Stell dir vor, jemand behauptet, ein Unternehmen sei gehackt worden und Kundendaten seien abgeflossen. Screenshots tauchen online auf, Menschen beginnen sie zu teilen – aber der Angriff hat nie stattgefunden.
Ist das trotzdem gefährlich?
Ja. Denn die Folgen hängen nicht zwangsläufig davon ab, ob der Leak echt ist.
Ein Fake-Leak kann den Ruf eines Unternehmens beschädigen und Security-Teams dazu zwingen, einen Vorfall zu untersuchen, der nie stattgefunden hat. Er kann aber auch dazu benutzt werden, Menschen zu manipulieren, die an ihn glauben.
Aber wie fälschen Kriminelle einen Leak?
Dafür ist nicht zwangsläufig hochentwickeltes Hacking erforderlich.
Kriminelle können öffentlich verfügbare Informationen sammeln, sie mit Daten aus älteren Leaks kombinieren und das Ergebnis als etwas Neues präsentieren. Echte Namen, E-Mail-Adressen oder Telefonnummern lassen einen Datensatz überzeugend wirken, selbst wenn der behauptete Angriff nie stattgefunden hat.
Screenshots können die Geschichte noch glaubwürdiger erscheinen lassen. Einige Datenbankzeilen, Dateinamen oder angebliche interne Datensätze können den Eindruck erwecken, jemand habe Zugriff auf wesentlich mehr Daten, als tatsächlich vorhanden sind.
Heute gibt es noch eine weitere Möglichkeit: KI-generierte Inhalte.
KI kann verwendet werden, um überzeugend wirkende Dokumente, Nachrichten, Screenshots oder anderes Material zu erzeugen, das eine erfundene Behauptung über einen Datenabfluss scheinbar stützt.
Manchmal sind die Daten gefälscht. Manchmal sind die Daten echt, stammen aber aus einer anderen Quelle.
Der erfundene Teil kann die Geschichte darüber sein, woher die Daten stammen.
Und dann kommt Phishing
Stell dir vor, du liest, dass ein Dienst, den du verwendest, gerade von einem Datenleck betroffen war. Einige Stunden später erhältst du eine E-Mail:
„Dein Konto war vom jüngsten Datenleck betroffen. Bitte setze dein Passwort sofort zurück.“
Würdest du jetzt eher auf den Link klicken?
Genau das macht Fake-Leaks für Social Engineering nützlich. Angreifer können zuerst Angst erzeugen und anschließend die Reaktion darauf ausnutzen.
Sie benötigen dafür nicht zwangsläufig gestohlene Kundendaten. Manchmal reicht bereits der Glaube, dass Daten gestohlen wurden.
Deshalb sollte eine Behauptung über einen Datenabfluss zunächst als Behauptung behandelt werden, bis Belege vorliegen. Prüfe, woher die Information stammt. Prüfe, ob die Daten tatsächlich neu sind. Suche nach unabhängigen Hinweisen auf eine Kompromittierung.
Ein Fake-Leak kann trotzdem echte Opfer verursachen.