CenterPoint Energy: Datenleck trifft über 1 Million Texaner

CenterPoint Energy hat bestätigt, dass bei einem Datenleck persönliche Informationen von mehr als 1 Million Menschen in Texas abgeflossen sind. Zu den offengelegten Daten gehören Namen, Adressen, Sozialversicherungsnummern und Führerscheinnummern.

Der Versorger mit Sitz in Houston hat die Zahl diese Woche an die Generalstaatsanwaltschaft von Texas gemeldet. Bei dieser Landesbehörde gehen Meldungen ein, wenn persönliche Daten von Einwohnern offengelegt werden. Laut dieser Meldung sind 1.062.060 Texaner betroffen.

Die neuen Zahlen kamen etwa einen Monat, nachdem CenterPoint Energy der US-Börsenaufsicht SEC (Securities and Exchange Commission) erstmals mitgeteilt hatte, dass Kundendaten aus seinen Systemen gestohlen worden waren. Börsennotierte Unternehmen in den USA müssen wesentliche Cybersicherheitsvorfälle der SEC melden.

Zuerst kam der Beitrag eines Hackers

Das Unternehmen hat den Einbruch nicht durch seine eigene Überwachung entdeckt. In seiner Meldung an die SEC erklärte CenterPoint Energy, es habe von dem Vorfall erfahren, nachdem ein Angreifer öffentlich darüber geschrieben hatte.

Wenige Tage vor der ersten Offenlegung durch den Versorger behauptete ein Hacker in einem bekannten Cybercrime-Forum, er habe fast 7,5 Millionen Nutzerdatensätze von CenterPoint Energy erbeutet. In seiner Meldung an die SEC erklärte das Unternehmen, dass nur ein Teil seiner Kunden betroffen sei und der Vorfall keine Auswirkungen auf den Betrieb gehabt habe.

Am 12. September stellte der Hacker ein 2,5 Gigabyte großes Archiv zum Download bereit, das angeblich Daten des Versorgers enthält. Die Datei scheint rund 3 Millionen Telefonnummern sowie weitere persönliche Informationen zu enthalten.

Was offengelegt wurde

Die Meldung an die Generalstaatsanwaltschaft von Texas nennt folgende Datenarten:

• Namen
• Adressen
• Sozialversicherungsnummern
• Führerscheinnummern

Sozialversicherungsnummern und Führerscheinnummern zusammen sind für Betrüger wertvoll. Mit ihnen lassen sich im Namen einer anderen Person Konten eröffnen, Kredite beantragen oder Identitätsprüfungen umgehen.

Offenbar hat CenterPoint Energy den Betroffenen noch keine Benachrichtigungsschreiben geschickt.

Das volle Ausmaß ist noch unklar

Die Zahl aus Texas ist womöglich nicht die endgültige. CenterPoint Energy beliefert auch Kunden in Indiana, Minnesota und Ohio mit Strom und Erdgas, und auch Menschen in diesen Bundesstaaten könnten betroffen sein.

Bislang wurde die Gesamtzahl der Opfer nicht veröffentlicht. Zudem klafft eine große Lücke zwischen der Behauptung des Hackers von fast 7,5 Millionen Datensätzen, den rund 3 Millionen Telefonnummern im geleakten Archiv und den gut 1 Million Texanern, die den Landesbehörden gemeldet wurden. SecurityWeek, das als Erstes über die Meldung in Texas berichtet hatte, erklärte, es habe das Unternehmen um Klarstellung zur Gesamtzahl der Betroffenen gebeten.

CenterPoint Energy ist nicht der einzige US-Versorger, der in letzter Zeit ein großes Datenleck gemeldet hat. Anfang dieses Monats wurden bei einem Einbruch bei Georgia Power und Alabama Power, die beide zu Southern Company gehören, 400.000 Kundenkonten offengelegt.

Unsere Einschätzung

Das unangenehmste Detail ist hier, wie CenterPoint Energy davon erfahren hat. Ein Versorger, der Kunden in mehreren Bundesstaaten beliefert, hat aus einem Beitrag in einem Cybercrime-Forum erfahren, dass seine Daten gestohlen wurden, und nicht durch seine eigenen Erkennungswerkzeuge. Dieses Muster wird zunehmend vertraut, und es legt nahe, dass Datendiebstahl einige Zeit unbemerkt bleiben kann, selbst bei Organisationen, die kritische Dienste betreiben.

Der Vorfall zeigt auch, dass ein Datenleck den Betrieb nicht stören muss, um ernsthaften Schaden anzurichten. Die Lichter blieben an, aber mehr als eine Million Menschen haben ihre Sozialversicherungs- und Führerscheinnummern jetzt in den Händen von Kriminellen. Zusammen mit den geleakten Telefonnummern könnten diese Daten gezieltes Phishing und Identitätsbetrug befeuern. Das passt zu einem breiteren Trend großer Datenlecks in Branchen, die sensible persönliche Daten vorhalten, etwa die Vorfälle im Gesundheitswesen bei iRhythm und Oracle Health.

Es lohnt sich zu beobachten, ob CenterPoint Energy ähnliche Meldungen in Indiana, Minnesota und Ohio einreicht und ob sich die endgültige Gesamtzahl der Behauptung des Hackers annähert. Auch der Zeitpunkt der Benachrichtigungsschreiben an die Opfer ist wichtig. Bis diese Schreiben eintreffen, wissen betroffene Kunden möglicherweise nicht, dass sie ihre Kreditauskunft sperren lassen oder auf verdächtige Nachrichten achten sollten.