Das Datenleck DGFiP hat in Frankreich für erheblichen Wirbel gesorgt: Nach Angaben der Directorate General of Public Finances (DGFiP) wurden Informationen von rund 680.000 Personen kompromittiert. Die Steuerverwaltung spricht von einem Vorfall, der zunächst im Sommer entdeckt und später genauer eingeordnet wurde.
Im Mittelpunkt steht ein unbefugter Zugriff auf interne Systeme der Behörde. DGFiP erklärt, dass der Angriff nach Entdeckung sofort gestoppt wurde – die eigentliche Dimension des Datendiebstahls wurde jedoch erst zu einem späteren Zeitpunkt klar.
Wie das Datenleck DGFiP bekannt wurde
Der Vorfall kam öffentlich in einer Phase ans Licht, in der ein Angreifer auf einem Hacker-Forum von einem Zugriff auf DGFiP-Systeme berichtet haben soll. In diesem Umfeld sei außerdem behauptet worden, dass Daten aus dem internen Umfeld exfiltriert wurden.
DGFiP bestätigte anschließend, dass die Systeme im Zeitraum Juni und Juli angegriffen wurden. Der unautorisierte Zugriff sei beim Erkennen umgehend unterbrochen worden. Zu diesem Zeitpunkt habe die Behörde aber noch keinen eindeutigen Nachweis für einen Datendiebstahl gefunden.
Zugriff über kompromittierte Konten
Eine wichtige Erkenntnis folgte später: DGFiP führt den Zugriff darauf zurück, dass kompromittierte Zugangsdaten für einen Mitarbeitenden sowie für ein Drittanbieter-Konto eingesetzt wurden. Erst damit sei die Unbefugtheit in der beschriebenen Form möglich gewesen.
Letzte Woche teilte die Behörde mit, dass die Angreifer auf diese Weise Informationen von 678.000 Nutzern erbeutet hätten. Damit liegt die Zahl sehr nah an der zunächst genannten Größenordnung von rund 680.000 Betroffenen.
Welche Daten beim Datenleck DGFiP betroffen waren
Nach Angaben der Steuerverwaltung wurden insbesondere personenbezogene und finanzbezogene Informationen kompromittiert. Dazu gehören:
- Referenzeinkünfte aus der Steuer
- Steuersatzabzüge (Quellensteuer- bzw. withholding-tax rate)
- Unternehmensnamen und eindeutige Kennungen
- kadastrale Daten zu Immobilien, einschließlich Adresse und Flächenangaben
Die Behörde betont zugleich, dass keine weiteren sensiblen Details mitgenommen worden seien. Insbesondere wurden keine Benutzernamen und keine Passwörter kompromittiert.
Meldung an CNIL und laufende Untersuchungen
Sobald DGFiP Kenntnis hatte, meldete die Behörde den Vorfall der französischen Datenschutzaufsicht CNIL. Laut DGFiP laufen weiterhin Untersuchungen dazu, welche Art des Angriffs genau stattgefunden hat, wie groß der Umfang ist und wie viele Personen letztlich potenziell betroffen sind.
DGFiP gibt außerdem an, dass jeder betroffene Bürger direkt kontaktiert werden soll. Damit soll sichergestellt werden, dass die Betroffenen konkrete Informationen erhalten und wissen, wie sie mit der Situation umgehen können.
Was die Behörden aus dem Zeitverzug ableiten
Ein besonderes Merkmal des Datenlecks DGFiP ist der zeitliche Ablauf: DGFiP zufolge wurde der unbefugte Zugriff nach der Entdeckung sofort gestoppt, allerdings gab es zunächst keine belastbaren Belege für eine Exfiltration.
Das bedeutet in der Praxis: Auch wenn ein System beim Erkennen sofort gesichert wird, kann es dennoch erforderlich sein, später rückwirkend festzustellen, welche Daten tatsächlich abflossen. Für Betroffene ist diese Phase oft besonders relevant, weil erst dann konkrete Auswirkungen sichtbar werden.
Einordnung: Vorfallwelle in europäischen Behörden
Das Datenleck DGFiP steht nicht isoliert. Etwa einen Monat zuvor berichtete eine weitere europäische Behörde von einem ernsthaften Cybervorfall: In Rumänien wurde die National Agency for Cadastre and Property Registration (ANCPI) Opfer eines Angriffs, der laut Berichten erhebliche Störungen ausgelöst hat.
Bei ANCPI wurde ein Angreifer namens ByteToBreach genannt. Die Schadensbeschreibung umfasst dabei nicht nur den Diebstahl von Informationen, sondern auch einen Versuch, die Behörde mit einer Erpressung unter Druck zu setzen. Als die Forderung offenbar nicht erfolgreich war, soll der Täter zudem verschlüsselte Daten gelöscht haben – mit Auswirkungen auf Anwendungen, Websites und E-Mail-Dienste.
Wichtig für die Bewertung: Der zentrale Datenbestand des kadastralen Systems sei demnach nicht betroffen gewesen. Trotzdem sei die Behörde rund drei Wochen damit beschäftigt gewesen, Server neu aufzubauen und betroffene Anwendungen wiederherzustellen. Diese Parallele zeigt, wie unterschiedlich die Folgen eines Angriffs ausfallen können – von Datendiebstahl bis hin zu massiven Betriebsunterbrechungen.
Warum kompromittierte Zugangsdaten so gefährlich sind
Der Fall verdeutlicht, wie zentral Zugangsdaten für Angriffe auf Behörden sind. Wenn bereits vorhandene Konten durch Dritte kompromittiert wurden, kann ein Angreifer oft schneller in Systeme eindringen und Daten abrufen, ohne dass unmittelbar neue Schadsoftware die Hauptrolle spielt.
Gerade bei Organisationen mit vielen Schnittstellen und Drittanbietern kann die Komplexität der Zugänge zunehmen. DGFiP nennt ausdrücklich sowohl einen kompromittierten Mitarbeitenden-Zugang als auch ein kompromittiertes Konto eines Drittanbieters – ein Hinweis darauf, dass nicht nur interne Konten, sondern auch externe Abhängigkeiten ein Einfallstor darstellen können.
Was Betroffene jetzt beachten sollten
Auch wenn DGFiP keine Passwörter und keine Benutzernamen kompromittiert sieht, bleibt das Thema relevant. Das Datenleck DGFiP betrifft nach den Angaben vor allem finanzbezogene und kadastrale Informationen – Daten, mit denen sich unter Umständen gezielte Betrugsversuche konstruieren lassen.
Betroffene sollten daher besonders aufmerksam sein, wenn sie in den kommenden Wochen Nachrichten erhalten, die sich auf Steuerangelegenheiten oder Immobilien beziehen. Da DGFiP die Betroffenen direkt kontaktieren will, können offizielle Hinweise als erster Anker dienen, um echte Informationen von Betrugsversuchen zu unterscheiden.
Zusätzlich gilt: Falls in der eigenen Kommunikation Unstimmigkeiten auftauchen, ist es sinnvoll, nicht auf Links zu klicken oder Angaben preiszugeben, sondern die Anfrage über offizielle Kanäle der Behörde zu prüfen.
Fazit zum Datenleck DGFiP
Das Datenleck DGFiP betrifft nach derzeitigen Angaben rund 680.000 Personen. DGFiP beschreibt einen Zugriff über kompromittierte Konten, der nach der Entdeckung zwar gestoppt wurde, bei dem aber später ein Datendiebstahl von Informationen zu Einkünften, Steuerraten, eindeutigen Kennungen sowie kadastralen Daten zu Immobilien bestätigt wurde.
Während DGFiP die Reichweite weiter untersucht, sollen Betroffene direkt informiert werden. Der Vorfall zeigt zudem, wie wichtig eine kontinuierliche Überprüfung von Zugängen, Drittanbieter-Schnittstellen und die nachträgliche forensische Aufarbeitung bei Cyberangriffen bleiben.
Quelle: https://www.securityweek.com/680000-impacted-by-french-tax-authority-data-breach/
