LA County Hotline legt Krisenanrufe von Millionen offen
Die 211-Helpline von Los Angeles County hat 3,5 Millionen Datensätze ihrer schutzbedürftigsten Anrufer offengelegt und dabei persönliche Daten, Missbrauchsberichte und Krisennotizen preisgegeben. Dies ist weit mehr als nur ein Datenleck.
Was ist passiert
In Los Angeles gibt es eine Nummer, die man in den verzweifeltsten Momenten wählt: 211. Es ist der öffentliche Dienst, der einem hilft, wenn man von Obdachlosigkeit bedroht ist, Gewalt erfährt oder psychische Unterstützung benötigt. Ein Tor des Vertrauens, durch das Menschen ihre privatesten Geheimnisse und tiefsten Ängste teilen. Genau dieses Tor wurde, wie die Cybersicherheitsfirma UpGuard entdeckte, weit aufgestoßen und hat die dunkelsten Momente von Millionen von Menschen im Internet verstreut. Ganze 3,5 Millionen Datensätze. Man muss das erst einmal sacken lassen.
Dieser Vorfall war keine ausgeklügelte Hacking-Operation oder ein gestohlenes Passwort. Es war etwas viel Alltäglicheres und vielleicht gerade deshalb Unverzeihlicheres. Der von LA County 211 genutzte Cloud-Speicher, das digitale Lagerhaus für die Daten, wurde quasi unverschlossen und mit offener Tür zurückgelassen. Er war öffentlich zugänglich. Als die Forscher von UpGuard auf dieses digitale Archiv stießen, bot sich ihnen weniger das Bild eines Technologieskandals als vielmehr das einer menschlichen Tragödie. Millionen von Hilferufen drohen nun, in den dunklen Ecken des Internets widerzuhallen.
Dieses Leck ist nicht mit einer gestohlenen E-Mail-Liste zu vergleichen. Es stellt einen Verrat an den schutzbedürftigsten Mitgliedern der Gesellschaft dar, und das in dem Moment, in dem sie der Regierung ihr Vertrauen schenkten. Ein Opfer von Missbrauch, das Hilfe sucht, ein Obdachloser, der eine Unterkunft sucht, ein Teenager am Rande des Selbstmords... all ihre Geschichten, zusammen mit ihren identifizierenden Informationen, wurden preisgegeben. Genau die Menschen, die der Staat schützen sollte, wurden durch die Fahrlässigkeit desselben Staates in größte Gefahr gebracht. Die Frage, die jetzt gestellt werden muss, lautet: Wie können derart sensible Daten so sorglos geschützt werden?
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →Welche Daten wurden offengelegt
Der Inhalt der durchgesickerten Daten verdeutlicht die Schwere der Situation. Es handelt sich nicht nur um eine Liste von Namen und Telefonnummern. Es ist eine Momentaufnahme der schwierigsten Momente im Leben von Menschen. Welche Art von Informationen wurde offengelegt und ungeschützt gelassen? Die Liste ist lang, und jeder Punkt ist beunruhigender als der letzte.
- Persönlich identifizierbare Informationen (PII): Vollständige Namen, Telefonnummern, Wohnadressen und E-Mail-Adressen. Diese Informationen allein sind eine Fundgrube für Identitätsdiebe.
- Demografische Informationen: Details wie Alter, Geschlecht, Rasse und ethnische Zugehörigkeit.
- Anrufnotizen: Dies ist der verheerendste Teil des Lecks. Detaillierte Mitschriften von Gesprächen zwischen den Mitarbeitern und den Anrufern. Diese Notizen beschreiben in roher Ausführlichkeit, warum Menschen die 211 angerufen haben. Sie enthalten Berichte über häusliche Gewalt, Vorwürfe des sexuellen Missbrauchs, Geständnisse von Drogenabhängigkeit, psychische Krisen, Selbstmordgedanken und den Verdacht auf Kindesvernachlässigung.
- Standortdaten: Geografische Daten darüber, von wo aus die Anrufe getätigt wurden, was den genauen Standort der Personen verrät.
- Gesundheitsinformationen: Persönliche Gesundheitsdaten wie HIV-Status, Berichte über Behinderungen und andere medizinische Probleme.
Stellen Sie sich das nur einen Moment vor. Eine Frau, die vor ihrem gewalttätigen Partner geflohen ist und unter einer neuen Adresse Zuflucht gefunden hat, nur um festzustellen, dass ihre neue Adresse jetzt im Internet zugänglich ist. Oder ein junger Mensch, der mit psychischen Problemen zu kämpfen hat und dessen privateste Gedanken nun von Fremden gelesen werden können. Diese Daten sind nicht nur digitale Codezeilen. Jede Zeile repräsentiert den echten Schmerz einer echten Person. In den falschen Händen könnten diese Daten zu unzähligen Verbrechen führen, darunter Erpressung, physisches Stalking, Belästigung und Betrug.
Wie der Angriff geschah
Hinter diesem massiven Datenleck stecken keine genialen Hacker in dunklen Räumen. Stattdessen handelt es sich um eine extrem simple und häufige Sicherheitslücke. Laut dem Bericht von UpGuard nutzte LA County 211 einen Cloud-Dienst von Amazon Web Services (AWS) namens S3 zur Speicherung seiner Daten. Diese S3-"Buckets", also digitale Speicherordner, können öffentlich zugänglich werden, wenn sie nicht korrekt konfiguriert sind.
Und genau das ist passiert. Dieser digitale Tresor, der Millionen von Krisenberichten, persönlichen Notizen und Identitätsdaten enthielt, wurde quasi mit dem Schlüssel im Schloss gelassen. Er wurde nicht von einem anonymen Angreifer kompromittiert, sondern von den Leuten, die das System verwalten, falsch konfiguriert und für das Internet geöffnet. Jeder, der die richtige Adresse kannte, konnte auf diese Informationen zugreifen, ohne ein Passwort, spezielle Software oder Hacking-Kenntnisse zu benötigen. Das ist nicht anders, als würde man einen Aktenschrank voller sensibler Unterlagen nehmen und ihn mitten auf einem belebten Stadtplatz abstellen.
Solche Konfigurationsfehler sind in der Welt der Cybersicherheit leider weit verbreitet. Bedenkt man jedoch, wer die Opfer sind, wird dieser simple Fehler zu einer unverzeihlichen Fahrlässigkeit. Die Tatsache, dass ein System, das die Daten der schutzbedürftigsten Menschen beherbergt, selbst die grundlegendsten Sicherheitsüberprüfungen vermissen ließ, zeigt, wie schwach die Cybersicherheitskultur in öffentlichen Diensten sein kann. Dies war weniger ein Angriff als vielmehr eine selbst zugefügte Wunde.
Wer ist betroffen
Wer ist also von diesem Leck betroffen? Jeder, der im Los Angeles County lebt und in den letzten Jahren aus irgendeinem Grund die 211-Helpline angerufen hat, ist ein potenzielles Opfer. Wenn Sie zu diesen Personen gehören, betrifft Sie diese Nachricht direkt.
Die Betroffenen sind nicht nur Statistiken. Sie sind:
- Frauen, Männer und Kinder, die versuchen, gewalttätigen Beziehungen zu entkommen und Hilfe suchen, um ein neues Leben aufzubauen.
- Familien, denen die Zwangsräumung droht, weil sie ihre Miete nicht bezahlen können, und die einen Platz in einer Notunterkunft suchen.
- Jugendliche und Erwachsene, die mit Depressionen, Angstzuständen oder Selbstmordgedanken zu kämpfen haben und nach einem Hoffnungsschimmer suchen.
- Personen, die gegen eine Drogensucht ankämpfen und versuchen, den ersten Schritt in Richtung Behandlung zu gehen.
- Besorgte Bürger, die Verantwortung übernommen und eine Meldung gemacht haben, weil sie den Verdacht hatten, dass das Kind eines Nachbarn vernachlässigt wird.
Diese Menschen haben der Regierung in ihren verletzlichsten Momenten vertraut. Nun wurde dieses Vertrauen nicht nur zerstört, sondern ihr Leben wurde in noch größere Gefahr gebracht. Die neue Adresse eines Missbrauchsopfers könnte in die Hände des Täters gelangen. Jemand mit psychischen Problemen könnte stigmatisiert werden, wenn diese Informationen an seinen Arbeitgeber oder sein soziales Umfeld durchsickern. Für Identitätsdiebe ist dies eine Goldgrube. Kurz gesagt, jeder, der Hilfe gesucht hat, braucht jetzt noch mehr Hilfe.
Was Sie tun können
Wenn Sie glauben, die 211 von LA County angerufen zu haben, ist der Standardrat "Ändern Sie Ihr Passwort" hier nutzlos. Die Situation ist weitaus ernster, und die Schritte, die Sie unternehmen sollten, müssen dies widerspiegeln.
1. Priorisieren Sie Ihre physische Sicherheit: Das größte Risiko dieses Lecks ist nicht digital, sondern physisch. Wenn Sie um Hilfe gerufen haben, um einer Missbrauchs- oder Stalking-Situation zu entkommen, und Informationen wie Ihre Adresse preisgegeben haben, gehen Sie davon aus, dass diese Informationen jetzt öffentlich sind. Kontaktieren Sie umgehend ein örtliches Frauenhaus oder eine Organisation gegen häusliche Gewalt. Sie können Ihnen helfen, einen persönlichen Sicherheitsplan zu erstellen.
2. Seien Sie wachsam und melden Sie verdächtige Kommunikation: Betrüger könnten Informationen aus diesem Leck nutzen, um Sie ins Visier zu nehmen. Sie könnten Sie anrufen und sich als Mitarbeiter von 211 ausgeben, mit einer Geschichte wie: "Wir rufen wegen des Datenlecks an, um Ihre Informationen zu überprüfen..." Sie werden versuchen, Ihr Vertrauen zu gewinnen, indem sie persönliche Details erwähnen. Vertrauen Sie solchen Anrufen, E-Mails oder Nachrichten niemals. Offizielle Stellen werden Sie niemals bitten, sensible Informationen am Telefon zu bestätigen.
3. Frieren Sie Ihre Kreditauskünfte ein: Ihr Name, Ihre Adresse und andere persönliche Informationen können für Identitätsdiebstahl verwendet werden. Kontaktieren Sie die drei großen Kreditauskunfteien (in den USA: Equifax, Experian, TransUnion) und lassen Sie Ihre Kreditauskünfte einfrieren. Dies verhindert, dass in Ihrem Namen ohne Ihre Erlaubnis neue Kreditkarten oder Kredite eröffnet werden. Das mag wie eine Standardvorsichtsmaßnahme erscheinen, aber angesichts des Potenzials dieses Lecks könnte es lebensrettend sein.
4. Fordern Sie Rechenschaft: Wenden Sie sich an die Behörden von LA County und Ihre lokalen Vertreter. Fragen Sie sie, wie diese Fahrlässigkeit passieren konnte, welche Schritte sie jetzt zum Schutz Ihrer Daten unternehmen und welche Art von Unterstützung sie den Opfern anbieten werden. Öffentlicher Druck ist eine der wirksamsten Methoden, um solche Katastrophen in Zukunft zu verhindern.
Die Stellungnahme des Unternehmens
Nach der öffentlichen Bekanntmachung durch UpGuard gaben die Verantwortlichen von LA County 211 die klassische Erklärung ab, die man erwarten würde. Sie bestätigten, über die Situation informiert zu sein und nach der Warnung durch die Cybersicherheitsfirma sofort gehandelt zu haben. Der betreffende Amazon S3-Bucket sei gesichert worden und nicht mehr von außen zugänglich.
Die Verantwortlichen erklärten: "Die Sicherheit und der Schutz der Daten unserer Gemeinschaft haben für uns höchste Priorität. Wir haben eine umfassende Untersuchung mit externen Cybersicherheitsexperten eingeleitet, um den vollen Umfang und die Auswirkungen des Vorfalls zu verstehen. Sobald die Untersuchung abgeschlossen ist, werden wir die betroffenen Personen direkt kontaktieren, wie es das Gesetz vorschreibt." Diese Erklärung trägt jedoch wenig dazu bei, die Ängste der Millionen von Opfern zu lindern, deren Daten bereits offengelegt wurden. Das Vertrauen ist gebrochen, und es wird sehr lange dauern, es wieder aufzubauen.