CSDD-Datenleck in Lettland: so entgehen Sie den falschen Bußgeldern

Am Wochenende wurde Lettlands Direktion für Verkehrssicherheit (CSDD, die Behörde für Kfz-Zulassung und Führerscheine) gehackt. Am 18. August wurde das Ausmaß klar: Die Angreifer zogen die Historie der Zahlungsbelege ab, die Daten von rund 1,2 Millionen Menschen und etwa 200.000 Firmen aus 18 Jahren. Logins und Passwörter blieben unberührt, eine Kontoaktion ist nicht nötig. Doch wegen der gestohlenen Daten kommt eine Welle gefälschter CSDD-Nachrichten, und darauf lohnt sich Vorbereitung.

Was abfloss und warum es gefährlich ist

In den Belegen standen ein Personencode oder eine Registriernummer, Name oder Firmenname, Betrag und Datum der Zahlung, das Kennzeichen und eine Adresse. Telefon und E-Mail waren nicht betroffen, die Adresse ist stellenweise unvollständig. Es wirkt wie ein langweiliges Zahlungsarchiv, für Betrüger ist es ein fertiges Drehbuch: Sie kennen Ihren Namen, Ihren Personencode, Ihr Auto am Kennzeichen und dass Sie an die CSDD gezahlt haben. Eine Nachricht mit Namen und Kennzeichen schlägt gewöhnlichen Spam.

CERT.LV warnte gesondert vor dem Personencode. In Lettland identifiziert er Sie in vielen Systemen, deshalb könnten Kriminelle sich unter Ihrem Code anmelden, und auf Ihrem Telefon landet eine Bestätigungsanfrage. Wenn Sie nichts angestoßen haben, bestätigen Sie sie nicht.

Welche Nachrichten und Anrufe kommen

Die Maschen drehen sich um Ihr Auto und Ihr Geld, denn das wissen sie. Wahrscheinliche Varianten:

• Gefälschtes Bußgeld. "Sie haben ein offenes Bußgeld, zahlen Sie über den Link bis zu diesem Datum, sonst Mahngebühren."
• Fahrzeug-Ummeldung. "Ihr Auto wird auf jemanden umgeschrieben. Wenn Sie das nicht sind, stornieren Sie dringend über den Link." Die Angst ums Auto lässt Sie hetzen.
• Jährliche Kfz-Steuer. "Ihre Jahressteuer ist fällig, zahlen Sie heute online über den Link mit Rabatt."
• Hauptuntersuchung oder Führerschein. "Ihre Prüfung läuft ab, buchen und zahlen Sie über den Link."
• Rückerstattung. "Die CSDD erstattet zu viel Gezahltes, geben Sie Ihre Kartendaten ein." So laufen Rückerstattungen nie.
• Anruf "von der CSDD". Man nennt Ihre echten Daten für Vertrauen und will einen SMS-Code oder einen Klick auf den Link.

So schützen Sie sich, Schritt für Schritt

1. Prüfen Sie jede Nachricht über Bußgeld, Steuer, Ummeldung oder Rückerstattung selbst auf e.csdd.lv oder in der CSDD-App. Nicht über einen Link, sondern per Adresse von Hand oder App. Die CSDD rät dasselbe.
2. Öffnen Sie keine Links in E-Mails oder SMS "von der CSDD" und geben Sie dort keine Kartendaten oder Codes ein. Ein echtes Bußgeld steht in Ihrem Konto; einen Link brauchen Sie nie.
3. Bestätigen Sie keine Anmeldung oder Signatur, wenn die Anfrage kommt, obwohl Sie nichts begonnen haben. Das gilt für Smart-ID, eParaksts und Bank-Push: Bestätigen auf fremde Bitte lässt einen Fremden herein.
4. Diktieren Sie keine Codes aus SMS oder Push, auch wenn der Anrufer Namen, Code und Kennzeichen kennt. Diese Daten haben jetzt viele, sie beweisen nicht, wer anruft.
5. Im Zweifel auflegen und die CSDD selbst anrufen, mit der Nummer von csdd.lv. Rufen Sie nie die Nummer aus einer verdächtigen Nachricht zurück.
6. Schalten Sie im Konto und in der Bank Benachrichtigungen zu Anmeldungen und Zahlungen ein. Dann sehen Sie eine echte Abbuchung zuerst, nicht aus fremder E-Mail.

Was getan wurde und was es nicht ungeschehen macht

Das CSDD-IT-Team und CERT.LV stoppten den Angriff, die Polizei ermittelt. Ersten Angaben nach war der Angriff geplant, die Schwachstelle ein aus dem Internet erreichbares System; ob die Vorgaben für solche Systeme erfüllt waren, darunter Penetrationstests und Mehr-Faktor-Authentifizierung, wird geprüft. Ein Missbrauch der Daten ist bislang nicht erkennbar. Doch sie bleiben für immer bei den Angreifern, daher sollte Vorsicht zur Gewohnheit werden, nicht auf eine Woche: Personencode, Name und Kennzeichen ändern sich nicht, und gefälschte Nachrichten darauf können noch in Monaten kommen.