Die Softwarefirma Beacon CRM hat einen schwerwiegenden Cyber-Sicherheitsvorfall gemeldet. Unbefugte Dritte erlangten Zugriff auf Systeme, die Kontaktdaten von über 1.000 Organisationen verwalten, darunter öffentliche Einrichtungen und karitative Verbände.
Die britische Softwarefirma Beacon CRM, ein Dienstleister für über 1.000 Organisationen, ist Opfer eines Cyberangriffs geworden. Unbefugte Dritte verschafften sich Zugriff auf Systeme, die sensible Kundendaten verarbeiten [1]. Der Vorfall hat eine breite Welle an Sicherheitsmaßnahmen bei den betroffenen Kunden ausgelöst.
Umfang und Art der betroffenen Daten
Nach Angaben des Unternehmens handelt es sich bei den betroffenen Informationen primär um Kontaktdaten, die im Auftrag von Kunden gespeichert wurden [1]. Zu den betroffenen Organisationen zählen unter anderem die Lincoln Cathedral sowie die Freizeitzentren-Betreiberin Magna Vitae [1].
Wie die betroffenen Einrichtungen mitteilten, umfassen die gespeicherten Daten unter anderem Namen, Anschriften, E-Mail-Adressen und Telefonnummern [1]. Magna Vitae präzisierte, dass der Umfang der Informationen je nach Person variiere und in einigen Fällen auch Angaben zu Festivalbesuchen oder Informationen zur Gleichstellungs- und Diversitätspolitik enthalten sein könnten [1]. Wichtig für die Betroffenen: Nach derzeitigem Kenntnisstand seien keine Bank- oder Zahlungsinformationen entwendet worden [1].
Reaktion und Aufarbeitung
Beacon CRM hat nach eigenen Angaben umgehend externe Sicherheitsexperten hinzugezogen, um den Vorfall einzugrenzen und zu untersuchen [1]. Das Unternehmen betonte, dass es nach der Entdeckung des unbefugten Zugriffs am Montag, dem 3. August, sofort alle betroffenen Kunden informiert habe [1]. Trotz des Vorfalls sei der Betrieb der Softwareplattform nicht unterbrochen worden; Kunden könnten weiterhin wie gewohnt auf ihre Daten und Dienste zugreifen [1].
Bisher gibt es keine Hinweise darauf, dass die entwendeten Daten im Internet veröffentlicht wurden oder dass Forderungen nach einem Lösegeld gestellt wurden [1]. Die betroffenen Organisationen, darunter die Lincoln Cathedral, haben den Vorfall als Datenschutzverletzung bei der britischen Datenschutzbehörde, dem Information Commissioner's Office (ICO), gemeldet [1].
Einordnung der Behörden
Das ICO bestätigte, dass es über den Vorfall informiert wurde und bereits mehrere Meldungen von betroffenen Organisationen erhalten habe [1]. Eine Sprecherin der Behörde erklärte, man befinde sich im Austausch mit Beacon Apps Ltd. und bewerte derzeit die bereitgestellten Informationen [1].
Unternehmen sind nach geltendem Recht verpflichtet, Datenschutzverletzungen innerhalb von 72 Stunden nach Bekanntwerden an das ICO zu melden, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht [1]. Die Nutzer der betroffenen Dienste werden derzeit dazu aufgerufen, bei unerwarteten Nachrichten, E-Mails oder Links wachsam zu sein, auch wenn bisher keine Veröffentlichung der Daten bekannt ist [1].