Cloud-Backup ohne Verschlüsselung: Tausende Kundendaten offen im Netz

Das Szenario

Stefan Keller ist IT-Administrator bei der Versicherungsmaklerei ProSecure GmbH. Das Unternehmen betreut 3.200 Kunden, von Privatpersonen bis hin zu mittelständischen Betrieben. In der Datenbank liegen Versicherungsverträge, Schadensberichte, Gesundheitsfragebögen, Einkommensnachweise und Bankverbindungen — ein Datenschatz, der in den falschen Händen verheerende Wirkung entfalten kann.

Stefan hat vor acht Monaten ein automatisches Backup-System eingerichtet. Jeden Abend um 23:00 Uhr werden alle Datenbanken und Dokumente in einen Cloud-Speicher bei einem großen Anbieter gesichert. Das System läuft zuverlässig, die Backups sind vollständig, und Stefan hat es im Tagesgeschäft fast vergessen.

Was Stefan bei der Einrichtung übersehen hat: Der Cloud-Storage-Bucket wurde mit den Standardeinstellungen erstellt. Und die Standardeinstellung war "öffentlich lesbar". Acht Monate lang — 243 Nächte — wurden vollständige Datenbank-Dumps mit sämtlichen Kundendaten in einen öffentlich zugänglichen Speicherbereich hochgeladen. Kein Passwort. Keine Verschlüsselung. Keine Zugriffsbeschränkung.

Entdeckt wird das Problem nicht intern, sondern durch einen IT-Sicherheitsforscher, der systematisch nach offenen Cloud-Buckets sucht. Er meldet seine Entdeckung an die ProSecure GmbH und gibt dem Unternehmen 48 Stunden, bevor er den Vorfall veröffentlicht. In einem öffentlich zugänglichen Backup-Archiv findet sich: Die vollständige Kundendatenbank mit 3.200 Datensätzen, 847 Gesundheitsfragebögen mit Angaben zu Vorerkrankungen, über 12.000 eingescannte Dokumente — Personalausweise, Gehaltsabrechnungen, Steuerbescheide — sowie die komplette E-Mail-Korrespondenz der letzten zwei Jahre.

Stefan Kellers Hände zittern, als er das Ausmaß realisiert. Die nächsten Wochen werden zur größten Krise in der Geschichte des Unternehmens.

Die Risiken

Massiver Datenverlust an die Öffentlichkeit: Offene Cloud-Buckets werden systematisch von Angreifern, Sicherheitsforschern und automatisierten Scannern durchsucht. Sobald ein offener Bucket entdeckt wird, verbreiten sich die Daten unkontrollierbar. Es ist unmöglich festzustellen, wer in den acht Monaten bereits auf die Daten zugegriffen hat.

Gesundheitsdaten als besondere Kategorie: Die Gesundheitsfragebögen der Versicherungskunden fallen unter Art. 9 DSGVO — besondere Kategorien personenbezogener Daten. Für diese gelten verschärfte Schutzanforderungen. Eine Offenlegung von Gesundheitsdaten kann für Betroffene existenzielle Folgen haben: Diskriminierung bei Kreditanträgen, Probleme beim Abschluss neuer Versicherungen oder soziale Stigmatisierung.

Identitätsdiebstahl im großen Stil: Mit Personalausweiskopien, Bankverbindungen und Einkommensnachweisen haben Kriminelle alles, was sie für systematischen Identitätsbetrug benötigen. Bei 3.200 betroffenen Kunden ist das Potenzial für Massenbetrug enorm.

Langfristige Exposition: Das Backup wurde acht Monate lang ungeschützt aktualisiert. Selbst wenn der aktuelle Bucket sofort geschlossen wird, können ältere Kopien der Daten bereits von Dritten heruntergeladen und archiviert worden sein. Die Daten sind nicht mehr rückholbar.

Geschäftskritischer Vertrauensverlust: Eine Versicherungsmaklerei lebt vom Vertrauen ihrer Kunden. Wenn bekannt wird, dass sämtliche Kundendaten monatelang offen im Internet standen, ist das Geschäftsmodell existenziell bedroht.

Rechtliche Konsequenzen

Ein offenes Cloud-Backup mit personenbezogenen Daten stellt einen schwerwiegenden Verstoß gegen die DSGVO dar, der weitreichende rechtliche Folgen nach sich zieht.

Art. 32 DSGVO — Sicherheit der Verarbeitung: Die Speicherung personenbezogener Daten in einem öffentlich zugänglichen Cloud-Bucket ohne Verschlüsselung oder Zugriffsbeschränkung stellt einen eklatanten Verstoß gegen die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen dar.

Art. 9 DSGVO — Verarbeitung besonderer Kategorien: Die ungeschützte Speicherung von Gesundheitsdaten verschärft den Verstoß erheblich. Für Gesundheitsdaten gelten die höchsten Schutzanforderungen der DSGVO. Ein öffentlich zugängliches Backup ist das Gegenteil davon.

Art. 33 und 34 DSGVO — Meldepflicht: Das Unternehmen muss den Vorfall innerhalb von 72 Stunden der Aufsichtsbehörde melden und alle 3.200 betroffenen Kunden individuell benachrichtigen. Der logistische Aufwand allein ist erheblich.

Art. 83 Abs. 5 DSGVO — Bußgeldrahmen: Bei Verstößen gegen die Grundsätze der Verarbeitung und die Sicherheitsanforderungen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Aufsichtsbehörden haben in vergleichbaren Fällen offener Cloud-Speicher Bußgelder zwischen 50.000 und 460.000 Euro verhängt.

Zivilrechtliche Massenklagen: Bei 3.200 Betroffenen ist das Risiko einer koordinierten Schadensersatzklage hoch. Gerichte sprechen zunehmend immateriellen Schadensersatz nach Art. 82 DSGVO zu — bei Gesundheitsdaten in der Regel am oberen Ende der Skala.

So hätten Sie es verhindern können

Ein offenes Cloud-Backup ist ein vermeidbarer Fehler. Die richtigen Werkzeuge und Prozesse eliminieren dieses Risiko vollständig.

1. Verschlüsselung als Standard: Sensible Daten dürfen niemals unverschlüsselt in der Cloud gespeichert werden. SendMeSafe verschlüsselt alle Dateien mit AES-256 sowohl bei der Übertragung als auch bei der Speicherung. Ein offener Bucket wäre wertlos, weil die Daten ohne Schlüssel nicht lesbar sind.

2. Sichere Dokumentenübermittlung statt lokaler Speicherung: Anstatt Kundendokumente in eigenen Systemen zu sammeln und dann in Backups zu sichern, können Kunden ihre Unterlagen direkt über sichere Upload-Links in ein geschütztes System hochladen. Die Dokumente befinden sich von Anfang an in einer sicheren Umgebung.

3. Europäische Serverstandorte: SendMeSafe speichert alle Daten auf Servern in Europa. Im Gegensatz zu globalen Cloud-Anbietern, bei denen die Konfiguration dutzender Regionen und Buckets überwacht werden muss, bietet ein spezialisierter Anbieter einen übersichtlichen und kontrollierbaren Datenstandort.

4. Zugriffskontrolle und Audit-Trail: Jeder Zugriff auf Dokumente wird protokolliert. Verdächtige Zugriffsmuster werden erkannt. Im Gegensatz zu einem stillen Backup-Leak wissen Sie jederzeit, wer auf welche Daten zugreift.

5. Regelmäßige Sicherheitsüberprüfung: Eine dedizierte Plattform für den sicheren Datenaustausch reduziert die Angriffsfläche im Vergleich zu selbst konfigurierten Cloud-Buckets drastisch. Weniger Eigenverantwortung bedeutet weniger Fehlkonfigurationen.

Fazit

Offene Cloud-Buckets gehören zu den häufigsten und zugleich vermeidbarsten Ursachen für massive Datenlecks. Ein einzelner Konfigurationsfehler bei der Einrichtung kann monatelang unentdeckt bleiben und Tausende von Kunden betreffen. Die Folgen reichen von existenzbedrohenden Bußgeldern bis hin zu massivem Vertrauensverlust.

Die Antwort liegt nicht darin, IT-Administratoren besser zu schulen — obwohl das wichtig ist — sondern Systeme einzusetzen, bei denen Verschlüsselung und Zugriffskontrolle keine Konfigurationsoption sind, sondern der Standard. SendMeSafe bietet genau das: Verschlüsselte Datenspeicherung auf europäischen Servern, sichere Übermittlungswege und lückenlose Zugriffsprotokolle. Jetzt registrieren und sensible Daten ab sofort sicher verwalten.

Häufig gestellte Fragen

Wie finde ich heraus, ob meine Cloud-Backups öffentlich zugänglich sind?

Die meisten Cloud-Anbieter bieten Tools zur Überprüfung der Bucket-Berechtigungen. Suchen Sie nach Einstellungen wie "Public Access", "ACL" oder "Bucket Policy" und stellen Sie sicher, dass kein öffentlicher Lesezugriff konfiguriert ist. Zusätzlich gibt es externe Sicherheitsscanner, die Ihre Cloud-Konfiguration automatisiert überprüfen. Noch sicherer ist es, sensible Daten gar nicht erst in selbstverwalteten Cloud-Buckets zu speichern, sondern eine spezialisierte Plattform wie SendMeSafe zu nutzen.

Reicht eine Verschlüsselung der Backups aus, um DSGVO-konform zu sein?

Verschlüsselung ist ein wichtiger Baustein, aber allein nicht ausreichend. Die DSGVO fordert ein Gesamtkonzept aus technischen und organisatorischen Maßnahmen, das unter anderem Zugriffskontrolle, regelmäßige Überprüfungen, Dokumentation und Incident-Response-Pläne umfasst. Verschlüsselung reduziert jedoch das Risiko bei einem Datenleck erheblich und kann im Bußgeldverfahren mildernd berücksichtigt werden.

Wer haftet, wenn ein externer Cloud-Anbieter falsch konfiguriert wurde?

Grundsätzlich haftet das Unternehmen, das die personenbezogenen Daten verarbeitet — also der Auftraggeber, nicht der Cloud-Anbieter. Als Verantwortlicher nach Art. 4 Nr. 7 DSGVO tragen Sie die Pflicht, die Sicherheit Ihrer Datenverarbeitung zu gewährleisten, auch wenn Sie externe Dienstleister nutzen. Ein Auftragsverarbeitungsvertrag regelt zwar die Verantwortlichkeiten, entbindet Sie aber nicht von Ihrer Sorgfaltspflicht.

Wie lange kann ein offenes Cloud-Backup unentdeckt bleiben?

Erschreckend lange. Studien zeigen, dass Fehlkonfigurationen in Cloud-Umgebungen im Durchschnitt erst nach 120 bis 200 Tagen entdeckt werden. In diesem Zeitraum können Daten von unzähligen Dritten heruntergeladen worden sein, ohne dass das Unternehmen davon erfährt. Automatisierte Monitoring-Tools und regelmäßige Sicherheitsaudits sind daher unverzichtbar.