Ashley Madison: Datenleck legte 36 Millionen Nutzerkonten offen

Hacker veröffentlichten 2015 Daten von rund 36 Millionen Ashley-Madison-Konten. Aufsichtsbehörden in Kanada und Australien stellten unzureichende Sicherheit fest, und der Betreiber zahlte in einem US-Vergleich 1,6 Millionen US-Dollar.

Was geschah

Im Juli 2015 gab eine Gruppe, die sich „The Impact Team“ nannte, bekannt, Avid Life Media, das Unternehmen hinter Ashley Madison, gehackt zu haben. Im August 2015 veröffentlichte sie Daten von rund 36 Millionen Nutzerkonten, darunter Profilangaben, E-Mail-Adressen und einige Rechnungsdaten. Eine gemeinsame Untersuchung der Datenschutzbehörden Kanadas und Australiens ergab, dass dem Unternehmen dokumentierte Sicherheitsrichtlinien, ein Risikomanagementprozess und ausreichende Mitarbeiterschulungen fehlten. Es nutzte zudem Fernzugriff mit nur einem Faktor und speicherte Passwörter und Schlüssel im Klartext. Die Behörden kritisierten außerdem, dass Daten unbegrenzt aufbewahrt wurden und Nutzer für das Löschen zahlen mussten. Im Dezember 2016 einigten sich die Betreiber mit der US-Bundeshandelskommission (Federal Trade Commission, FTC) und mehreren Bundesstaaten auf einen Vergleich. Sie stimmten einem Sicherheitsprogramm zu und zahlten 1,6 Millionen US-Dollar.

Was ist dokumentiert

• Office of the Privacy Commissioner of Canada und Australian Information Commissioner: unzureichende Schutzmaßnahmen; Verstöße gegen kanadisches und australisches Datenschutzrecht; eine Compliance-Vereinbarung und eine durchsetzbare Verpflichtungserklärung wurden akzeptiert (August 2016).
• Derselbe Bericht: Betroffene Nutzer erhielten nach dem Leak Erpressungs-E-Mails.
• FTC: Die Betreiber einigten sich bei den Vorwürfen irreführender und unfairer Sicherheitspraktiken, darunter das Behalten von Daten von Nutzern, die 19 US-Dollar für „Full Delete“ bezahlt hatten; insgesamt 1,6 Millionen US-Dollar gezahlt (Dezember 2016).

Was ist nicht festgestellt

• Wer hinter dem Angriff steckte.
• Das volle Ausmaß des Zugriffs der Angreifer, da Protokolle gelöscht wurden.

Was das für Sie bedeutet

1. Registriere dich bei sensiblen Diensten mit einer separaten E-Mail-Adresse, die deinen Namen nicht verrät.
2. Prüfe vor der Anmeldung, wie ein Dienst deine Daten löscht und ob das Löschen Geld kostet.
3. Wenn du nach einem Leak eine Erpressungs-E-Mail erhältst, zahle nicht; melde sie der Polizei.