Möglicher Salt-Datenabfluss: Das grösste Risiko beginnt erst danach
Salt meldet keine bekannte Eindringung in die eigenen Systeme, aber den Missbrauch eines Zugangs zu einem Nebensystem. Was bestätigt ist, was offenbleibt – und wie Kunden reagieren sollten.
Die bisher wichtigste Information zum möglichen Datenabfluss bei Salt ist zugleich die grösste Einschränkung: Der Fall ist noch nicht abschliessend geklärt. Der Telekomkonzern teilte Kundinnen und Kunden mit, er habe nach im Internet aufgetauchten Behauptungen keine Eindringung in seine eigenen Systeme festgestellt. Identifiziert worden sei jedoch der Missbrauch eines bestehenden Zugangs zu einem Nebensystem.
Damit ist weder bewiesen, dass sämtliche behaupteten Datensätze echt sind, noch ist der Vorfall harmlos. Nach den bisher bekannten Angaben könnten Namen, Postadressen, Telefonnummern und Geburtsdaten betroffen sein. Wie viele Personen es betrifft, wer das Nebensystem betreibt, wie lange der Zugang missbraucht wurde und ob Daten tatsächlich vollständig abgeflossen sind, ist öffentlich noch offen.
Warum «nur Stammdaten» nicht beruhigt
Die genannten Angaben sind keine Passwörter. Sie können aber Betrugsversuche glaubwürdiger machen. Wer Name, Wohnadresse, Telefonnummer und Geburtsdatum kennt, kann eine Nachricht so formulieren, dass sie wie eine echte Salt-Mitteilung, eine Paketbenachrichtigung oder ein Anruf einer Bank wirkt. Das Bundesamt für Cybersicherheit warnt, dass gestohlene persönliche Angaben noch Jahre später für Phishing, Kontoübernahmen, Identitätsmissbrauch oder finanziellen Betrug eingesetzt werden können.
Das konkrete Risiko liegt deshalb weniger in einer sofortigen Abbuchung als in der Kombination: Eine bekannte Telefonnummer erleichtert Smishing per SMS, ein Geburtsdatum kann in schlecht geschützten Prüfprozessen missbraucht werden, eine korrekte Adresse erhöht die Glaubwürdigkeit. Daraus folgt nicht, dass ein solcher Missbrauch bei Salt bereits beobachtet wurde. Es erklärt aber, weshalb Betroffene in den kommenden Monaten besonders aufmerksam sein sollten.
Was Kundinnen und Kunden jetzt tun sollten
Unerwartete Nachrichten sollten nicht über den mitgesendeten Link geöffnet werden. Wer eine Rechnung, eine Sperrandrohung oder eine Aufforderung zur «Verifizierung» erhält, ruft das Kundenkonto über die selbst eingegebene Adresse salt.ch oder die offizielle App auf. Codes aus SMS oder Authenticator-Apps gehören nie in einen Chat und nie an einen angeblichen Support-Mitarbeiter.
Ein vorsorglicher Passwortwechsel ist besonders dann sinnvoll, wenn dasselbe Passwort bei mehreren Diensten verwendet wird. Für das E-Mail-Konto ist ein einzigartiges Passwort mit Zwei-Faktor-Authentifizierung zentral, weil darüber viele andere Konten zurückgesetzt werden können. Kundinnen und Kunden sollten zudem Salt-Rechnungen und Mitteilungen über Änderungen an SIM oder eSIM kontrollieren. Bei einem unerwarteten Netzausfall oder einer unbekannten SIM-Aktivierung ist der Anbieter direkt über einen offiziellen Kanal zu kontaktieren.
Wer bereits Bank- oder Kreditkartendaten auf einer verlinkten Seite eingegeben hat, muss unverzüglich das Finanzinstitut kontaktieren. Verdächtige Nachrichten können dem Bundesamt für Cybersicherheit gemeldet werden. Eine Anzeige bei der Polizei ist angezeigt, wenn ein finanzieller Schaden oder ein konkreter Identitätsmissbrauch entstanden ist.
Welche Pflichten das Datenschutzgesetz setzt
Das Schweizer Datenschutzgesetz unterscheidet zwischen einer Sicherheitsverletzung und ihrer Meldepflicht. Verantwortliche müssen eine Verletzung dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch wie möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt. Ein beauftragter Dienstleister muss einen Vorfall seinerseits dem verantwortlichen Unternehmen möglichst rasch melden.
Betroffene Personen müssen informiert werden, wenn dies zu ihrem Schutz erforderlich ist oder der Datenschutzbeauftragte es verlangt. Ob die Schwelle eines «hohen Risikos» erreicht ist, hängt nicht nur von der Zahl der Datensätze ab, sondern auch von Art, Kombination, möglichem Missbrauch und den getroffenen Schutzmassnahmen. Aus der Kundeninformation allein lässt sich nicht ableiten, ob Salt eine Meldung an den EDÖB eingereicht hat.
Die offenen Fragen sind überprüfbar
Für eine belastbare Aufarbeitung braucht es mehr als die Formel «Nebensystem». Salt sollte offenlegen, welche Kategorien von Daten tatsächlich betroffen waren, wie viele Personen benachrichtigt wurden, ob ein externer Auftragsbearbeiter beteiligt war und welche Zugangsrechte geändert wurden. Ebenso relevant ist, ob die fraglichen Daten im Netz nur behauptet oder technisch verifiziert wurden.
Bis diese Punkte beantwortet sind, wäre es falsch, von einem bestätigten Einbruch in die Salt-Kernsysteme zu sprechen. Ebenso falsch wäre es, Stammdaten als belanglos abzutun. Der vernünftige Mittelweg ist nüchtern: keine Panik, keine ungeprüften Links – und erhöhte Aufmerksamkeit, gerade wenn eine Nachricht erstaunlich viele persönliche Details kennt.
