Cybersicherheitspannen kosten Institutionen viel: Banken in Australien und den USA müssen wegen schwacher Authentifizierung und Lücken bei der Ransomware-Vorbereitung über 8,8 Mio. US-Dollar Strafen zahlen. Weltweit gehen Aufsichtsbehörden zudem konsequent gegen Datenbroker und Regierungsstellen vor, die Lizenzen fehlerhaft verwalten oder sensible personenbezogene Daten nicht ausreichend schützen.

7
9
13
3
Mehr
14
5
6

Aufrufe:10.2k Lesezeit:4 Min.

Große australische Bank: Vorgeschlagene 8-Mio-Dollar-Strafe wegen Cybersicherheitsmängeln

Der Bendigo Bank droht vorgeschlagene Geldstrafe von 8 Mio. USD wegen Cybersicherheitsmängeln

Der Bendigo and Adelaide Bank droht ein vorgeschlagener Bußgeldbescheid in Höhe von 8 Millionen US-Dollar, nachdem sie Cybersicherheitsmängel eingeräumt hat, die zu unberechtigten Transaktionen im Wert von knapp 500.000 US-Dollar führten.

Im März 2023 nutzte ein Hacker Schwachstellen im Online-Banking-System der inzwischen aufgelösten Service One Alliance Bank aus. Der Angreifer verschaffte sich Zugriff auf etwa 257 Kundenkonten und führte 286 unbefugte Transaktionen im Wert von rund 490.000 US-Dollar bei 87 Kunden durch.

Die Australian Prudential Regulation Authority (APRA), die australische Prudentielle Aufsichtsbehörde, erklärte, die Bank weise erhebliche Schwachstellen bei den Kontrollen zur Kundenauthentifizierung auf, darunter unsichere Passworteinstellungen, das Teilen identischer Passwörter durch Kunden sowie Systemfunktionen, die es Angreifern ermöglichten, gültige Kunden-IDs zu identifizieren.

Einige der Schwachstellen waren bereits bei Penetrationstests im Jahr 2020 entdeckt worden, wurden jedoch vor dem Angriff nicht behoben. Der Angreifer führte die Aktivität zwischen dem 3. und 7. März 2023 durch. Die Bendigo Bank konnte etwa 140.000 Dollar nicht zurückverfolgen, erstattete jedoch allen betroffenen Kunden die Verluste.

Die APRA hat inzwischen vor dem Federal Court ein Zivilbußgeldverfahren gegen die Bank eingeleitet. Die Bendigo Bank hat eingeräumt, gegen ihre Verpflichtungen im Rahmen des Banking Executive Accountability Regime (BEAR) verstoßen zu haben, einschließlich Versäumnissen in den Bereichen Kundensicherheit, Testing, Unternehmensführung und Risikomanagement. Die vorgeschlagene Strafe wird nun vom Federal Court geprüft.

Kalifornische Datenschutzbehörde verhängt Geldbuße in Höhe von 116.490 Dollar gegen einen Datenbroker

Die kalifornische Datenschutzbehörde hat dem in Iowa ansässigen Datenbroker LocateSmarter eine Geldstrafe in Höhe von 116.490 US-Dollar verhängt, weil es Verbrauchern erschwert wurde, dem Verkauf ihrer personenbezogenen Daten zu widersprechen.

Die Strafe ist die erste Durchsetzungsmaßnahme der Behörde, die Verstöße gegen den California Consumer Privacy Act und den Delete Act des Bundesstaates betrifft. Nach Angaben der California Privacy Protection Agency hat LocateSmarter es versäumt, sich als Datenvermittler zu registrieren, und verlangte von Verbrauchern, die letzten vier Ziffern ihrer Social Security Number anzugeben, um Opt-out-Anträge einzureichen.

Laut der Aufsichtsbehörde sammelte das Unternehmen sensible personenbezogene Daten, darunter Namen, Führerscheindaten, Geburtsdaten, Beschäftigungsunterlagen sowie Informationen zu Insolvenzen und Rechtsstreitigkeiten. Das Verlangen an Verbraucher, unnötige personenbezogene Daten zur Ausübung ihrer Datenschutzrechte bereitzustellen, verstieß gegen die staatlichen Anforderungen zur Datenminimierung.

Im Rahmen des Vergleichs muss sich LocateSmarter als Data Broker registrieren und seine Geschäftspraktiken anpassen, um Verbrauchern die Ausübung ihrer Datenschutzrechte zu erleichtern.

Zudem verhängte die Aufsichtsbehörde gegen einen weiteren Datenbroker, Cybba, Inc., eine Geldstrafe in Höhe von 52.400 US-Dollar, da das Unternehmen die Registrierung im staatlichen Datenbroker-Register bis zur Frist im Jahr 2025 nicht vorgenommen hatte. Cybba verkauft personenbezogene Daten, darunter Standortdaten und Internetaktivität, für zielgerichtete Werbung. Die Behörde verlangt zudem, dass Cybba auf seiner Website Informationen zu den Datenschutzrechten bereitstellt, das DROP-System nutzt und zukünftige Löschungsanträge bearbeitet. Über DROP können Verbraucher mit einem einzigen Antrag alle registrierten Datenbroker auffordern, ihre personenbezogenen Daten zu löschen.

US-Hypothekengeber muss wegen Datensicherheitsmängeln 825.000 Dollar zahlen

Die kalifornische Abteilung für Finanzschutz und Innovation (DFPI) hat verpflichtet die in Utah ansässige Academy Mortgage Corporation, 825.000 US-Dollar zu zahlen, nachdem festgestellt wurde, dass das Unternehmen die personenbezogenen Daten von mehr als 284.443 Personen nicht ordnungsgemäß geschützt hatte.

Das DFPI stellte fest, dass das Unternehmen seit Langem Cybersicherheits- und Dokumentationsprobleme hatte, was es im März 2023 anfällig für einen Ransomware-Angriff machte. Der Vorfall wurde erst entdeckt, nachdem Mitarbeiter-Zugangsdaten gestohlen und Netzwerk-Sicherheitssysteme deaktiviert worden waren.

Die Aufsichtsbehörde stellte außerdem fest, dass Academy Mortgage keinen schriftlichen forensischen Bericht zur Dokumentation des Vorfalls eingeholt hatte, was Informationen über den Vorfall einschränkte. Die betroffenen Kunden wurden im Dezember 2023 über den Datenverstoß informiert.

Die Einvernehmliche Anordnung zwischen dem DFPI und der Academy Mortgage Corporation verpflichtet das Unternehmen zudem, alle betroffenen Kunden in Kalifornien darüber zu informieren, dass sie eine 12-monatige Identitätsdiebstahlversicherung erhalten können. Die Kunden müssen aktiv zustimmen, und das Unternehmen wird Anweisungen dazu sowie einen Ansprechpartner für Fragen bereitstellen. Academy Mortgage muss außerdem kalifornischen Gesetzen entsprechen und angemessene Cybersicherheitssysteme und -verfahren aufrechterhalten.

ORC und Purpleline wegen Cybersicherheitsverstößen mit Geldstrafe in Höhe von 360.000 GH¢ belegt

Die ghanaische Cybersicherheitsbehörde (CSA) hat bestraft das Office of the Registrar of Companies (ORC) und Purpleline Solutions Limited mit einer Geldstrafe in Höhe von insgesamt 360.000 GH¢ (28.235 €) wegen Verstoßes gegen die Cybersicherheitsvorschriften des Landes.

Die ORC wurde mit einer Geldstrafe in Höhe von 240.000 GH¢ (18.823 €) belegt, da sie der Anweisung, für Dienstleistungen im Zusammenhang mit ihrer kritischen Informationsinfrastruktur ausschließlich lizenzierte Cybersicherheitsdienstleister zu beauftragen, nicht nachgekommen war.

Die CSA gab bekannt, dass die ORC Purpleline Solutions beauftragt habe, obwohl das Unternehmen über die erforderliche Cybersicherheitslizenz nicht verfügte. Die ORC wurde für jeden der beiden Verstöße mit 10.000 Strafeinheiten bestraft und hat einen Monat Zeit, die ausstehenden Anordnungen zu erfüllen.

Purpleline Solutions erhielt eine separate Geldstrafe inHeight von 120.000 GH¢ (9.412 €), da es regulierte Cybersicherheitsdienstleistungen ohne Lizenz erbracht hatte. Die Firma hatte am 15. Juli 2026 eine Lizenz beantragt, doch die CSA erklärte, der Antrag sei erst nach der Beauftragung durch die ORC eingereicht worden.

Demo anfordern

ImmuniWeb kann Ihnen helfen, Datenpannen zu verhindern und regulatorische Anforderungen zu erfüllen.

Die britische ICO rügt ACRO wegen einer Sicherheitsverletzung, die personenbezogene Daten freilegte.

Das britische Information Commissioner’s Office (ICO) hat das ACRO Criminal Records Office gerügt, nachdem durch Cybersicherheitsmängel die personenbezogenen Daten von bis zu 10.920 Personen potenziell offengelegt wurden.

ACRO ist eine nationale Polizeieinheit, die für Dienstleistungen wie polizeiliche Bescheinigungen, internationale Kinderschutzbescheinigungen, Auskunftsersuchen und Löschanträge zuständig ist.

Die ICO stellte fest, dass sich ein Hacker zwischen August 2022 und März 2023 unbefugten Zugriff auf die Website und das Content Management System von ACRO verschafft hatte. Es ist unklar, ob Informationen gestohlen wurden, da ACRO nicht über ausreichende Logs verfügte, um zu bestätigen, dass Daten tatsächlich aus seinen Systemen exfiltriert wurden.

Der Datenverstoß hat möglicherweise Namen, Geburtsdaten, Adressen, National Insurance Numbers, Pass- und Führerscheindaten, Bankdaten sowie biometrische Daten offengelegt. Einige Datensätze enthielten zudem sensible Angaben zu Straftaten sowie weitere Informationen besonderer Kategorien. Zu den betroffenen Personen zählten Antragsteller für polizeiliche Führungszeugnisse, internationale Kinderschutzbescheinigungen und Auskunftsersuchen sowie Dritte, die mit diesen Anträgen in Verbindung standen.

Bei einem Vorfall wurden durch einen SQL-Injection-Angriff 15 Benutzernamen und Passwörter offengelegt, von denen die meisten ACRO-Mitarbeitern gehörten. Die ICO gab an, dass der schwerwiegendste Vorfall zwischen dem 5. August 2022 und dem 14. März 2023 stattfand. In diesem Zeitraum behielt der Angreifer Zugriff auf die Website und die CMS-Umgebung von ACRO.

Die ICO stellte fest, dass ACRO Drittunternehmen mit der Erbringung einiger Sicherheitsdienstleistungen, darunter Software-Updates, beauftragte. Die Behörde hatte jedoch die Verantwortung für die Ermittlung und Überprüfung wichtiger Sicherheitsupdates für ihr CMS nicht klar zugewiesen. Zudem verfügte sie über keinen wirksamen Prozess zur Anwendung von Updates und ging Sicherheitswarnungen, die auf einen möglichen Datenschutzverstoß hinwiesen, nicht ordnungsgemäß nach.

Die ICO beschloss, eine Rüge zu erteilen, berücksichtigte jedoch mehrere Faktoren, die den Schweregrad der Situation minderten. Das ACRO-Netzwerk war in verschiedene Bereiche unterteilt, was den Hacker daran hinderte, über die betroffene Website auf die Hauptsysteme zuzugreifen. Die ICO anerkannte zudem die Maßnahmen, die ACRO nach dem Vorfall ergriffen hatte, darunter die Abschaltung der betroffenen Systeme, die Verlagerung von Diensten auf andere Infrastruktur, die Einführung einer besseren Sicherheitsüberwachung, die Verbesserung der Fähigkeit zur Erkennung von Cyberbedrohungen sowie die Stärkung der Trennung zwischen den Netzwerken.