Sicherheitsforscher machen derzeit auf eine gravierende Schwachstelle im Umgang mit digitalen Identitäten und Unternehmenskommunikation aufmerksam. Nach der Kündigung von E-Mail-Postfächern oder der Aufgabe von Domains entstehen oft gefährliche Datenlecks, da sensible Informationen weiterhin an diese nun ungenutzten Adressen gesendet werden. Experten warnen, dass unbefugte Dritte durch den gezielten Erwerb solcher Domains Zugriff auf vertrauliche Dokumente und interne Kommunikationsprozesse erhalten können.
Massiver Datenabfluss an generische Domains
Ein deutliches Beispiel für das Ausmaß dieser Problematik lieferte der Sicherheitsforscher Cory Solovewicz. Er erwarb die Domains @noreply.us und @noreply.net und konnte dadurch seit Dezember 2024 den Eingang von über 400.000 versehentlich gesendeten E-Mails dokumentieren. Viele dieser Nachrichten enthielten hochsensible Daten. Den Angaben des Forschers zufolge befanden sich in mehr als 28.000 der erhaltenen Nachrichten Anhänge, darunter zahlreiche PDF-Dokumente mit vertraulichen Inhalten.
Die Analyse der eingegangenen Nachrichten zeigt zudem die globale Dimension des Problems. Die E-Mails stammten von über 14.000 verschiedenen Absenderadressen, die wiederum auf 6.200 unterschiedlichen Domains registriert sind. Insgesamt erwarben Cory Solovewicz und sein Kollege Mike Sheward über 30 solcher Domains, um das Risiko durch fehlgeleitete elektronische Post systematisch zu untersuchen.
Einladungen zu Regierungsgesprächen durch Altdaten
Mike Sheward konzentrierte seine Untersuchungen unter anderem auf die Domain deleteduser.com. Nach dem Erwerb dieser Adresse erhielt er E-Mails von über 100 verschiedenen Unternehmen. Besonders brisant war dabei der Eingang einer Einladung zu einem Zoom-Meeting, die von einer britischen Regierungsbehörde versendet worden war. Solche Vorfälle verdeutlichen, dass selbst staatliche Stellen davor gefeit sind, sensible Kommunikationsdaten an falsche Empfänger zu übermitteln, wenn E-Mail-Adressen ehemaliger Mitarbeiter oder Nutzer gelöscht, aber in automatisierten Systemen nicht ordnungsgemäß bereinigt werden.
Wer sich mit dem Schutz sensibler Daten und digitalen Identitäten befasst, muss auch die rechtlichen Dokumentationspflichten im Blick behalten. Eine kostenlose Excel-Vorlage hilft Ihnen dabei, Ihr Verarbeitungsverzeichnis gemäß Art. 30 DSGVO rechtssicher und zeitsparend zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen
Ein wesentlicher Teil des Problems liegt in der technischen Konfiguration der Server. Cory Solovewicz scannte im Rahmen seiner Recherchen 7.136 Domains. Dabei stellte er fest, dass 328 dieser Domains als sogenannte Catch-All-Postfächer eingerichtet waren. Solche Konfigurationen nehmen jede E-Mail an, die an eine beliebige Adresse der Domain gesendet wird, unabhängig davon, ob das spezifische Postfach tatsächlich existiert. Dies begünstigt das unbemerkte Sammeln von Daten durch neue Domain-Besitzer massiv.
Fehlende Reaktion in der Wirtschaft
Trotz der deutlichen Warnungen und der direkten Konfrontation mit den Sicherheitslücken scheint die Bereitschaft zur Nachbesserung in vielen Organisationen gering zu sein. Die Sicherheitsforscher berichten, dass zahlreiche Unternehmen ihre Konfigurationen oft nicht ändern, nachdem sie explizit auf die bestehende Fehlkonfiguration und das damit verbundene Datenschutzrisiko hingewiesen wurden.
Die unbemerkte Weitergabe von Informationen an Dritte stellt ein erhebliches Risiko für die Compliance dar und kann bei Prüfungen auffallen. Erfahren Sie in diesem kostenlosen Ratgeber, welche häufig übersehenen Pflichtfelder im Verarbeitungsverzeichnis existieren, um Bußgelder proaktiv zu vermeiden. Experten-Anleitung zum rechtssicheren Verarbeitungsverzeichnis sichern
Das Risiko besteht primär darin, dass automatisierte Systeme weiterhin Benachrichtigungen, Rechnungen oder Login-Informationen an Adressen senden, die längst nicht mehr unter der Kontrolle der ursprünglichen Organisation stehen. Experten raten Unternehmen daher dringend dazu, ihre Adresslisten regelmäßig zu bereinigen und bei der Stilllegung von Domains sicherzustellen, dass keine kritischen Prozesse mehr mit den betroffenen E-Mail-Adressen verknüpft sind.
