Ein erfolgreicher Cyberangriff ist mit dem Abfluss von Daten meist noch lange nicht zu Ende. Besonders gefährlich wird es erst, wenn beispielsweise die gestohlenen Kundendaten anschließend für täuschend echte Phishing-Mails und weitere gezielte Angriffe genutzt werden. Genau diese Gefahr zeigt der aktuelle Fall rund um Käufer von Steam-Hardware: Offenbar war nicht Valve selbst, sondern ein Dienstleister in der Lieferkette von einem Sicherheitsvorfall betroffen. Aus einem einzelnen Datenleck kann so eine ganze Reihe weiterer Angriffe entstehen.
Gestohlene Kundendaten sind für Cyberkriminelle nicht zwangsläufig das Endprodukt, sondern häufig erst der Anfang. Je mehr Informationen über eine Person bekannt sind, desto glaubwürdiger lassen sich Folgeangriffe gestalten – und desto schwieriger wird es für Betroffene, diese als Betrugsversuch zu erkennen. Nachfolgend erfahren Sie, wie Kriminelle erbeutete Kundendaten für personalisierte Angriffe nutzen, welche Rolle KI dabei spielen kann und warum Unternehmen auch die Sicherheitsrisiken ihrer Dienstleister im Blick behalten müssen.
Warum der Steam-Fall besonders aufschlussreich ist
Nach bisherigem Kenntnisstand wurden nicht die Systeme von Steam beziehungsweise Valve selbst kompromittiert. Betroffen war vielmehr ein Logistikdienstleister, der Daten von Käufern der Steam-Hardware verarbeitete.
Damit rückt ein Risiko in den Mittelpunkt, das Unternehmen nicht allein durch die Absicherung der eigenen Systeme beherrschen können. Wer etwa Logistik-, Cloud-, CRM- oder Supportanbieter einsetzt, muss Informationen mit Dritten teilen. Wird einer dieser Dienstleister angegriffen, können deshalb auch Daten des Auftraggebers betroffen sein.
Im konkreten Fall sollen keine Steam-Passwörter oder Kreditkartendaten abgeflossen sein. Stattdessen geht es um Kunden- und Bestelldaten wie Namen, Adressen, Telefonnummern, E-Mail-Adressen sowie Informationen zur bestellten Hardware. Das begrenzt zwar die unmittelbaren Folgen; harmlos sind solche Informationen deshalb jedoch nicht.
Echte Informationen machen Phishing glaubwürdig
Eine gewöhnliche Phishing-Nachricht muss zunächst eine plausible Geschichte konstruieren. Die Behauptung, ein Paket habe nicht zugestellt werden können und für einen erneuten Versand sei eine Gebühr fällig, erreicht schließlich auch Menschen, die gerade keine Lieferung erwarten.
Mit gestohlenen Kundendaten verändert sich die Ausgangslage. Kennt ein Angreifer den Namen, die Lieferadresse und die Tatsache, dass tatsächlich Steam-Hardware bestellt wurde, kann er diese Informationen gezielt einsetzen. Statt einer beliebigen Paketwarnung erhält das Opfer einen vermeintlichen Hinweis auf ein konkretes Problem mit seiner tatsächlichen Bestellung.
Die Nachricht enthält damit Informationen, die stimmen. Für den Empfänger stellt sich deshalb schnell die Frage: Woher sollte ein Betrüger wissen, dass ich gerade dieses Produkt bestellt habe? Das Vertrauen entsteht somit durch die Kombination echter Daten. Der ursprüngliche Datendiebstahl liefert die Grundlage für den nächsten Angriff.
KI erleichtert personalisierte Angriffe in großem Maßstab
Generative KI kann diese Entwicklung zusätzlich verschärfen. Große Datensätze lassen sich automatisiert auswerten und für individuelle Nachrichten verwenden.
So könnten Angreifer anhand des Landes die passende Sprache bestimmen, einen dort auch tatsächlich existierenden Paketdienst imitieren und Formulierungen an typische Versandbenachrichtigungen anpassen. Namen, Bestelldaten oder Lieferinformationen lassen sich gleichzeitig automatisiert integrieren.
Damit verliert ein bisher wichtiger Schutzmechanismus an Bedeutung: Phishing lässt sich nicht mehr zuverlässig an schlechtem Deutsch, auffälligen Übersetzungen oder unpersönlichen Massenmails erkennen. Sprachlich einwandfreie und kontextbezogene Nachrichten können inzwischen mit geringem Aufwand erzeugt werden.
Das Datenleck kann erst der Anfang sein
Aus einem Sicherheitsvorfall kann dadurch eine mehrstufige Angriffskette entstehen. Zunächst kompromittieren Kriminelle einen Dienstleister und gelangen an Kundendaten. Anschließend verwenden sie diese Informationen für personalisierte E-Mails oder SMS. Vertraut ein Empfänger der Nachricht und öffnet eine präparierte Website, können die Täter dort jene sensiblen Informationen abfragen, die beim ursprünglichen Angriff gar nicht erbeutet wurden.
Erst in diesem zweiten Schritt könnten beispielsweise Zugangsdaten oder Zahlungsinformationen kompromittiert werden.
Deshalb wäre es falsch, aus dem Steam-Fall abzuleiten, dass sich allein mit den entwendeten Daten automatisch Steam-Konten übernehmen ließen. Die eigentliche Gefahr liegt darin, dass echte Kundeninformationen einen Folgeangriff erheblich glaubwürdiger machen.
Unternehmen müssen auch Dienstleister berücksichtigen
Der Vorfall verdeutlicht, weshalb Informationssicherheit nicht an der eigenen Unternehmensgrenze enden darf. Externe Anbieter sind Bestandteil moderner Geschäftsprozesse – und damit auch Bestandteil der Angriffsfläche.
Unternehmen sollten deshalb wissen, welche Dienstleister Zugriff auf Daten erhalten, welche konkreten Informationen übermittelt werden und ob dieser Umfang tatsächlich erforderlich ist. Ebenso relevant sind Aufbewahrungsfristen, Sicherheitsmaßnahmen des Anbieters und klare Prozesse für den Fall eines Sicherheitsvorfalls.
Dabei gilt ein einfacher Grundsatz: Daten, die ein Dienstleister nicht besitzt, können bei ihm auch nicht gestohlen werden. Werden notwendige Informationen zudem nur so lange gespeichert, wie sie tatsächlich gebraucht werden, reduziert sich der mögliche Schaden.
Der Steam-Fall zeigt damit ein grundlegendes Problem moderner Cyberangriffe: Ein Datenleck ist nicht zwangsläufig der Abschluss eines Angriffs. Unter Umständen liefert es erst die Informationen, mit denen der wesentlich gefährlichere zweite Angriff möglich wird.
