Datenschutzverletzung 2023

Zusammenfassung

Am Freitag, den 28.04.2023, hat ein unbekannter, unbefugter Eindringling sich Zugang zu unserem Webserver verschafft und im Namen der Drumfreaks eine nicht autorisierte Nachricht an unsere Schüler*innen und Interessent*innen verschickt.

Die Untersuchungen zu diesem Vorgang sind noch nicht vollständig abgeschlossen. Weitere Informationen werden hier auf dieser Seite unmittelbar nach Bekanntwerden zur Verfügung gestellt.

Die Nachricht mit dem Betreff „How to lose weight easily (and keep it off FOR GOOD)“ wurde um 11:38 Uhr von info@drumfreaks.de über den PHP-Mailer unseres Webservers verschickt.

Der Angreifer hatte u.a. Zugriff auf die folgenden datenschutzrelevanten Informationen:

• Bei Interessent*innen im Testmonat: Vorname und E-Mail Adresse.
• Bei Schüler*innen in unseren Kursen: Vorname, Nachname und E-Mail Adresse.
• Bei Buchkäufer*innen: Vorname, Nachname, Versandanschrift, E-Mail Adresse und ggfs. die bei PayPal verwendete E-Mail Adresse.

Was Du wissen musst

Sämtliche Passwörter für den Zugang zu drumfreaks.de liegen stets in verschlüsselter Form vor. Sie sind daher durch das unbefugte Eindringen nicht bekannt geworden.

Auf drumfreaks.de speichern wir zudem keine Kreditkarten-Daten und auch keine SEPA-Lastschriftdaten. Diese sensiblen Zahlungsinformationen werden ausschließlich auf den besonders gesicherten Servern unserer Zahlungsdienstleister aufbewahrt.

Bei PayPal-Zahlungen speichern wir lediglich die bei PayPal verwendete E-Mail Adresse im Profil der Käufer*innen, jedoch nicht das PayPal-Passwort, welches uns zu keinem Zeitpunkt der Bestellabwicklung bekannt ist.

Wie Du „echte“ E-Mails von den Drumfreaks erkennst

Zum aktuellen Zeitpunkt können wir leider nicht ausschließen, dass Deine Personendaten nicht für weitere Mailings mit dem Absender „info@drumfreaks.de“ verwendet werden. Daher hier ein paar kurze Aussagen, wie Du unsere „echten“ E-Mails erkennst:

• Die Drumfreaks machen in ihren E-Mails grundsätzlich keinerlei Werbung für andere Unternehmen und andere Produkte. Es geht immer ausschließlich um das Thema „Schlagzeug spielen“.
• Unsere E-Mails sind immer personalisiert, d.h. wir sprechen Dich stets mit Deinem Vornamen an.
• In unseren Nachrichten gibt es keine verschlüsselten oder andere „dubiose“ Links: wir nutzen ganz bewusst kein Link-Tracking, so dass Du immer sehen kannst, wo Dich der Link nach einem Klick hinführt. Das Link-Ziel ist immer eine Unterseite von drumfreaks.de.
• Wir verschicken unsere Nachrichten niemals anonym: Du wirst immer eine Grußformel von Markus und/oder Michael unter unseren Texten finden.
• In jeder unserer E-Mails findest Du ganz unten rechts einen funktionierenden Abmelde-Link, um Dich vom weiteren Bezug unserer E-Mails abzumelden.

Wenn Dir bei einer zukünftigen E-Mail von uns etwas seltsam vorkommen sollte, dann schicke eine Nachricht an info@drumfreaks.de und frage uns, ob wir die erhaltene E-Mail wirklich an Dich geschickt haben.

Was Du jetzt machen solltest

Die entwendeten Daten könnten zukünftig in ähnlichen SPAM-Mailings verwendet werden, daher hier ein paar schnelle Tipps für die betroffenen Schüler*innen und Interessent*innen:

• Bitte ändere für alle Online-Konten (insbesondere für E-Mail-Konten!) Deine Passwörter, wenn Du anderswo das gleiche Passwort wie für den Zugang zu drumfreaks.de verwendest.
• Sei stets vorsichtig bei E-Mails von unbekannten Absendern und klicke nicht auf Links oder Anhänge in solchen E-Mails.
• Verwende eine Zwei-Faktor-Authentifizierung, wo immer dies möglich ist.
• Halte Deine Antivirus-Software auf dem neuesten Stand.

Wir entschuldigen uns für die Unannehmlichkeiten und bedanken uns für Dein Verständnis.

Was wir nun machen

Wir bedauern diesen Vorfall zutiefst und arbeiten stets daran, die Sicherheit unserer Systeme zu verbessern.

In der kommenden Woche werden wir ein externes Sicherheitsunternehmen mit der genauen Analyse dieses Vorgangs beauftragen.

Hier sind einige Maßnahmen, die wir schon immer durchgeführt haben und die wir zukünftig auch weiter ergänzen und beobachten werden:

• Wir achten stets darauf, dass alle Software und Systeme auf dem neuesten Stand sind und die neuesten Sicherheitspatches und Updates installiert sind.
• Wir haben starke Passwortrichtlinien und Zwei-Faktor-Authentifizierung für alle Admin-Konten mit Zugriff auf sensible Daten implementiert.
• Wir sichern regelmäßig alle wichtigen Daten und speichern sie an einem sicheren Ort. Außerdem überwachen wir die Website- und Serverprotokolle auf verdächtige Aktivitäten oder unbefugte Zugriffsversuche.
• Wir führen zukünftig regelmäßige Sicherheitsaudits und Schwachstellenbewertungen durch, um potenzielle Schwachstellen im System zu identifizieren und zu beheben.
• Wir schulen die Mitarbeiter in den besten Praktiken der Cybersicherheit und wie man Phishing-Versuche oder andere verdächtige E-Mails erkennt und meldet.
• Wir beschränken den Zugriff auf sensible Daten nur auf die Mitarbeiter, die ihn zur Ausübung ihrer Aufgaben benötigen.

Bitte melde Dich bei uns, wenn Du auf drumfreaks.de auf einer Seite landest, wo Du vermutlich nicht sein solltest oder wenn Du eigentlich geschützte Bereiche der Website Dir ohne Anmeldung ansehen kannst.

Update (05.05.2023)

Die Untersuchungen dauern noch an. Am Donnerstag, den 04.05.2023, hat es einen erneuten SPAM-Versand gegeben.

Update (09.05.2023)

Am Dienstag, den 09.05.2023, kam es gegen Mitternacht zu einem weiteren SPAM-Versand. Aufgrund der in der Zwischenzeit vorgenommenen Änderungen wurden dieses Mal weit weniger Nachrichten an die Empfänger geschickt. Dennoch ist der Spuk noch nicht vorbei.