Das Datenleck bei MOVEit ist wohl nun endgültig geschlossen, aber die Folgen sind immer noch da: Nun wurde bekannt, dass der Bankwechselservice von Majorel Deutschland Daten verloren hat, der Kontowechsler der Deutschen Bank, Postbank, Direktbank ING und Comdirect unterstützt hat.
Die verschiedenen Banken, wie Deutsche Bank, Postbank, Direktbank ING und Comdirect geben an, dass sie wegen des MOVEit-Hack keine Daten verloren haben, sondern der Dienstleister Majorel Deutschland. Dieser bietet für Bankkunden einen Wechselservice an und dabei wird die Progress-Software MOVEit genutzt. Dabei wurde die bekannte Schwachstelle vermutlich durch die CLOP-Gruppe angegriffen, Daten entwendet und die Erpressung gestartet. Allerdings taucht der Name Majorel nicht in den Listen auf der Leak-Seite der CLOP-Gruppe auf.
Namen und Kontonummern gestohlen
Wie Majorel Deutschland bekannt gab, wurden Vornamen, Namen und Kontonummern (IBAN) in Sachen Wechselservice durch die Hacker gestohlen. Eine Sprecherin des Unternehmens sagte „Im Rahmen einer Sicherheitslücke der Software MOVEit, von der viele Unternehmen auf der ganzen Welt betroffen sind, ist Majorel Deutschland Ziel eines Hackerangriffs geworden“.
Bei Tagesschau.de gaben einige Banken an, wie viele Kunden von dem Datenleck bei Majorel betroffen sind: ING sagt eine niedrige vierstellige Zahl. Deutsche Bank, Postbank und Comdirect konnten oder wollten keine Angabe machen. Allerdings geben alle Institute bekannt, dass sie die Konten überwachen. Auch die Kunden sollten das tun und sofort unerwartete Abbuchungen melden. In diesem Fall wollen die Institute kostenlose Rückbuchungen sogar für bis zu 13 Monaten gewähren. Mehr erfahren Kunden auch bei ihrer Bank, da sie zum Vorfall auch informiert werden.
Erpresser CLOP-Gruppe
Die CLOP-ATP-Gruppe behauptet weiterhin, dass nur sie den für die MOVEit-Lücke passenden Exploit haben und hätten. Aktuell finden sich 160 Unternehmen auf der Leak-Seite von CLOP bei denen wohl Daten gestohlen wurden und die erpresst. Dabei ist Majorel Deutschland nicht zu finden. Allerdings waren vor Wochen bereits Unternehmen in der Liste zu sehen, die nun nicht mehr da sind und auch keine Daten veröffentlicht wurden.
Expertenantwort von Trend Micro
Richard Werner, Business Consultant bei Trend Micro (Bild: Trend Micro)
„Die in Deutschland betroffenen Banken sind deshalb unter den Opfern, da ihr Dienstleister angegriffen wurde. Sie setzten die Software nicht selbst ein. Dennoch (oder vielleicht deswegen) könnte das Ganze ein unangenehmes DSGVO-Nachspiel haben. Denn bereits Mitte Juni wurde vom Dienstleister berichtet, dass er Datenverluste hatte.
Sind personenbezogene Daten im Spiel, dann beträgt die Meldepflicht solcher Vorfälle 72 Stunden. Nun gibt es möglicherweise Gründe, warum erst jetzt langsam und „tropfend“ Informationen über betroffene Kunden in Deutschland herauskommen. Gut zu heißen ist das in der IT-Security nicht.
Beim Vorfall selbst handelt es sich um eine ZeroDay-Sicherheitslücke. Umso wichtiger ist, dass andere noch nicht betroffenen Unternehmen sich der Gefahr bewusst werden und auch die Endnutzer darüber informiert werden, dass wichtige persönliche Informationen in den Händen von Kriminellen sind.“, so Richard Werner, Business Consultant bei Trend Micro.
Red./sel