Datenleck bei Floridas Studienförderung trifft bis zu 4,9 Millionen Menschen

Das Bildungsministerium von Florida meldet, dass Unbefugte in die Website des Bundesstaates für studentische Finanzhilfe eingedrungen sind. Betroffen sein könnten Daten von rund 4,9 Millionen Menschen, darunter Sozialversicherungsnummern. Von dem „unbefugten kriminellen Zugriff“ erfuhren die Mitarbeiter am 19. Oktober, öffentlich machte das Ministerium ihn am 29. Oktober. Betroffen ist die Website FloridaStudentFinancialAidSG.org.

Was das Ministerium bestätigt

In seinen FAQ schreibt das Ministerium, kompromittiert worden seien „personenbezogene Daten einschließlich der Sozialversicherungsnummer“. Weitere Felder wie Namen, Geburtsdaten oder Bankdaten nennt es nicht. Offen bleibt auch, wie die Angreifer eindrangen und ob sich jemand zu dem Angriff bekannt hat. Die Zahl von 4,9 Millionen ist vorsichtig formuliert: Der Vorfall „könnte ungefähr“ so viele Menschen betroffen haben, und nach bisherigem Stand beschränkt er sich auf die Finanzhilfe-Website.

Nach Angaben des Ministeriums wurde der Zugriff gestoppt, der Vorfall eingedämmt und die Systeme gesichert. Es hat die Generalstaatsanwaltschaft von Florida informiert und arbeitet mit dem Florida Digital Service und der Strafverfolgungsbehörde des Bundesstaates zusammen. Es laufen strafrechtliche Ermittlungen. Einige Websites und Online-Dienste des Ministeriums können vorübergehend gestört sein.

Laut FAQ ist die laufende Finanzhilfe nicht gefährdet. Auszahlungen und Studiengebühren verzögern sich nicht, und der Anspruch auf Stipendien, Zuschüsse oder Studienkredite bleibt unverändert.

Benachrichtigungen binnen 30 Tagen

Floridas Gesetz über Datenpannen, Abschnitt 501.171, gilt auch für Behörden. Es verlangt, jede betroffene Person spätestens 30 Tage nach Feststellung der Panne zu benachrichtigen, sofern die Strafverfolgung keinen Aufschub verlangt. Ab dem 19. Oktober gerechnet ist das Mitte November. Da mehr als 1.000 Menschen betroffen sind, muss das Ministerium auch die landesweiten Auskunfteien informieren.

Eine kostenlose Bonitätsüberwachung, wie Unternehmen sie nach Lecks von Sozialversicherungsnummern oft anbieten, hat das Ministerium bisher nicht angekündigt. Es verweist stattdessen auf kostenlose Kreditberichte und die Telefonnummern der drei Auskunfteien.

Was Nutzer der Website tun sollten

Wer in Florida staatliche Studienförderung beantragt hat oder dessen Kind das getan hat, sollte bis zu einer Benachrichtigung davon ausgehen, dass die eigene Sozialversicherungsnummer betroffen sein könnte. Die folgenden Schritte beruhen auf den Hinweisen des Ministeriums und der US-Handelsbehörde FTC:

• Lassen Sie Ihre Kreditakte bei Equifax, Experian und TransUnion sperren (Credit Freeze). Das ist kostenlos und hindert Identitätsdiebe daran, auf Ihren Namen neue Konten zu eröffnen. Eltern können auch die Akte ihres Kindes sperren lassen.
• Rufen Sie Ihre kostenlosen Kreditberichte auf AnnualCreditReport.com ab und suchen Sie nach Konten, die Sie nicht eröffnet haben.
• Prüfen Sie Bank- und Kartenauszüge und schalten Sie Transaktionsbenachrichtigungen ein.
• Seien Sie bei E-Mails, SMS und Anrufen zu dem Vorfall misstrauisch: Betrüger geben sich oft als die betroffene Organisation aus. Der einzige vom Ministerium genannte Kontakt ist [email protected], Neuigkeiten erscheinen auf fldoe.org/databreach.
• Melden Sie Betrug auf IdentityTheft.gov, der Hilfeseite der FTC.

Eine Sozialversicherungsnummer lässt sich nicht wie ein Passwort ändern, deshalb ist die Sperre der wichtigste Schutz. Sie bleibt bestehen, bis man sie aufhebt, und lässt sich auch vorübergehend lösen, etwa für einen Kreditantrag oder ein neues Konto.