Equifax-Katastrophe: Was schiefgelaufen ist – und warum sie uns heute noch betrifft

Der Equifax-Albtraum: Was schiefgelaufen ist – und warum es uns immer noch angeht

Der Equifax-Hack von 2017 war ein Schlag ins Gesicht der Branche. Ein Jahr später enthüllte die offizielle Untersuchung noch üblere Details. Ich erkläre euch das Desaster Schritt für Schritt. Denn die Lehren gelten heute mehr denn je – egal, ob ihr ein Riesenunternehmen leitet oder eure eigenen Daten schützt.

Wie groß war der Schaden wirklich?

147 Millionen Betroffene – fast die Hälfte aller US-Bürger. Ihre Sozialversicherungsnummern, Geburtsdaten, Adressen und Finanzinfos waren weg. Schlimmer noch: Das war kein genialer Angriff aus dem Nichts. Equifax hatte eine Kette von Fehlern gemacht, die jeder hätte vermeiden können.

Die Kette der Missgeschicke: Alles vermeidbar

Die Lücke war bekannt – aber ignoriert

Am 10. März 2017 entdeckten Hacker eine Schwachstelle in Apache Struts, einem gängigen Framework. Die Lücke war erst zwei Tage alt. Equifax warnte intern per Memo. Doch die Liste der Admins war veraltet – die Falschen bekamen die Mail. Wie eine Feuermeldung an eine tote Nummer.

Ihre Scanner-Tools, die das hätten fangen sollen, versagten ebenfalls. Falsch eingestellt oder veraltet. Für ein Kreditbüro mit sensiblen Millionen-Daten? Unentschuldbar.

Zwei Monate Wartezeit für den Zugriff

Die Hacker warteten nach der Entdeckung zwei Monate. Dann drangen sie in drei Datenbanken ein, die mit dem Streitportal zu tun hatten. Von da aus zogen sie durchs Netz – wie durch ein offenes Hotel.

Grund: Keine Netzwerksegmentierung. Systeme waren nicht getrennt. Ein Einbruch in einem Bereich öffnete alles. Stellt euch ein Haus ohne Innentüren vor.

Passwörter offen daliegen

Drinnen fanden die Hacker Passwörter im Klartext. Keine Verschlüsselung, einfach lesbar. Damit knackten sie weitere Datenbanken. Über 76 Tage holten sie mit 9.000 Abfragen Daten ab – in kleinen Portionen, um unauffällig zu bleiben. Von drei auf 51 Datenbanken. Alles wegen lahmer Passwort-Pflege.

Das Alarmsystem, das schlief

Equifax hatte ein Intrusion-Detection-System (IDS). Das sollte verdächtige Aktivitäten melden: Ungewöhnliche Serverzugriffe, Massenabfragen, Datenklau. Aber es schwieg.

Warum? Das Zertifikat war abgelaufen. Das System war monatelang offline. Hacker schaufelten Daten, während der Wächter pennte. Nach Erneuerung dauerte es einen Tag, bis es anschlug. Hätte es gepasst, wäre alles früher raus.

So wurden sie erwischt

Kein smarter Detektor fand den Einbruch. Erst die Zertifikat-Erneuerung weckte das IDS. Am 2. August 2017 riefen sie das FBI – 76 Tage zu spät.

Glück im Unglück: Die Hacker löschten keine Logs. Forscher konnten jeden Schritt nachverfolgen. Ohne Logs? Vielleicht nie die volle Wahrheit.

Was Equifax "repariert" haben will – und warum misstrauen?

Equifax versprach Besserung:

• Ständige Netzwerküberwachung
• Bessere Schutztools gegen Fehlkonfigs
• Neuen Patch-Prozess mit Checks
• Echte Segmentierung
• Weniger Server-Zugriffe
• Schulungen für Bosse

Das alles hätten sie von Anfang an haben müssen. Wie ein Dieb, der nach dem Raub erst Schlösser nachrüstet – bei sensiblen Millionen-Daten.

Die harte Wahrheit: Hätte nie passieren dürfen

Das Frustrierende: Jeder Schritt war blockierbar.

• Patch in Tagen, nicht Monaten
• Segmentierung hätte es eingedämmt
• Verschlüsselte Passwörter stoppten Eskalation
• Frisches Zertifikat hätte Alarm geschlagen
• Richtige Infos an die Admins

Kein High-Tech nötig. Nur Basics, die die Branche ewig kennt.

Was ihr tun könnt

Für Netzwerk- oder Daten-Manager:

1. Patches sofort – Bei kritischer Lücke nicht auf "Dienstag" warten.

2. Netz segmentieren – Rechnet mit Eindringlingen. Macht Bewegen schwer.

3. Keine Klartext-Passwörter – Verschlüsseln oder meiden. Manager oder Services nutzen.

4. Tools pflegen – Zertifikate, Keys, Monitore frisch halten. Automatisieren!

5. Risiken nach oben melden – Chefs müssen kapieren. Nicht nur IT-Sache.

6. Notfallplan haben – Im Voraus üben.

Privatleute: Nehmt Kredit-Überwachung, friert Konten ein, traut keinem Anrufer mit Perso-Fragen. Scammer melken Equifax noch Jahre.

Fazit

Equifax war pure Fahrlässigkeit: Ignoranz pur. Genialer Hacker? Unnötig. Basics reichen für Katastrophen.

Dass ausgerechnet ein Daten-Riese wie Equifax stolperte, mahnt alle. Wer Basics ernst nimmt, schafft's. Punkt.

Tags: ['data breach', 'cybersecurity', 'equifax', 'network security', 'data protection', 'password security', 'incident response', 'compliance']