Die lettische Straßenverkehrsbehörde CSDD hat einen massiven Datendiebstahl eingeräumt: Unbekannte erbeuteten persönliche Daten von rund 1,2 Millionen Menschen und 200.000 Unternehmen. Angesichts einer Bevölkerung von gut 1,8 Millionen ist nahezu jeder zweite Lette betroffen – Präsident Edgars Rinkēvičs spricht von einer Bedrohung der nationalen Sicherheit.
Behörde bestätigt Ausmaß erst nach Tagen
Die CSDD meldete am 18. August, dass bei einem Cyberangriff persönliche Daten von 1,2 Millionen Menschen abgegriffen wurden [1]. Der Angriff ereignete sich bereits am Wochenende des 8./9. August. Erst am 13. August räumte die Behörde den Vorfall öffentlich ein, am 14. August konnten oder wollten die Verantwortlichen das Ausmaß noch nicht beziffern – vier weitere Tage vergingen, bis das volle Volumen des Datenabflusses bekannt gegeben wurde [1].
Diese zeitliche Verzögerung wirft Fragen auf. Der lettische Ministerpräsident Andris Kulbergs ordnete eine Untersuchung an und kritisierte die CSDD-Führung, die erst verspätet über den Datendiebstahl informiert hätte. „Ich muss sagen, dass ich unangenehm überrascht bin über einen gewissen IT-Sicherheits-Infantilismus, der in einigen Aufsichtsbehörden und staatlichen Einrichtungen vorherrscht“, sagte der Regierungschef der Agentur Leta zufolge – auch mit Blick auf einen Hackerangriff auf die staatliche Forstverwaltung im Juni [2].
Welche Daten betroffen sind
Nach Angaben der CSDD gelangten folgende Daten in die Hände der Angreifer: die persönliche Identifikationsnummer beziehungsweise die Firmenregistrierungsnummer, Vor- und Nachname beziehungsweise Firmenname, Zahlungsbetrag, Zahlungsdatum, das Kfz-Kennzeichen sowie die am Tag der Leistungserbringung registrierte Adresse – etwa die im Fahrzeugschein angegebene Anschrift [1]. Die Daten stammen aus Zahlungsbelegen, die bis ins Jahr 2008 zurückreichen [1].
Māris Puriņš, Leiter der IT-Abteilung der CSDD, betonte, dass Kontaktdaten wie Telefonnummer und E-Mail-Adresse der Kunden nicht kompromittiert worden seien und die erbeuteten Adressinformationen nicht in allen Fällen vollständig seien [1]. Die Behörde habe zudem die Möglichkeit eingeschränkt, dass Unbefugte anhand der nationalen Registrierungsnummer Fahrzeugdaten wie Marke und Modell abrufen können [1].
Wer hinter dem Angriff steckt, ist unklar
Die Täter sind bislang nicht offiziell identifiziert. Ministerpräsident Kulbergs sagte, es könne nicht ausgeschlossen werden, dass es sich um einen Cyberangriff auf Lettland aus einem anderen Land handele [2]. Die CSDD habe am Wochenende zudem einen gezielten Angriff erlebt, der dank zwischenzeitlich umgesetzter Sicherheitsverbesserungen abgewehrt worden sei [1].
Präsident Rinkēvičs schaltete sich am 18. August ein und bezeichnete den „massiven Datenabfluss“ in einem Beitrag in den sozialen Medien als „erhebliche Bedrohung der nationalen Sicherheit“. Er forderte Konsequenzen: „Der Ruf der CSDD und das öffentliche Vertrauen in diese Institution sind untergraben. Unter diesen Umständen darf die CSDD-Führung ihre Arbeit nicht fortsetzen“ [1].
Risiken für Betroffene: Betrug und Social Engineering
Die größte Gefahr für die Betroffenen liegt nach Einschätzung von Experten im Missbrauch der Daten für Betrugskampagnen. Varis Teivāns, stellvertretender Leiter der lettischen Cybersicherheitsbehörde Cert.lv, erklärte, das größte Risiko sei die Nutzung der geleakten Daten für künftige Social-Engineering- und Betrugsversuche: „Wenn Betrüger den Namen, die persönliche Identifikationsnummer, das Kfz-Kennzeichen, die Adresse oder Details früherer Zahlungen einer Person haben, können sie deutlich glaubwürdigere und personalisierte betrügerische Textnachrichten, E-Mails oder Anrufe erstellen“ [1].
Die Behörden raten der Bevölkerung, nicht nur auf den Inhalt von Nachrichten zu achten, sondern auch auf die Qualität von Sprache und Rechtschreibung – insbesondere auf die korrekte Schreibweise von Namen, Adressen und anderen Details. Zudem solle man keine Links in Nachrichten oder E-Mails anklicken, sondern sich über die offizielle Website e.csdd.lv oder die CSDD-App informieren [1].
Die CSDD hat die staatliche Datenschutzinspektion über den Vorfall informiert und alle verfügbaren Informationen für eine umfassende Bewertung der Umstände übermittelt [1]. Der reguläre Betrieb der Behörde ist nach eigenen Angaben nicht beeinträchtigt; alle Dienstleistungen würden weiterhin persönlich und online über e-CSDD angeboten [1].
Einordnung: Ein Land, das unter Beschuss steht
Der Vorfall reiht sich in eine Serie von Cyberangriffen auf lettische Institutionen ein. Erst im Juni war die staatliche Forstverwaltung LVM Ziel eines Hackerangriffs, der nach Angaben des Unternehmens durch eine seit zwei Jahren nicht aktualisierte Sicherheitslücke ermöglicht wurde [2]. Die Häufung wirft ein Schlaglicht auf die Cybersicherheitslage der baltischen Staaten, die angesichts ihrer geopolitischen Lage als besonders exponiert gelten.
Dass ausgerechnet die Straßenverkehrsbehörde betroffen ist, deren Datenbestand nahezu die gesamte erwachsene Bevölkerung Lettlands abdeckt, macht den Fall zu einem der größten Datendiebstähle in der Geschichte des Landes. Die Kombination aus Identifikationsnummern, Adressen und Zahlungsdaten ist für Kriminelle besonders wertvoll – und für die Betroffenen nur schwer zu neutralisieren, da sich eine einmal gestohlene Identifikationsnummer nicht einfach ändern lässt. Die kommenden Wochen werden zeigen, ob die Ermittlungen die Täter identifizieren und ob die politischen Forderungen nach personellen Konsequenzen an der CSDD-Spitze Folgen haben.