Gefälschte Auskunftsersuchen erkennen

Was ist Gefälschte Auskunftsersuchen erkennen?

Angreifer stellen Auskunftsersuchen im Namen anderer Personen, um an deren Daten zu gelangen. Sie machen damit aus einem Datenschutzrecht einen Angriffsweg. Im Postfach für Auskunftsersuchen geht ein aggressives Ersuchen ein, das binnen 24 Stunden die Daten eines Kunden fordert, und zwar von einer Gmail-Adresse, die das Unternehmen noch nie gesehen hat. Sie erkennen die erfundene Frist, die unbekannte Adresse und die rechtlichen Drohungen, prüfen den Kundendatensatz, verifizieren die Identität über die bereits hinterlegte Adresse und melden den Versuch als Sicherheitsvorfall.

Was Sie lernen in Gefälschte Auskunftsersuchen erkennen

• Erkennen Sie Warnsignale in DSARs, die auf Social Engineering oder die Vortäuschung einer fremden Identität hindeuten
• Wenden Sie verhältnismäßige Verfahren zur Identitätsprüfung an, die Betrug erkennen, ohne Personen mit berechtigten Ersuchen zu belasten
• Prüfen Sie die Identität einer anfragenden Person über bereits hinterlegte Kontaktdaten, niemals über Angaben aus dem Ersuchen selbst
• Dokumentieren Sie ein gefälschtes Ersuchen als Sicherheitsvorfall, mit seinen Warnsignalen und den durchgeführten Prüfschritten
• Leiten Sie verdächtige Auskunftsersuchen über die vorgesehenen internen Kanäle weiter und wahren Sie dabei die einmonatige Antwortfrist

Gefälschte Auskunftsersuchen erkennen — Trainingsschritte

1. Einführung

   Heute lernen Sie, wie Angreifer die DSGVO mit gefälschten Auskunftsersuchen ausnutzen, um personenbezogene Daten zu stehlen.

2. Das dringende Auskunftsersuchen

   Alice beginnt ihren Arbeitstag mit einem Blick in den DSAR-Posteingang. Unter den üblichen Ersuchen fällt ihr sofort eine E-Mail mit aggressivem Ton und dringlich formulierter Betreffzeile auf. Die E-Mail stammt angeblich von „Marcus Thompson“. Darin werden innerhalb von 24 Stunden sämtliche personenbezogenen Daten gefordert und rechtliche Schritte angedroht.

3. Warnsignal – Falsche Frist

   Alice bemerkt sofort, dass mit diesem Ersuchen etwas nicht stimmt. Der Absender behauptet, PrivacyFirst müsse innerhalb von 24 Stunden antworten, und droht mit rechtlichen Schritten. Alice weiß jedoch aus ihrer DSGVO-Schulung, dass die tatsächliche Antwortfrist anders lautet.

4. Warnsignal – Private E-Mail-Adresse

   Alice bemerkt ein weiteres verdächtiges Merkmal: Das Ersuchen kam von einer privaten Gmail-Adresse statt von einer geschäftlichen oder bereits hinterlegten E-Mail-Adresse. Das ist ungewöhnlich für jemanden, der behauptet, ein bestehender Kunde zu sein.

5. Warnsignal – Aggressiver Ton

   Die drohende Sprache und die Ankündigung rechtlicher Schritte sollen Alice einschüchtern und dazu drängen, schnell zu handeln, ohne die vorgeschriebene Identitätsprüfung durchzuführen. Diese emotionale Manipulation ist eine klassische Social-Engineering-Taktik.

6. Verfahren zur Identitätsprüfung

   Trotz des aggressiven Tons weiß Alice, dass sie das vorgeschriebene Verfahren zur Identitätsprüfung befolgen muss. Die Übermittlung personenbezogener Daten an eine Person, deren Identität nicht geprüft wurde, wäre selbst eine Datenschutzverletzung nach der DSGVO. Zunächst prüft sie, ob Marcus Thompson in der Kundendatenbank geführt wird, und gleicht die hinterlegte E-Mail-Adresse ab.

7. Kundendatensatz suchen

   Alice ruft die Kundendatenbank auf und sucht nach Marcus Thompson. Wenn er tatsächlich Kunde ist, enthält sein Datensatz die hinterlegte E-Mail-Adresse. So kann sie prüfen, ob das Ersuchen vom tatsächlichen Kontoinhaber stammt.

8. Entscheidende Erkenntnis

   Die Suche in der Kundendatenbank liefert eine entscheidende Information: Marcus Thompson IST ein echter Kunde, doch seine hinterlegte E-Mail-Adresse lautet m.thompson@techcorp.com – sie unterscheidet sich vollständig von der Gmail-Adresse, von der das Ersuchen gesendet wurde. Damit bestätigt sich Alices Verdacht: Jemand versucht, sich als echter Kunde auszugeben, um dessen Daten zu stehlen.

9. Ordnungsgemäße Identitätsprüfung einleiten

   Gemäß den Unternehmensvorgaben sendet Alice nun eine Anfrage zur Identitätsbestätigung an den ECHTEN Marcus Thompson. Dafür verwendet sie seine hinterlegte E-Mail-Adresse m.thompson@techcorp.com – nicht die im verdächtigen Ersuchen angegebene Adresse. So stellt sie sicher, dass nur der tatsächliche Kunde seine Identität bestätigen kann.

10. Scheitern an der Identitätsprüfung

    Auf die Anfrage zur Identitätsbestätigung an m.thompson@techcorp.com antwortet der ECHTE Marcus Thompson irritiert und bestätigt, dass er nie ein solches Auskunftsersuchen gestellt hat. Unterdessen sendet der Angreifer zunehmend aggressive Folge-E-Mails an den DSAR-Posteingang und verlangt eine Erklärung, warum die Daten noch nicht übermittelt wurden.