#65 Hackervorfall Portraitbox: Was können Selbstständige daraus für andere Toolanbieter lernen?

00:00:03: Datenschutz im Ohr.

00:00:04: Dein Podcast vom DSGVO Erste-Hilfekoffer für Soloselbstständige, Freiberufler und kleine Unternehmen bis zu neunzehn Mitarbeiter in Büro!

00:00:13: Wir sprechen über die verschiedensten Herausforderungen, wie der Datenschuss für dein Unternehmen mit sich bringt.

00:00:19: Du bekommst wichtige Infos was es

00:00:21: zu beachten gibt

00:00:22: und wertvolle Tipps zur Umsetzung der einzelnen Schritte.

00:00:26: So geht DSGVO einfach und leicht Und das lieben wir.

00:00:31: Bist du bereit in die Welt der DSGVO einzutauchen?

00:00:34: Los geht's!

00:00:36: Ein fröhliches Hallo heute zu einer neuen Folge und dies sehr aktuell, weil da geht es tatsächlich um einen Cyberangriff.

00:00:44: Bei einem Toolanbieter und speziell betroffen sind davon Tausende von Fotografen in Deutschland und anderen Ländern Und da möchte ich mal drüber heute sprechen, was es einerseits natürlich jetzt für die Fotografen bedeutet hat.

00:00:58: Was wir aber auch daraus ziehen können für uns andere selbstständige und kleine Unternehmen?

00:01:04: Weil das natürlich nicht nur die Fotografen betrifft, sondern gerade wenn man mit anderen Tulernbietern zusammenarbeitet, die nach laut sind oder ähnliches dann können wir aus diesem Vorfall doch einiges mehr merken und lernen.

00:01:18: Stell dir vor, du fotografierst seit Jahren Kindergärten, Schulen oder Hochzeiten.

00:01:23: Du lagerst die Bilder bei einem Dienstleister der genau dafür gemacht ist, der auch in Deutschland ansässig ist und dem du vertraust weil natürlich ganz viele Fotografen tausende von Fotografen dort sind.

00:01:35: Und plötzlich erfährst du Die Fotos deiner Kunden wurden gestohlen.

00:01:41: Portrebox ist wie gesagt ein Tool-Anbieter für Fotografen.

00:01:44: Viele Fotografen nutzen es als Plattform, für Galarien um eben dort Bilder hochzuladen das sich Eltern oder Kunden die Bilder aussuchen können gleich bestellen können und sozusagen auch die ganze Abwicklung mit Rechnung und alles über diesen Anbietern läuft.

00:02:00: Ende Mai hat Portre box bekannt gegeben dass es einen massiven Sicherheitsvorfall gab.

00:02:06: was ist passiert?

00:02:08: Unbekannte verschaffen sich Zugang zur Plattform.

00:02:12: Sämtliche Daten, Bilder, Bestellhistorien, Adressen, E-Mail Kontakte wurden heruntergeladen und auf dieser Plattform gelöscht.

00:02:22: Porträtbox wird erpresst.

00:02:24: dass die Fotos und die Daten veröffentlicht werden Muss man sich mal vorstellen dort Daten von Kindern Kita Schulkindern Und die könnten jetzt ungehindert durch die Erpresser im Internet auftauchen.

00:02:38: Betroffen sind davon eben alle Kunden und alle Bilder, die die Fotografen in dieser Plattform hochgeladen haben.

00:02:46: Bilder, Bestellhistorien, Adressen teilweise vielleicht auch Bezahldaten und Zugangsdaten.

00:02:54: Wichtig ist hierbei das Problem ist nicht nur ein IT-Problem.

00:02:59: Das Problem hier geht es um Vertrauen Und Vertrauen is ja immer wieder ein Thema bei uns im Datenschutz.

00:03:06: Warum trifft das besonders Fotografen jetzt hart?

00:03:09: Ich habe in den letzten Wochen vielfach mit Fotografen zu tun gehabt, die jetzt im Nachhinein zu mir gekommen sind.

00:03:15: Und eine sagte mir ich brauche mich eigentlich gar nicht mehr sehen lassen weil ich hatte da alle Daten von den Nachbarskindern drauf.

00:03:23: also wie soll ich damit umgehen?

00:03:25: kann ich meine Firma jetzt zumachen?

00:03:27: was ist das für ein Imageverlust?

00:03:29: der Kunde sieht nicht Portreebox Der sieht nicht das Portrebox, die Amazon AWS Cloud genutzt hat.

00:03:36: Der sieht auch nicht dass es hier um den Diebstahl eines API Schlüssel geht.

00:03:41: Der Kunde sieht nur seinen Fotografen und das ist genau das Thema!

00:03:47: Für viele ist der Fotograf der Verantwortliche und nicht der Toolanbieter.

00:03:53: Und hier kommen jetzt eben auch rechtliche Fragen auf den Fotographen zu Denn die Fotografen gelten datenschutzrechtlich als verantwortliche in diesem Fall.

00:04:03: Auch wenn sie sozusagen gar nicht die Verantwortlichen für den Cyberangriff waren, aber trotzdem da Sie den Portrebox als Toolanbieter ausgewählt haben, gelten sie als verantwortlicher?

00:04:15: Was bedeutet das jetzt?

00:04:17: Als allererstes müssen alle Fotographen, die dort Bilder hatten oder die das Tool genutzt haben eine Meldung an die Aufsichtsbehörde für Datenschutz machen.

00:04:26: Das ist eine Datenpanneke!

00:04:28: Auch wenn Sie selber nicht sozusagen, ja verantwortlich dafür sind.

00:04:33: Und je nach Risiko für die Betroffenen müssen sie alle Betroffene informieren das heißt Kitas Schulen Eltern von den Kindern.

00:04:42: bei anderen muss man schauen inwieweit sind die betroffen.

00:04:46: empfohlen ist hier auch eine Anzeige bei der Polizei gegen unbekannt weil das wird als technische also organisatorische Maßnahme gewertet Falls die Fotografen nämlich in irgendwelchen Prozessen von den Eltern angegriffen werden.

00:05:01: Und natürlich auch die Auskunftsanfragen beantworten, weil sie sind jetzt massiv damit betroffen dass natürlich Eltern und Schulen fragen ja was hast du denn im Vorfeld getan?

00:05:12: Also das heißt was hast Du denn getan damit sowas erst nicht passiert?

00:05:17: und dann könnte man sagen naja ich habe da ist doch Porträtbox für verantwortlich.

00:05:22: Nein, so einfach ist es eben nicht und das schauen wir uns eben noch an.

00:05:26: Wie sind denn die wirtschaftlichen Folgen?

00:05:28: Einmal natürlich Vertrauensverlust und das teilweise massiv.

00:05:33: Schulen und Kitas hinterfragen den Dienstleister, hinterfragt den Fotografen warum hast du diesen Dienstleist ausgewählt?

00:05:40: Manche Einrichtungen könnten zukünftig strengere Anforderung stellen.

00:05:44: Fotografen müssen ihre Prozesse überdenken vor allem ihre Datenschutzkonzepte.

00:05:49: gerade auch worden Auftragsverarbeitungsverträge geschlossen, hat der Fotograf deren technische organisatorische Maßnahmen geprüft.

00:05:59: Weil wenn er den Vertrag unterschreibt ist er nämlich damit einverstanden und erklärt damit ja die Toms sind in Ordnung.

00:06:07: Hat er selber einen Löschkonzept innerhalb der Plattform?

00:06:10: Wie sieht das damit aus?

00:06:12: Hat da da ein Konzept für?

00:06:14: wurden im Vorfeld die Kunden und Eltern informiert dass die Daten eben bei einem Drittanbieter liegen, Da gibt es strenge Informationspflichten, denen man nachkommen muss.

00:06:26: Und das ist eben das Thema.

00:06:27: wenn das alles nicht passiert ist dann sind tatsächlich auch Fotografen da natürlich massiv in der Kritik und man muss schauen inwieweit auch in der Haftung für Bußgelder und ähnlichen.

00:06:39: Und gerade die Fotografen, die ich jetzt in den letzten Wochen schon betreut habe, hat der einen oder andere mir gesagt Ich bin ganz schön naiv mit den Daten umgegangen!

00:06:51: Und jetzt erst merke ich, was sich alles hätte schon im Vorfeld tun können, damit es mir jetzt hinterher gar nicht so auf die Füße fällt.

00:07:00: Warum das aber nicht nur Fotografen betrifft?

00:07:02: Sondern alle Selbstständige und alle Unternehmer – da sprechen wir jetzt drüber!

00:07:08: Der Urteum vieler Unternehmer ist nämlich ein anerkanntes Tool oder ein anerkannter Programmanbieter.

00:07:14: Der wird das schon regeln.

00:07:15: Da kann ich mich drauf verlassen.

00:07:20: Cyberkriminelle interessieren sich nicht nur für Banken oder Konzerne.

00:07:24: Sie interessieren sie generell für Kundendaten, Bilder, Identitäten, Zugangsdaten und besonders sensibel sind hier eben die Kinderfotos weil im viele der Galerien stammen aus Kitas und Schulen.

00:07:37: Dadurch bekommt der Vorfall eine ganz andere emotionale Dimension als ein normales Datenleck.

00:07:43: das bedeutet ich muss mich im Unternehmen einfach mal damit beschäftigen was habe.

00:07:49: Und das geht schon bei einer High-Praktikerin los.

00:07:52: Die hat Gesundheitsdaten und auch da ist die Frage, wo verwaltet sie die?

00:07:57: Hat sie die irgendwo bei einem Cloudanbieter liegen?

00:07:59: nutzt die irgendeinen Tool in der Cloud?

00:08:01: Hat Sie ein Programm in der cloud womit sie die verarbeitet?

00:08:04: dann könnte nämlich genau dass auch ihr passieren.

00:08:08: also jeden von uns der irgendwelche Cloudlösung nutzt dem kann das tatsächlich mal auf die Füße fallen wie den Fotografen jetzt bei Portreebox Wenn der Anbieter ein Datenlecker hat.

00:08:21: Digitalisierung und die Auslagerung von Daten, das braucht Verantwortung!

00:08:25: Und das in allen Branchen – nicht nur bei den Fotografen.

00:08:28: Das ist nur ein Beispiel was es uns gerade mal ganz klar vor Augen führt wie so etwas ausgehen kann.

00:08:34: Jeder Unternehmer sollte sich daher fragen, was habe ich überhaupt für Daten?

00:08:39: Wo liegen meine

00:08:39: Daten?!

00:08:41: Wenn die Daten irgendwo in der Cloud oder bei einem Drittanbieter liegen, habe ich einen Auftragsverarbeitungsvertrag mit denen.

00:08:47: Habe ich die technischen organisatorischen Maßnahmen geprüft?

00:08:50: Wer hat den Zugang überhaupt zu den Daten?

00:08:52: wie ist denn das bei dem Dienstleister geregelt?

00:08:55: Wie gut sind die Absicherung und die Backups von dem Dienst Leister?

00:08:58: weil In dem Fall ist es auch so Die Bilder sind weg.

00:09:01: Das heißt Fotografen die die Bilder nicht irgendwo noch bei sich gesichert haben Sondern nur dort liegen hatten Haben im Moment kein Zugriff drauf weil soweit ich erfahren habe, hat Portrebox zwar ein Backup zurückgespielt aber ein älteres Back-Up teilweise.

00:09:17: Das heißt das dort alte gelöschte Daten auch plötzlich wieder auftauchen aus technischer Sicht verständlich!

00:09:23: Weil PortreBox natürlich schaut dass sie möglichst einen Back up einspielen wo die Hacker vermutlich noch nicht involviert waren also ein älteres Back Up.

00:09:32: Das heisst einerseits tauchen dort plötzlich wieder Daten auf die eigentlich schon längst gelöscht Und andererseits fehlen natürlich ganz neue Daten.

00:09:41: Und auch die Frage, was passiert denn im Notfall und nicht erst wenn es passiert ist?

00:09:48: Portrebox hat hier super reagiert.

00:09:49: PortreBox hat dann die Fotografen zeitnah informiert, hat auch die Meldung bei der Aufsichtsbehörde gemacht, hat eine Strafanzeige gestellt und hat auch den Fotografen an die Hand gegeben wie sie ihre Betroffenen informieren können und wie die Meltungen an die Aufsichtbehörden auszusehen haben.

00:10:05: Das haben die wirklich gut gemacht!

00:10:07: Aber wie gesagt, das heilt noch lange nicht, dass der Unternehmer selber im Vorfeld schauen muss.

00:10:13: Wie kann er sich absichern?

00:10:16: Bequemlichkeit versus Kontrolle – Das ist hier genau das Thema!

00:10:21: Clouddienste sind unglaublich praktisch aber wenn dein gesamtes Geschäft an einen einzigen Dienstleister hängt wird dessen Risiko auch zu deinem Risiko.

00:10:30: Das musst du klar sein Frage die jeder seinen Anbieter stellen sollte Gibt es ein Sicherheitskonzept?

00:10:39: Gibt eine Verschlüsselung der Daten?

00:10:41: Wie sehen die Backups aus, wie schnell wird kommuniziert im Falle der Falle und was passiert überhaupt bei einem Vorfall.

00:10:50: Der Porträtbox-Hack ist keine Geschichte über IT.

00:10:53: Es ist eine Geschichte über Verantwortung Vertrauen Und die Abhängigkeit von digitalen Plattformen.

00:11:00: Vielleicht ist genau jetzt der richtige Zeitpunkt für jeden Selbstständigen seine eigenen Prozesse einmal kritisch zu hinterfragen und mit einem Fachmann sein eigenes Datenschutzkonzept zu besprechen.

00:11:13: Viele Dinge, die jetzt auf die Fotografen hereinprasseln hätten im Vorfeld minimiert werden können wenn man gewusst hätte wie und auf was man achten sollte Wenn morgen einer deiner wichtigsten Dienstleisterausfeld oder gehackt wird.

00:11:27: Wie handlungsfähig wärst du noch?

00:11:29: Die Frage solltest du dir am Ende dieser Folge stellen.

00:11:34: Und ansonsten wenn Du jetzt sagst Ja, es hat mich jetzt wachgerüttelt.

00:11:38: Ich sollte auch meine Prozesse mal überdenken und ich sollte auch mal schauen wie kann ich mich denn im Vorfeld aufstellen dass sich hier mein Risiko minimieren kann?

00:11:47: Weil ganz weit kriegen wir's nie!

00:11:49: Aber wie kann das minimieren?

00:11:51: was habe ich dafür Möglichkeiten?

00:11:53: Dann geh einfach auf unsere Seite www.dsgvo-erste-hilfe.de Und bucht ihr bei einem unserer Berater einen Erstgespräch und der wird mit dir besprechen Was du eventuell schon hast und was du noch brauchst.

00:12:08: Und dann kannst du auch etwas besser in Zukunft schlafen und in die Zukunft schauen, weil glaube mir viele der Fotografen haben mir gesagt in den letzten Wochen sie konnten tagelang nicht schlaven und das wünsche ich dir nicht!

00:12:21: Eine sichere Zukunft und ein cooles Datenschutzkonzept.

00:12:25: und dann sehen wir uns in der nächsten Folge wo es auch wieder ganz stark um das Thema Vertrauen-und-Datenschutz geht.

00:12:32: Bis dann

00:12:35: Schön, dass du heute mit dabei warst.

00:12:37: Weitere Informationen zu unserem DSGVO Erste Hilfekoffer und Datenschutz findest du unter dsgvo-erste-hilfe.de.

00:12:47: Du kannst dir gerne auch einen kostenlosen Termin buchen – mit einem unserer Beraterinnen und Berater vom DSGVO Erste Hilfekofferteam!

00:12:56: Den Link dazu gibt's in den Shownotes.

00:12:58: Such dir aus, von dem du dich beraten lassen möchtest und lass uns darüber sprechen wie wir dir am besten weiterhelfen können.

00:13:05: Bis zur nächsten Folge – und denk immer daran!

00:13:08: Datenschutz muss nicht kompliziert sein.

00:13:10: Der DSGVO-ST Hilfekoffer macht's leicht.