Die Entschuldigungs-E-Mail kommt absichtlich zu spät

Hier ist die Zahl, die euch ärgern sollte: In Verizons 2024 Data Breach Investigations Report brauchen Angreifer oft nur Minuten, um ein Postfach aufzubrechen, aber die Abwehr brauchte einen Median von 55 Tagen, nur um die Sicherheitslücken zu schließen, die ausgenutzt wurden. Fünfundfünfzig Tage. Fast zwei Monate lang offen, während die Papierarbeit aufgeholt wird. Und das ist, bevor jemand die E-Mail schreibt, die schließlich in eurem Postfach landen wird und mit „Wir nehmen euren Datenschutz ernst" beginnt.

Das tun sie nicht. Was sie ernst nehmen, ist das Gesetz.

Die meisten Leute gehen davon aus, dass die Benachrichtigung von Datenpannen nach einer Uhr läuft, die in Stunden gemessen wird, wie ein Feueralarm. Das ist nicht der Fall. Kaliforniens Datenschutzgesetz, Civil Code 1798.82 – der Urahn, nach dem die meisten anderen Staaten ihre eigenen Gesetze modellierten – verlangt Offenlegung „in der schnellstmöglichen Zeit und ohne unangemessene Verzögerung". Klingt dringend. Dann macht es Platz für „die legitimen Bedürfnisse der Strafverfolgung" und die Zeit, die benötigt wird, um „den Umfang der Datenpanne zu bestimmen und die angemessene Integrität" des Systems wiederherzustellen. Übersetzung: Solange ihr argumentieren könnt, dass ihr noch immer ermittelt, hat die Uhr nicht wirklich angefangen.

Bundesrechtliche Regeln sind außerhalb spezifischer Sektoren nicht viel strenger. Medizinische Datenpannen unter HIPAA geben betroffenen Organisationen bis zu 60 Tage Zeit. Die neuere SEC-Regel für börsennotierte Unternehmen verlangt Offenlegung innerhalb von vier Geschäftstagen – aber nur, nachdem das Unternehmen entschieden hat, dass der Vorfall „erheblich" ist, und diese Feststellung hat selbst keine feste Frist. Es sind Fristen bis zum Ende, und jede einzelne ist an einen Ermessensspielraum gebunden, den das betroffene Unternehmen treffen darf.

Die Verzögerung ist also nicht Inkompetenz. Sie ist Architektur.

Das zweite Indiz ist der Satz, den ihr in nahezu jeder Benachrichtigung sehen werdet: „Wir haben keine Hinweise darauf, dass eure Informationen missbräuchlich verwendet wurden." Lest das langsam. Das ist keine Aussage darüber, ob eure Daten sicher sind. Es ist eine Aussage darüber, was das Unternehmen gesucht hat und nicht gefunden hat. Das sind sehr unterschiedliche Dinge. Ein gestohlener Credential-Dump kann monatelang auf einem Forum liegen, gekauft werden, gegen ein Dutzend anderer Seiten getestet werden und ein Konto leeren, das nichts mit dem betroffenen Unternehmen zu tun hat – und keine dieser Aktivitäten erscheint in ihren Logs. „Keine Hinweise auf Missbrauch" ist das Unternehmens-Äquivalent zu „Ich habe niemanden sehen, es zu nehmen", gesagt von der Person, die in die andere Richtung schaute.

Bis die Benachrichtigung ankommt, sind eure E-Mail und euer Passwort eine ganze Saison lang auf dem freien Markt gewesen. Credential-Stuffing ist automatisiert und billig; die Listen werden ständig weiterverkauft und neu kombiniert. Der Brief über die Datenpanne ist ein historisches Dokument.

Deshalb solltet ihr die Entschuldigungs-E-Mail als Quittung behandeln, nicht als Warnung. Der Schutzmaßnahme ist bereits – oder nicht – Wochen zuvor nachgekommen worden. Die Dinge, die wirklich helfen, sind langweilig und warten nicht auf jemandes Rechtsabteilung: ein eindeutiges Passwort pro Seite, damit ein Leck nicht zu einem Dominoeffekt führt, ein Passwort-Manager, damit ihr das tatsächlich macht, und Zwei-Faktor-Authentifizierung mit einer App oder einem Hardware-Schlüssel statt SMS. Überprüft eure eigene Adresse gegen Have I Been Pwned, wann immer ihr neugierig seid, nicht wenn ein Unternehmen sich endlich dazu durchringt, euch zu sagen.

Und wenn die Benachrichtigung ankommt, widersteht der kostenlosen Kreditüberwachung, die sie als Friedensangebot locken. Das ist ein Jahr lang Überwachung eines Pferdes, das den Stall im Frühjahr verlassen hat. Der Schaden, falls es einen geben wird, läuft tendenziell auf einer schnelleren Uhr ab als auf der, die die Anwälte gestellt haben. Der Brief ist einfach nur die Papierarbeit aller, die sich endlich einigen.

Ablegen. Passwort ändern. Weitermachen. Das haben sie bereits getan.