SICHERHEIT - PRÜFUNG AUF EXPOSITION IN ÖFFENTLICHEN DATENLECKS

Sind Ihre dienstlichen Zugangsdaten
schon anderswo geleakt?

Datenlecks betreffen regelmäßig Drittanbieter - Berufsnetzwerke, Foren, SaaS-Anbieter - ohne jeglichen Zusammenhang mit Ihrem eigenen Informationssystem. Erscheint die dienstliche Adresse eines Mitarbeiters dort zusammen mit einem noch wiederverwendeten Passwort, steht die Tür offen. SYAGA Leak-Express prüft Ihre Exposition anhand anerkannter öffentlicher Quellen und begleitet Sie bei der Behebung.

33
DSGVO-Artikel (Meldung an die Behörde)
34
DSGVO-Artikel (Benachrichtigung der Betroffenen)
72
Stunden: indikative Meldefrist (Art. 33.1)
0
Für die Prüfung jemals angefordertes echtes Passwort

Das Risiko

Ein Leck bei einem Dritten kann zu Ihrem Problem werden, obwohl Ihr eigenes Informationssystem nie betroffen war

Datenlecks bei Drittanbietern sind häufig und liegen außerhalb Ihrer Kontrolle

Ein von Ihren Mitarbeitern genutzter Drittanbieterdienst (Berufsnetzwerk, SaaS-Tool, Forum) kann kompromittiert werden, ohne dass Ihr eigenes Informationssystem dafür verantwortlich ist. Die dort gespeicherten Zugangsdaten geraten dann in öffentlichen Umlauf.

🔑

Passwort-Wiederverwendung macht aus einem fremden Leck ein Einfallstor bei Ihnen

Wird ein anderswo offengelegtes Passwort auf einem dienstlichen Konto (E-Mail, VPN, Fernzugriff) wiederverwendet, muss der Angreifer es nur noch ausprobieren. Dies ist einer der am besten dokumentierten Kompromittierungswege.

🔍

Ohne Prüfung bleibt die Exposition bis zum Vorfall unsichtbar

Eine in einem alten Leck offengelegte dienstliche Adresse kann jahrelang unsichtbar bleiben, bis sie als Einfallstor für einen Credential-Stuffing-Angriff oder gezieltes Phishing dient.

🛡

Prüfen bedeutet niemals angreifen

Eine Expositionsprüfung bedeutet niemals, Ihre echten Passwörter gegen Ihre Live-Dienste zu testen: sie gleicht Ihre Adressen mit bereits öffentlich gemachten Leck-Daten ab, ohne jemals zu versuchen, sich in Ihrem Namen anzumelden.

Die Methode: Leak-Express

Eine von unseren Auditoren durchgeführte Prüfung, kein automatisierter Selbstbedienungsscan

1
Abgrenzung

Der zu prüfende Umfang

Sie teilen uns die zu prüfenden Domains und dienstlichen Adressen mit (Schlüsselkonten, Geschäftsführung, IT). Weitere Daten sind nicht erforderlich: Wir fragen niemals nach einem echten Passwort.

2
Prüfung

Abgleich mit öffentlichen Leck-Datenbanken

Jede Adresse wird mit bereits öffentlich gemachten Datenlecks abgeglichen, über anerkannte Referenzdienste wie Have I Been Pwned, ergänzt durch eine manuelle OSINT-Recherche in relevanten offenen Quellen.

3
Bewertung

Analyse jeder gefundenen Exposition

Für jede identifizierte Exposition: welcher Drittanbieterdienst das Leck verursacht hat, zu welchem Zeitpunkt, welche Art von Daten betroffen ist (nur E-Mail, Passwort, sonstige Daten) und welche Kritikalität für Ihre Organisation besteht.

4
Bericht und Behebung

Ein priorisierter Aktionsplan

Konkrete, priorisierte Empfehlungen: Rotation der betroffenen Zugangsdaten, Aktivierung von MFA, gezielte Sensibilisierung der betroffenen Mitarbeiter und Hinweise an Ihren Datenschutzbeauftragten, sofern der Kontext dies rechtfertigt.

5
Erneute Prüfung (optional)

Eine Exposition ist nie endgültig

Neue Lecks werden fortlaufend von Dritten außerhalb Ihrer Organisation veröffentlicht. Eine regelmäßige erneute Prüfung kann auf Angebotsbasis eingerichtet werden, im für Ihre Organisation passenden Rhythmus.

Das erhalten Sie

Ein bewerteter, belegter Bericht, ehrlich darüber, was noch von Ihrem Datenschutzbeauftragten oder CISO validiert werden muss

📝

Expositionsprüfbericht

Die Liste der geprüften Adressen und, für jede davon, die bekannten öffentlichen Lecks, in denen sie gegebenenfalls erscheint.

  • Konsultierte Quellen aufgeführt
  • Datum jedes identifizierten Lecks
  • Betroffener Datentyp (E-Mail/Passwort/sonstige)
  • Adressen ohne bekannte Exposition ebenfalls aufgeführt
📊

Bewertungsblatt je Exposition

Jedes Rohergebnis wird analysiert, nicht nur übernommen.

  • Ursprung und Kontext des fremden Lecks
  • Geschätzte Kritikalität
  • Bewertetes Risiko der Passwort-Wiederverwendung
  • Zugehörige Empfehlung

Priorisierter Behebungsplan

Konkrete, nach Dringlichkeit eingestufte Maßnahmen, keine Liste guter Vorsätze.

  • Rotation der betroffenen Zugangsdaten
  • MFA-Aktivierung auf betroffenen Konten
  • Gezielte Mitarbeitersensibilisierung
  • Nach Dringlichkeit eingestufte Maßnahmen
🚩

Hinweise für Ihren Datenschutzbeauftragten

Der Bericht hilft, die Situation zu bewerten, ohne je an Ihrer Stelle zu entscheiden.

  • Kontext DSGVO Art. 33/34 in Erinnerung gerufen
  • Hilfe bei der Einordnung (Verletzung Ihrer eigenen Systeme oder nicht)
  • Keine auferlegte Rechtsschlussfolgerung
  • Von Ihrem Datenschutzbeauftragten oder Juristen zu validieren
🔗

Quellen und Nachvollziehbarkeit

Jede Aussage ist belegt, nicht aus dem Gedächtnis behauptet.

  • Konsultierte öffentliche Datenbanken zitiert (z. B. Have I Been Pwned)
  • Dokumentierte OSINT-Methode
  • Kein Versuch, sich in Ihre Konten einzuloggen
  • Keine Daten außer den von Ihnen bereitgestellten
📄

Editierbares Dokument

Geliefert in einem editierbaren Format, wiederverwendbar durch Ihr Team.

  • Bereit zur Weitergabe an Ihren Datenschutzbeauftragten oder CISO
  • Wiederverwendbar für eine erneute Prüfung
  • Gleiche Struktur bei jeder Prüfung
  • Keine feste Formatierung vorgegeben

Verwendete Referenzen

Eine Methode, die auf Rechtstexten und anerkannten öffentlichen Quellen beruht, nicht auf hausinternen Interpretationen

33

DSGVO - Artikel 33

Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde unverzüglich und, wenn möglich, binnen 72 Stunden nach Bekanntwerden.

34

DSGVO - Artikel 34

Benachrichtigung der betroffenen Personen über die Verletzung, wenn diese voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat.

AN

ANSSI-Leitfaden - Grundlegende IT-Hygiene

Die IT-Hygienemaßnahmen der ANSSI (Authentifizierung, Kontoverwaltung, Sensibilisierung) strukturieren die Behebungsempfehlungen des Berichts.

OS

Öffentliche OSINT-Quellen

Die Prüfung stützt sich auf bereits öffentlich gemachte Leck-Daten, darunter Have I Been Pwned, ein weit verbreiteter Referenzdienst - niemals auf unbefugten Zugriff auf Ihre Konten.

Eine maßgeschneiderte Prüfung, ohne versteckten Preis

Der Umfang hängt von der Anzahl der zu prüfenden Adressen und Domains ab. Angebot nach einem ersten Gespräch erstellt.

Einmalige Prüfung

Eine erste Kontrolle Ihrer Exposition

Auf Anfrage
je nach Anzahl der zu prüfenden Adressen
  • Prüfung der bereitgestellten Adressen
  • Abgleich mit öffentlichen Leck-Datenbanken
  • Prüfbericht
  • Liste gefundener Expositionen, falls vorhanden
Angebot anfordern

Regelmäßige Überwachung

Mehrere Prüfungen im Zeitverlauf

Auf Anfrage
je nach gewünschter Häufigkeit
  • Alles aus Prüfung + Behebung +
  • Erneute Prüfung zum vereinbarten Termin
  • Verfolgung der Entwicklung der Exposition
  • Gemeinsamer methodischer Rahmen
Angebot anfordern

Eine Exposition ist nie endgültig

Neue Datenlecks werden fortlaufend veröffentlicht, durch Dritte, die vollständig außerhalb Ihrer Organisation stehen. Eine heute durchgeführte Prüfung garantiert nichts für morgen: Eine regelmäßige erneute Prüfung wird auf Angebotsbasis angeboten, im für Sie passenden Rhythmus.

Häufig gestellte Fragen

Was genau ist ein Datenleck?
Es handelt sich um eine Offenlegung von Daten (oft E-Mail/Passwort-Paare), die bei einem Drittanbieterdienst - einem Berufsnetzwerk, einem Forum, einem SaaS-Anbieter - infolge eines Sicherheitsvorfalls bei diesem Dritten entstanden ist, ohne direkten Zusammenhang mit Ihrem eigenen Informationssystem. Diese Daten zirkulieren anschließend öffentlich und können mit öffentlichen Referenzdatenbanken abgeglichen werden.
Bedeutet das, dass mein Unternehmen gehackt wurde?
Nicht zwingend. Eine gefundene Exposition bedeutet, dass eine dienstliche Adresse in einem bei einem Dritten entstandenen Leck erscheint. Dies wird nur dann zu einem Risiko für Ihre Organisation, wenn das zugehörige Passwort (oder ein ähnliches) noch auf einem Ihrer dienstlichen Konten verwendet wird. Unser Bericht hilft, diese Unterscheidung zu treffen, ohne sie je an Ihrer Stelle zu behaupten.
Testen Sie meine echten Passwörter?
Nein, niemals. Die Prüfung gleicht Ihre dienstlichen Adressen mit bereits öffentlich gemachten Datenlecks ab. Wir versuchen zu keinem Zeitpunkt, uns in Ihre Konten einzuloggen oder Ihre aktuellen Passwörter zu erraten: Das wäre unbefugter Zugriff, den wir nicht praktizieren.
Muss ich die Aufsichtsbehörde benachrichtigen, wenn eine Exposition gefunden wird?
Nicht automatisch. Die Meldepflicht (DSGVO, Art. 33) betrifft eine Datenschutzverletzung innerhalb Ihrer eigenen Verarbeitungssysteme. Eine in einem fremden Leck gefundene Exposition löst diese Pflicht nur aus, wenn sie tatsächlich zu einer Kompromittierung Ihrer eigenen Systeme geführt hat. Unser Bericht dokumentiert die Elemente, die Ihr Datenschutzbeauftragter oder Jurist zur Bewertung der Situation benötigt.
Ist das ein automatisiertes Selbstbedienungstool?
Heute noch nicht: Leak-Express ist eine von unseren Auditoren durchgeführte Dienstleistung, kein Selbstbedienungstool. Wir stützen uns auf anerkannte öffentliche Datenbanken (darunter Have I Been Pwned) sowie eine ergänzende manuelle Analyse, um jedes Ergebnis zu bewerten, statt Ihnen eine rohe Liste zu liefern.
Wie lange dauert eine Prüfung?
Das hängt von der Anzahl der zu prüfenden Adressen und Domains ab und wird im Angebot festgelegt, das nach unserem ersten Gespräch über Ihren Umfang erstellt wird.
Ersetzt diese Leistung eine Rechtsberatung oder ein vollständiges Sicherheitsaudit?
Nein. Leak-Express ist ein Begleitwerkzeug, das eine Exposition prüft und einen Behebungsweg dokumentiert; es stellt keine Rechtsberatung dar und ersetzt kein vollständiges Sicherheitsaudit Ihres Informationssystems. Fragen zu einer möglichen DSGVO-Meldepflicht müssen von Ihrem Datenschutzbeauftragten oder Juristen validiert werden.
Warum SYAGA beauftragen?
SYAGA CONSULTING führt seit 2009 IT-Sicherheitsaudits durch (EURL gegründet am 08.12.2009). Diese Expositionsprüfung folgt derselben methodischen Strenge wie unsere anderen Auditleistungen, mit einer strikten Regel: niemals unbefugter Zugriff, niemals ein echtes Passwort angefordert.

Bereit, Ihre Exposition zu prüfen?

Teilen Sie uns den Umfang mit (Domains, Schlüsseladressen), und wir melden uns mit einem individuellen Angebot bei Ihnen.

Meine kostenlose Diagnose starten

Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.

contact@syaga.eu Methode noch einmal ansehen