Im vergangenen Jahr warnte die Global Privacy Assembly (GPA), ein Zusammenschluss von mehr als 130 Regulierungs- und Aufsichtsbehörden für Datenschutz und Privatsphäre, davor, dass Credential Stuffing durch Bots ein globales Risiko für den Datenschutz darstellt und Organisationen verpflichtet sind, angemessene Maßnahmen zu dessen Verhinderung zu ergreifen. Nun hat die International Enforcement Cooperation Working Group (IEWG) der GPA eine gemeinsame Erklärung veröffentlicht, in der sie darauf hinweist, dass Social-Media-Unternehmen und andere Websites dafür verantwortlich sind, die personenbezogenen Daten von Einzelpersonen vor unrechtmäßigem Data Scraping zu schützen.
Was ist Data Scraping?
Data Scraping bezeichnet die automatisierte Extraktion von Daten aus Web- und mobilen Anwendungen. Scraper extrahieren Daten aus vielen Gründen – von der Erlangung eines Wettbewerbsvorteils bis hin zur Zusammenführung von Daten für Preisvergleiche. Unternehmen versuchen häufig, Scraping zu verhindern, weil sie nicht möchten, dass Wettbewerber Zugriff auf ihre Preis- oder Bestandsdaten erhalten, oder weil das hohe Volumen des Scraping-Datenverkehrs die Anwendungsleistung beeinträchtigt. In vielen Fällen kann der Scraping-Datenverkehr mehr als 95 % des gesamten Datenverkehrs ausmachen und Anwendungen verlangsamen oder sogar zum Absturz bringen.
Wie gefährdet Data Scraping den Datenschutz?
Datenschutzvorschriften sollen die Datenschutzrechte von Einzelpersonen schützen und ihnen die Entscheidung darüber ermöglichen, wer ihre Daten zu welchem Zweck und wie lange nutzen darf. Wenn Nutzer Daten in sozialen Medien teilen, gehen sie davon aus, dass diese nur von einem bestimmten Personenkreis eingesehen werden, wie es in den Datenschutzeinstellungen und -richtlinien der App festgelegt ist. Werden diese Daten ohne ihr Wissen ausgelesen, verlieren die Betroffenen die Kontrolle über ihre personenbezogenen Daten, da die Datensammler sie möglicherweise für andere als die ursprünglich vorgesehenen Zwecke verwenden.
Das Auslesen von Daten verstößt außerdem gegen das Recht von Personen, die Löschung oder Berichtigung ihrer personenbezogenen Daten zu verlangen. Sobald die Daten ausgelesen wurden, können die Betreiber des Scrapers sie weiterhin verwenden und weitergeben, selbst wenn der Urheber die Daten von der Social-Media-Plattform löscht.
Dieser Kontrollverlust über personenbezogene Daten setzt Einzelpersonen laut der gemeinsamen Erklärung der GPA in mehrfacher Hinsicht Risiken aus. Kriminelle können diese Daten für Social Engineering, gezieltes Phishing und Identitätsbetrug nutzen. Die Daten können es Kriminellen ermöglichen, Profile von Personen zu erstellen, um Autorisierungssysteme zu umgehen. Und unseriöse Marketingfachleute können die Daten für Direktmarketing und Spam verwenden.
Stellt dies ein Compliance-Risiko für Unternehmen dar?
Laut der gemeinsamen Erklärung der GPA unterliegen personenbezogene Daten auch dann den Datenschutzgesetzen, wenn sie im Internet öffentlich zugänglich sind. Das bedeutet, dass das massenhafte Auslesen personenbezogener Daten in vielen Rechtsordnungen eine meldepflichtige Datenschutzverletzung darstellen kann.
In der gemeinsamen Erklärung werden Maßnahmen zur Verhinderung von Daten-Scraping empfohlen, die in vielen Rechtsordnungen gesetzlich vorgeschrieben sind und „von Gerichten und Datenschutzbehörden entsprechend ausgelegt werden können“.
Was empfiehlt die GPA?
Um die mit Data Scraping verbundenen Datenschutzrisiken zu mindern, empfiehlt die GPA mehrstufige technische und organisatorische Maßnahmen. Zunächst sollte ein eigens dafür zuständiges Team eingerichtet werden, das die Maßnahmen umsetzt und ihre Wirksamkeit überwacht. Weitere Maßnahmen umfassen die Begrenzung der Zugriffsrate für Nutzer, die Überwachung einer schnellen Verknüpfung innerhalb des sozialen Netzwerks, rechtliche Schritte gegen Data Scraper, um die Löschung der Daten sicherzustellen, sowie die Benachrichtigung betroffener Personen und der Aufsichtsbehörden über Scraping-Aktivitäten, die eine Datenschutzverletzung darstellen.
Als Bestandteil der mehrschichtigen Schutzmaßnahmen empfiehlt die GPA außerdem, gegen Bots vorzugehen, die Daten auslesen. In der gemeinsamen Erklärung werden insbesondere CAPTCHA und die Begrenzung der Anfragerate pro IP-Adresse genannt. Organisationen, die einen wirksamen mehrschichtigen Schutz anstreben, sollten Bot-Management-Lösungen in Betracht ziehen, die Signale erfassen und KI einsetzen, um fortschrittliche Bots abzuwehren, die CAPTCHA und die Begrenzung der Anfragerate pro IP-Adresse umgehen.
Was hat sich verändert, sodass diese Bedrohung nun besorgniserregender ist?
Betrachtet man Data Scraping vor dem Hintergrund der jüngsten Entwicklungen im Bereich Phishing, wird die Bedrohung für die Privatsphäre des Einzelnen noch alarmierender. Anbieter von Phishing-as-a-Service (PhaaS) stellen komplette Toolsets für die Durchführung von Phishing-Angriffen bereit, darunter E-Mail-Vorlagen, authentisch wirkende gefälschte Websites, Kontaktdaten potenzieller Ziele, detaillierte Anleitungen und Kundensupport. Dadurch wird Phishing selbst für Angreifer mit geringen technischen Kenntnissen effektiver. Darüber hinaus ist Phishing zum wichtigsten Mittel geworden, um MFA zu umgehen. Dabei kommen Echtzeit-Phishing-Proxys zum Einsatz, die Benutzer dazu verleiten, Einmalpasswörter in von Angreifern kontrollierte Apps einzugeben. (Siehe den Bericht von F5 Labs darüber, wie Phishing MFA unwirksam macht.)
Wir müssen damit rechnen, dass Phishing durch den Einsatz großer Sprachmodelle immer effektiver wird. Berichte über neue Angriffstools, die im Darknet zum Verkauf angeboten werden, darunter WormGPT und FraudGPT, deuten darauf hin, dass Kriminelle begonnen haben, generative KI für böswillige Zwecke wie Phishing einzusetzen. Diese Tools werden mit ziemlicher Sicherheit davon profitieren, aus mehreren Apps abgeschöpfte personenbezogene Daten zu verarbeiten, um wirkungsvolle, personalisierte Phishing-Nachrichten zu erstellen – eine Entwicklung, die zur Automatisierung von Spear-Phishing führen könnte.
Warum sollte uns das interessieren?
Daten-Scraping und andere Formen böswilliger Automatisierung wie Credential Stuffing bergen die Gefahr, dass unsere Daten in die Hände von Kriminellen gelangen. Diese können die Daten zusammenführen und sie im Rahmen von Social-Engineering-Maschen und Phishing-Angriffen gegen uns einsetzen, was zu Finanzbetrug und anderen Schäden führen kann. Die GPA leistet einen wichtigen Dienst für die Öffentlichkeit, indem sie diese Warnungen ausspricht und Organisationen für die schädlichen Folgen sensibilisiert, die entstehen, wenn Bots unsere personenbezogenen Daten auslesen dürfen. Weitere Informationen dazu, wie F5 Sie beim Schutz vor Daten-Scraping und beim Datenschutz unterstützen kann, finden Sie unter www.f5.com/go/solution/scraping.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...