Home / Aktuelles & Termine / it.sec blog

Laut Presse und offiziellem Sony Blog wurden rund 77 Millionen Datensätze mit personenbezogenen Daten wie Name, Adresse, Geburtstag, Passworte(!), Sicherheitsantworten zum Passwort etc. kompromittiert, welche man im Rahmen der Anmeldung am PSN erhoben hat. Man fragt sich zunächst natürlich, ob wirklich alle Daten zum Mitspielen nötig waren.

Unabhängig davon bestätigt Sony, dass auf Kreditkartendaten zugegriffen werden konnte. Nach geraumer Zeit hat man aber nachgelegt und klar gestellt, dass diese verschlüsselt gewesen wären. Man darf sich allerdings schon fragen, ob man dieser Aussage glauben schenken darf. Immerhin schreibt der PCI-DSS Standard der Kreditkartenhersteller eine Verschlüsselung von Kreditkartennummern vor - und man wird irgendwie den Eindruck nicht los, dass man bei Sony durch eine Veränderung seiner Aussage dort im Nachhinein nichts anbrennen lassen will.

Der Eindruck wird dadurch verstärkt, dass zunächst auch behauptet wurde, die sogenannten CVCs (die dreistelligen Sicherheitscodes auf der Rückseite von Kreditkarten) seien nicht betroffen, da sie andernorts gespeichert wären. Mittlerweile hat man aber wohl erkannt, dass die CVC Nummern laut PCI-DSS in keinem Falle überhaupt gespeichert werden dürfen und beeilt sich nun zu behaupten, dass dies selbstverständlich der Fall sei.

All das sieht dann doch eher nach einer Schutzbehauptung aus haftungsrechtlicher Sicht aus, als nach glaubhaften Tatsachen, zumal offenbar mittlerweile lt. N-TV 2.2 Mio Datensätze aus dem Bestand inkl. Kreditkartennummern zum Kauf angeboten werden.

Immerhin ist davon auszugehen, dass das PCI Council einen unabhängigen Forensiker hinschicken wird und man wird sehen ...

Was tun?

Nachfolgend kurz die wichtigsten Tipps für Betroffene:

  • viele Menschen benutzen dieselben Accounts mit denselben Passworten auf verschiedenen Plattformen (ebay, Amazon, ...). Daher tut jeder Betroffene gut daran seine Passworte auf allen Plattformen zu ändern (und idealerweise überall andere zu nutzen)
  • Kreditkartenkonto und Bankkonto checken und unerklärbare Buchungen dem Kreditkartenunternehmen oder der ausgebenden Bank melden!
    Sollte bekannt werden, dass wirklich Kartennummern kompromittiert sind, werden die Kartenunternehmen normalerweise neue Kreditkarten mit neuen Nummern ausgeben und die alten Karten invalidieren!
  • Es ist damit zu rechnen, dass in nächster Zeit Spam oder Phishing Mails an die eMail Adressen von Betroffenen gesendet werden. Diese werden u.U. sehr vertrauenserweckend sein, kennt man ja die Nationalität, das Alter, Kreditkartenunternehmen etc.
    Es ist daher unbedingt darauf zu achten auf Anfragen hin keine persönlichen Angaben oder Passwörter preis zu geben. Sony wird derlei nicht erfragen.

Vorbeugen

  • Bei der Registrierung auf irgendwelchen Plattformen sollten man (im Rahmen des rechtlich vertretbaren) nur die wirklich wichtigen und nötigen Daten angeben, die der Anbieter tatsächlich benötigt. Ist es nicht möglich Felder leer zu lassen, kann man sich ja sicher schon mal vertippen.
  • Werden eMail Adressen gefordert, die für den eigentlichen Ablauf nicht nötig sind, kann es auch sinnvoll sein sich eine Spam-Adresse bei einem kostenfreien Provider zu sichern, die nur dazu dient unerwünschte Mails zu empfangen.
  • Lesen Sie die AGB und die Datenschutzbestimmungen! Stimmen Sie nicht zu, wenn Ihnen nicht gefällt was Sie lesen, oder wenn Sie die eigentlichen Text auch nach fünf klicks auf weitere Links noch nicht gefunden haben!
  • Wählen Sie Optionen ab, wie "ich will weitere Informationen erhalten", oder "ich bin einverstanden, dass meine Daten an Dritte weitergegeben werden, die mir wahnsinnig interessante Angebote machen werden".

50 Millionen Abbinder Abmahnung Abmahnungen Abo-Falle ADCERT Airbnb Angemessenheitsbeschluss Angriff Anklage Anwendbarkeit Anwendung Arbeitgeber Arbeitnehmer Arbeitsrecht Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Auchfsichtsbehörde Audit Aufsichtsbehörde Auftragsverarbeiter Auftragsverarbeitung Auskunftei Auskunftsansprüche Auskunftsrecht Ausspähen Austritt Authentizität Automatisierte Einzelentscheidung Autsch Backup Baden-Württemberg BAG BayDSG Bayerisches Datenschutzgesetz BDSG-Neu BEAST Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Berufsgeheimnis Beschäftigtendatenschutz Beschäftigtenumfragen besondere Kategorien personenbezogener Daten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsvereinbarung betroffene Personen Betroffenenrechte Bewerberdaten BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom Bonität Bonitätsprüfung Brexit Browser BSI Bund Bundesarbeitsgericht Bundesnetzagentur Bußgeld Bußgelder BVG Cambridge Analytics Citizen-Score Cloud CNIL Compliance Cookie Custom Audience Cyber Dashcam Daten Daten-für-alle-Gesetz Datenaustausch Datenerhebung Datenlöschung Datenminimierung Datenmonopol Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutz-Folgenabschätzung Datenschutz-Schulungen Datenschutzabkommen Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung datenschutzkonform Datenschutzprinzipien Datenschutzverletzung Datenschutzverstöße Datensicherheit Datentransfer Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Dating Dating-Portale Deutsche Bahn Diebstahl Dienstleister Diesel-Fahrverbot Dieselfahrverbot Dieselskandal Direktwerbung Do not track-Funktion Donald Trump Dritter Drittstaat Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSG DSGVO DSK dynamische IP-Adresse E-Mail e-Privacy-Verordnung E-Rechnung eCall-Technologie EES EFAIL Eigentum Einwilligung Einwilligungserklärung Einwilligungserklärungen Empfänger Entsorgung Erhebung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU EU-Datenschutz-Grundverordnung EU-Parlament EU-Vertreter EuGH Europa Europäische Aufsichtsbehörde Europäische Union Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber FBI Feedback Fernmeldegeheimnis Firmensitz FlugDaG Fluggastdaten Folgenabschätzung Foto freiwillig Funkmäuse Funktastaturen Geheimhaltung Geldbörse Geldstrafe Gemeinsam Verantwortliche Gericht Gesetz gegen den Unlauteren Wettbewerb gestohlen Gesundheitsdaten Gewährleistung Google Google Analytics grenzüberschreitend Groß-Britannien hacken Hacker Hackerangriff Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Hinweisgeber Höchstvermietungsdauer Home Office Immobilienmakler Informationspflicht Informationspflichten Informationssicherheit Infrastruktur Inhalteanbieter Insights Integrität interner Datenschutzbeauftragter Investition IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Security IT-Sicherheit IT-Systeme ITSECX Japan Jin-hyok Joint Control Kanada Kennzeichen-Scan Keynote Klagebefugnis Klingelschilder kollektive Daten Kommune Konferenz Kontaktdaten Kontakte Konzern konzerninterner Datentransfer KoSIT Kriminalität KUG Kundenbindung Kundenzufriedenheit Kunsturhebergesetz Laptop Lazarus Leistungs- und Verhaltenskontrolle LfDI Baden-Württemberg Löschung personenbezogener Daten Löschungsrecht Lösegeld Makler Malware Markennamen Markenrecht Marktortprinzip MD5 Meldepflicht Meldescheine Meldesystem Meldung Meltdown Messenger Microsoft Mieter Mietverhältnis Misch-Account Mitarbeiter Mitbewerber MouseJack-Angriffe Netzwerklabor NIST No-Deal-Brexit Nordkorea Notebook Nutzungsbedingungen Öffnungsklauseln One Stop Shop One-Stop-Shop OpenPGP Österreich Papierrechnung Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortfilters Passwortregeln Passwortschutz Patientendaten Penetrationstest Personalausweiskopien Personalverantwortliche personenbezogene Daten Personenbilder Persönlichkeitsrechte Pflichten Pharmalobbyist Plattformbetreiber PNR-Daten PNR-Instrumente POODLE Praxistipps Privacy by Default Privacy by Design Privacy Shield privat private Handynummer private Mobilfunknummer Privatnutzung Privatnutzungsverbot Privatsphäre Profiling Quantencomputer Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person Referenten Regelungsaufträge Reichweitenanalyse Risiko Risikomanagement Risk & Compliance Management Rufschädigung S/MIME SamSam Sanktionen Schaden Schadprogramm schutzwürdige Interessen Schwachstellen Schweiz Seitenbetreiber SHA1 sicher Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Signatur Skype Smartphone Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke SPD Spectre Speicherdauer Sponsoren Standardvertragsklauseln Steuerberater Strafe Strafverfolgung Studenten Supercomputer Risikolage Support Systemadministrator Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telefonnummer Telefonwerbung Telemediendienst Telemediengesetz Telstra Security Report TKG TLS TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unerlaubt unpersonalisierter Benutzer-Account Unternehmensgruppe unzulässig US-Regierung USA UWG Verantwortlicher Verantwortung Vereinbarung Vereinigtes Königreich Großbritannien und Nordirland verloren Verlust Vermieter Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselung Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Vertragsanbahnung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Virus Vorteile WannaCry Webseite Webseiten Webtracking Webtrecking weisungsunabhängig Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblower Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wohnung X-Rechnung Zertifikat Zertifizierung Zugangsdaten Zugriff zulässig Zulässigkeit zuständig § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
    1 2 3 4 5
6 7 8 9 10 11 12
13 14 15 16 17 18 19
20 21 22 23 24 25 26
27 28 29 30 31