Post #3781505

RE: https://infosec.exchange/@adfichter/116911480302071578 Ein Unternehmen kann gehackt werden, sowas kann passieren und das alleine wäre fast schon keine Schlagzeile mehr wert. Die Frage ist: wie geht das Unternehmen mit einem solchen Vorfall um? Und damit kommen wir zum eigentlichen Problem: Die NZZ informierte ihre aktuellen Angestellten und alle diejenigen Ex-Mitarbeiter:innen, deren Pass oder Bankkopien ebenfalls in Datenablagen enthalten waren. Doch die knapp 4000 ehemaligen Mitarbeitenden haben bis heute nicht offiziell davon erfahren. Der grösste Teil der geleakten Informationen drehte sich zudem um Löhne, Pensionskassen, Postadressen, E-Mailadressen und Sozialversicherungsinformationen. Aber auch wie bereits erwähnt: Streitprotokolle, Arztzeugnisse, rechtliche Auseinandersetzungen, intime E-Mails. Alles Material, das kompromittierend sein kann für einen grossen Teil. Das für Phishing-Attacken verwendet werden kann (dazu später mehr). Und worauf man sich wappnen und vorbereitet sein muss – vorausgesetzt, man erfährt überhaupt davon. (...) Alle Ex-Kolleg:innen, die sich bei mir gemeldet haben, gehen BIS HEUTE trotz Berichterstattung über den Hack und die Information auf der Website NIE davon aus, dass SIE MITGEMEINT SIND. Sie haben mich NACH meinem Artikel bei der republik.ch kontaktiert. Die NZZ hätte in ihrem Fall zudem aufgrund die in ihren Personalakten verfügbaren Kontaktinformationen versuchen können, jenes ehemalige Personal zu erreichen. Und nochmals: es geht um Personalakten, rechtliche Streitigkeiten, Sitzungsprotokolle, Gesundheitsinformationen die bis ins Jahr 2006 zurückreichen. Gut möglich würde das Bundesverwaltungsgericht ähnlich entscheiden im Fall der NZZ (hätte ich diesen Fall weitergezogen). Und würde verpflichten, nochmals eine klare Information auf der Website der NZZ Mediengruppe, eine Medienmitteilung und ein eigener Artikel (nicht hinter der Paywall), in der explizit die Betroffenheit der insgesamt fast 4000 Mitarbeitenden adressiert worden wäre, zu publizieren. Zumindest der Versuch, an die letzte bekannte Mail- und Postadresse eine Information zu versenden, hätte doch wohl einen Grossteil der effektiv Betroffenen erreicht.