Identitätsdieb­stahl: Das Unternehmen sowie Kundinnen und Kunden schützen

Welche Maßnahmen Nutzer*innen selbst treffen können, um sich zu schützen, haben wir bereits in diesem Artikel thematisiert: Identitätsdiebstahl: So können Sie sich schützen.

Immer wieder gelangen Fälle von Identitätsdiebstahl eines besonders großen Ausmaßes in die Presse: Im Jahr 2022 unter anderem die Cyberattacke auf die Autovermietungsfirma Sixt und der Angriff auf das Tochterunternehmen des Darmstädter Energieversorgers ENTEGA, bei dem Kundendaten gestohlen und im Darknet veröffentlicht wurden. Im Jahr 2020 war auch die Fluggesellschaft EasyJet von einer Cyberattacke betroffen, hier wurden insgesamt neun Millionen Kundendaten gestohlen. Sobald Kriminelle im Besitz der Daten ihrer Opfer sind, können sie mit diesen großen Schaden anrichten. Neben den Vorkehrungen, die Nutzende selbst treffen können, können auch Unternehmen Maßnahmen ergreifen, um ihre Kundinnen und Kunden vor Identitätsdiebstahl zu schützen.

Schutz vor Identitätsdiebstahl für Kundinnen und Kunden

Bei einem Identitätsdiebstahl gibt es in der Regel immer zwei Geschädigte: Das betroffene Unternehmen sowie alle mit dem Unternehmen im Zusammenhang stehende Personen und Firmen wie Kundinnen und Kunden und Geschäftspartnerinnen und Geschäftspartner. Der Schutz von deren Daten kann nur durch umfassende Maßnahmen sichergestellt werden, zu denen auch der Einsatz wirksamer Verschlüsselungsmechanismen auf Basis eines umfassenden Kryptographie-Konzepts¹ zählt.

Social Engineering² als Gefahr

Darunter fällt unter anderem das Einbeziehen von Mitarbeiterinnen und Mitarbeitern in die Schutzmaßnahmen. Sie sollten sensibilisiert werden – sowohl präventiv als auch für den Fall, dass sie Hinweise auf einen Identitätsdiebstahl erhalten. Social Engineering-Attacken sind in den letzten Jahren vielfältiger geworden und schwieriger zu durchschauen. Die von diesen Angriffen ausgehende Gefahr ist groß, denn sobald Kriminelle an die Zugangsdaten und damit auch die Zugriffsrechte von Mitarbeitenden gelangen, kann das System nicht mehr wissen, dass hier kein Mitarbeitender die Handlungen tätigt – damit sind alle technischen Sicherheitsvorkehrungen ausgehebelt. Unabhängig von Unternehmensgröße und -branche sollten Unternehmen ihre Mitarbeiterinnen und Mitarbeiter schulen.

Pseudonymisierung und Anonymisierung als Schutzmechanismen

Auch die Einrichtung und die stringente Umsetzung von Sicherheitssystemen für die digitale Infrastruktur des Unternehmens und die sichere Vernichtung (sowohl digital als auch physisch) von personenbezogenen Daten sind wichtige Bestandteile. Daten, die nicht mehr benötigt werden, aber im Falle eines Cyberangriffs in den falschen Händen Schaden anrichten könnten, sollten nicht unnötig aufbewahrt werden. Neben der sicheren Vernichtung von Daten sind auch deren Pseudonymisierung und Anonymisierung sowie die damit einhergehende Datenminimierung bzw. Datensparsamkeit wirkungsvolle Schutzmechanismen. Eine weitere Schutzmaßnahme in diesem Bereich umfasst auch den eingeschränkten Zugriff von Mitarbeitenden auf “nur” diejenigen Daten aus einem Datensatz, die sie für ihre konkrete Tätigkeit benötigen. Soll ein Mitarbeitender eines bundesweit agierenden Unternehmens bspw. Umsätze verschiedener Kundinnen und Kunden nach Bundesland errechnen, benötigt er dafür keinen Zugriff auf die gesamten personenbezogenen Daten, sondern nur auf den Umsatz und den Ort. Würde das Konto des Mitarbeitenden bei einem Cyberangriff gehacked, hätten die Kriminellen nur Umsatz- und Ortsangaben ohne Zuordnungsmöglichkeit zu konkreten Personen oder Unternehmen.

Sichere Identifizierung als Sicherheitsvorkehrung

Die Absicherung gegenüber Datendiebstählen kann darüber hinaus durch die Zusammenarbeit mit einem Identifizierungsdiensteanbieter verbessert werden. Dieser stellt sicher, dass Handlungen (bspw. Bestellungen) auch wirklich von der Person ausgeführt werden, die hierzu befugt ist. Bei der Wahl des Anbieters sollten Firmen darauf achten, dass dieser eIDAS-konforme Lösungen anbietet. Zudem sollten die angebotenen Lösungen mit bestehenden Verordnungen und Gesetzen in Bezug auf Sicherheit und Datenschutz im Einklang sein und diese im besten Fall übererfüllen. Eine Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist ein Anhaltspunkt hierfür.

Fazit: Schutz vor Identitätsdiebstal durch mehrere Maßnahmen

Zum Schutz vor Identitätsdiebstahl sollen in einem Unternehmen also mehrere Sicherheitsvorkehrungen getroffen werden – sowohl durch personelle Schulungen als auch auf technischer Seite. Eine Identifizierung von Kundinnen und Kunden mithilfe eines Identifizierungsdiensteanbieters kann dabei sehr hilfreich sein. Zum einen können Unternehmen so sicherstellen, dass keine Aktionen im falschen Namen vorgenommen werden, zum anderen ist eine sichere Verarbeitung bzw. Löschung der Daten sichergestellt – ein Schutz für Kundinnen und Kunden als auch für das eigene Unternehmen.

Eine der sichersten Identifizierungsmethoden ist die Identifizierung via eID. Dazu benötigen Nutzende nur ihren Personalausweis und ein Smartphone. Informationen zu eID-Lösung ident von AUTHADA finden Sie hier.