Schon wieder sind persönliche Kundendaten im Netz gelandet – diesmal traf es den Discounter-Riesen Lidl. Doch während die Medien vor allem über IT-Sicherheitslücken diskutieren, wird das eigentliche Problem gerne verschwiegen: die ausufernde Datensammelwut der Großkonzerne. Warum muss ein Supermarkt unsere Telefonnummer und unser Geburtsdatum horten? Die wahre Gefahr ist nicht der Hacker, sondern das Geschäftsmodell des „gläsernen Kunden“.
Kein IT-System ist wirklich sicher. Wenn selbst das Pentagon (welches täglich millionenfach von Hackern angegriffen wird) Opfer solcher Attacken werden kann und dort sensible Daten abgegriffen werden – wie schwer wird es für versierte „Blackhats“ dann wohl sein, digitale Kundendatenbanken von Supermarktketten auszulesen? Denn auch wenn sich darum IT-Dienstleister kümmern, für die eigentlich genügend Spezialisten arbeiten, gibt es in solchen Datenbank-Systemen genügend Schwachstellen und Lücken.
Der Discounter musste den Kunden in diesen Tagen per E-Mail mitteilen, dass Unbefugte eine Datei mit sensiblen Informationen kopiert und abgezogen haben. Neben der Anrede, dem Vor- und Nachnamen fielen den Angreifern auch das Geburtsdatum, die Telefonnummer, die E-Mail-Adresse sowie die Kundennummer der Betroffenen in die Hände. Zwar beeilt sich die Pressestelle zu versichern, dass Passwörter und Bankdaten sicher seien und man die zuständigen Behörden informiert habe, doch für die Kunden ist das ein schwacher Trost. Mit diesen gestohlenen Basisinformationen lassen sich nämlich bereits Phishing-Angriffe und Identitätsdiebstähle begehen.
Ein Aspekt offenbart dabei die Fahrlässigkeit im Umgang mit unseren Informationen: Warum lagen diese persönliche Kundenprofile überhaupt in einer Form vor, die für Angreifer nach dem Abfluss problemlos lesbar war? Wer Daten im großen Stil hortet, steht in der absoluten Pflicht, diese nach dem neuesten Stand der Technik zu verschlüsseln. Wenn ein solcher Datendiebstahl zu einem echten Risiko für die Betroffenen wird, zeugt das davon, dass die Daten im Klartext oder völlig unzureichend gesichert auf den Servern herumlagen. Starke Verschlüsselungsverfahren hätten die Datei für die Hacker weitestgehend wertlos gemacht – doch dieser Aufwand war dem Dienstleister offenbar zu groß.
Dieser Vorfall zwingt uns, eine viel grundsätzlichere Frage zu stellen: Warum sammeln diese Konzerne überhaupt derart intime Datenprofile? Früher ging man in den Laden, bezahlte bar und ging anonym wieder nach Hause. Heute wird der Kunde durch Rabatt-Apps wie „Lidl Plus“, Kundenkarten und Online-Zwang regelrecht dazu gedrängt, seine digitale Privatsphäre aufzugeben. Für ein paar Cent Rabatt auf den Joghurt liefert der Bürger seinen Namen, den Wohnort, das Geburtsdatum und im schlimmsten Fall seine komplette Einkaufshistorie ab. Bezahlt man dann auch noch mit Karte, gibt es einen weiteren entsprechenden Datenpunkt im System.
Daten sind das neue Gold der Konzerne. Es geht längst nicht mehr nur um den Verkauf von Lebensmitteln und Konsumgütern, sondern um Verhaltensanalyse, die Erstellung von Persönlichkeitsprofilen und die totale Berechenbarkeit des Konsumenten. Das Ergebnis dieser Gier nach Daten ist die Entstehung gigantischer Honigtöpfe, die für Cyberkriminelle einfach unwiderstehlich sind. Wo Millionen von Datensätzen zentral gespeichert und teilweise auch noch unverschlüsselt an externe Dienstleister ausgelagert werden, ist der nächste Hack immer nur eine Frage der Zeit.
Dass es ausgerechnet Lidl trifft, entbehrt nicht einer gewissen Ironie. Der Discounter gehört zur mächtigen Schwarz-Gruppe, die mit eigenen Tochterunternehmen wie Schwarz Digits oder XM Cyber als ernstzunehmender IT- und Cloud-Anbieter auftritt und sich höchster Sicherheitsstandards sowie digitaler Souveränität rühmt. Dieser Vorfall beweist jedoch, dass nicht einmal IT-Giganten eine absolute Datensicherheit garantieren können. Jede digitale Schnittstelle und jeder eingebundene Drittanbieter ist ein potenzielles Einfallstor. Die einzige wirkliche Sicherheit im digitalen Raum lautet: Daten, die gar nicht erst erhoben werden, können auch nicht gestohlen werden.
Der Lidl-Hack ist kein bedauerlicher Einzelfall, er ist das warnende Symptom eines grundlegend kranken Systems. Wir leben in einer Zeit, in der uns Staat und Wirtschaft immer stärker in die digitale Totalerfassung drängen wollen – sei es durch Kunden-Apps, digitale Konten oder die von der EU massiv vorangetriebene Digitale ID. Unternehmen sollten nur noch jene Informationen erheben, die für einen Kaufabschluss zwingend notwendig sind. Ein Geburtsdatum hat in der unverschlüsselten Datenbank eines Lebensmittelhändlers einfach nichts zu suchen.
