Telefonnummern, E-Mail-Adressen, Bankdaten und Zugangsdaten seien nicht erbeutet worden (NRA). Das klingt zunächst beruhigend. Am Telefon genügt es aber oft, wenn jemand die richtige Identitätsnummer nennt, das Kennzeichen kennt, eine frühere Gebühr exakt beziffert und die damalige Adresse vorliest. Viele Betroffene würden ein solches Gespräch wohl nicht sofort abbrechen.

Die lettische Identitätsnummer allein öffnet digitale Identitätsdienste wie Smart-ID oder Mobile-ID nicht. Sie kann aber helfen, einen Anmeldevorgang anzustoßen, der auf dem Mobiltelefon des Opfers eine Bestätigung auslöst. Ruft der Betrüger in diesem Moment an und gibt sich als CSDD oder Bank aus, steigt der Druck, die Anfrage freizugeben (NRA). Bereits wenige Tage nach Bekanntwerden des Vorfalls verschickten Betrüger gefälschte E-Mails und SMS im Namen der CSDD (Delfi, tezinas.lv). Dass auch Personen betroffen sind, die 2008 ein Auto registrierten und Lettland inzwischen verlassen haben, verlängert das Missbrauchsrisiko zusätzlich (LSM).

Grundlegende Sicherungen fehlten

Der Angriff begann am Wochenende des 7. und 8. August. Die nationale lettische Cyberabwehrstelle CERT.LV wurde erst am Montagabend, dem 10. August, informiert (NRA). Öffentlich sprach die CSDD am 13. August von einem Angriff auf ihre Website. Das volle Ausmaß wurde erst am 18. August bekannt (eng.lsm.lv, LSM).

Nach lettischen Medienberichten lagen die Schwächen nicht in besonders raffinierten Angriffstechniken. Die CSDD habe mehrere Vorgaben für Systeme der höchsten Schutzklasse nicht erfüllt, also für Systeme, in denen so viele personenbezogene Daten liegen, dass ein Vorfall einen großen Teil der Bevölkerung treffen kann. Es fehlten demnach Mehr-Faktor-Authentifizierung, bei der neben dem Passwort eine zweite Bestätigung nötig ist, und Penetrationstests, also kontrollierte Einbruchsversuche zur Prüfung der eigenen Systeme (BauskasDzīve/LETA, Delfi).

CERT.LV hatte der Behörde nach Angaben lettischer Medien bereits von Januar bis April angeboten, Sensoren zur Netzwerküberwachung zu installieren, im Grunde Rauchmelder für verdächtigen Datenverkehr. Eingeführt wurde das System erst nach dem Datenabfluss (LA.lv).

Die politische Reaktion kam schnell. Präsident Edgars Rinkēvičs erklärte, die CSDD-Führung könne nicht im Amt bleiben, und forderte die Staatsanwaltschaft auf, den Fall zu prüfen. Sowohl Vorstand als auch Aufsichtsrat der Behörde traten zurück (Delfi, Kauno diena). Die Panne traf zudem auf eine ohnehin angespannte Debatte: Ein separater IT-Ausfall hatte Anfang des Monats bereits zur Schließung des lettischen Grenzübergangs Pāternieki nach Belarus geführt. Die Widerstandsfähigkeit staatlicher IT war also schon vor dem CSDD-Fall ein politisches Thema.

Kein Einzelfall, sondern ein Muster

Lettland steht damit nicht allein. In Litauen machten Behörden in diesem Jahr bekannt, dass nach Einschätzung der Staatsanwaltschaft mehr als 600.000 Datensätze aus dem nationalen Immobilien- und Unternehmensregister illegal kopiert wurden. Die unbefugten Zugriffe liefen demnach über angeschlossene Systeme anderer Institutionen (LRT). Der Angriffsweg war ein anderer, das Ergebnis aber vertraut: Verwaltungsdaten wurden gestohlen, die öffentliche Aufklärung kam verzögert, und Bürger wurden vor Betrügern gewarnt, die sich als staatliche Stellen ausgeben könnten (LRT).

Nach der europäischen NIS2-Richtlinie, dem aktualisierten Cybersicherheitsrahmen der EU, gelten sowohl Verkehrssysteme als auch öffentliche Register als kritische Infrastruktur. Die Richtlinie verlangt schnelle Meldungen von Sicherheitsvorfällen und gibt Aufsichtsbehörden Durchsetzungsbefugnisse (ENISA, The Record). Wenn allerdings nicht ein privates Unternehmen, sondern eine staatliche Behörde versagt, läuft Verantwortung häufig weniger über Bußgelder als über Prüfberichte, Rücktritte und politischen Druck.

Der CSDD-Vorfall war nach allem, was bislang bekannt ist, keine hochkomplexe Operation eines staatlichen Angreifers. Er traf ein aus dem Internet erreichbares System, in dem grundlegende Kontrollen fehlten. Europas digitale Verwaltung beruht auf vernetzten Registern, in denen oft jahrzehntelange Verwaltungsdaten liegen. Wenn Staaten von Bürgern verlangen, solchen Systemen immer mehr Informationen anzuvertrauen, hängt Vertrauen eben weniger an neuen digitalen Diensten als an nüchternen Schutzmaßnahmen: starken Passwörtern, Mehr-Faktor-Authentifizierung, Zugriffsprotokollen und Sensoren, die anschlagen, bevor ein Angreifer fertig ist.