Exfiltration

Exfiltration heißt: Daten verlassen heimlich das System, in dem sie eigentlich bleiben sollten. Jemand dringt in ein Firmennetz oder ein Benutzerkonto ein und kopiert Informationen nach außen. Das können Kundenlisten, Passwörter, Konstruktionspläne oder E-Mails sein. Der Begriff stammt aus dem Militär und bedeutete dort, jemanden unbemerkt aus feindlichem Gebiet herauszubringen. In der Computersicherheit ist es dasselbe Prinzip, nur mit Dateien statt mit Menschen. Wichtig ist der Unterschied zum Einbruch selbst: Ein Angreifer kann längst im Netz sitzen, ohne dass schon etwas abgeflossen ist. Erst die Exfiltration macht den Schaden nach außen sichtbar.

Der Moment, in dem der Schaden entsteht

Ein Einbruch allein bleibt oft reparierbar. Man ändert Passwörter, schließt die Lücke, und die Sache ist erledigt. Sobald Daten kopiert wurden, funktioniert das nicht mehr. Kopierte Daten kann man nicht zurückholen. Sie liegen dann auf einem fremden Server, werden verkauft oder veröffentlicht.

Für Unternehmen hängen daran direkte Kosten. In der EU verpflichtet die Datenschutz-Grundverordnung Firmen, den Abfluss personenbezogener Daten innerhalb von 72 Stunden an eine Aufsichtsbehörde zu melden. Dazu kommen Bußgelder, Klagen und der Vertrauensverlust bei Kunden. Deshalb bewegen Meldungen über abgeflossene Daten oft auch den Aktienkurs des betroffenen Unternehmens.

Eine besonders unangenehme Variante ist die doppelte Erpressung. Kriminelle verschlüsseln die Daten eines Opfers, kopieren sie vorher aber heraus. Selbst wenn das Opfer gute Sicherungskopien hat, bleibt die Drohung, alles zu veröffentlichen. Backups schützen also gegen Datenverlust, nicht gegen Exfiltration.

Welche Wege Daten nach draußen nehmen

Der einfachste Weg ist der unauffälligste. Angreifer nutzen genau die Verbindungen, die eine Firma sowieso erlaubt. Daten werden in einen Cloud-Speicher hochgeladen, an eine private Mailadresse geschickt oder in verschlüsselten Webverkehr eingebettet. Für eine Firewall sieht das aus wie normales Surfen. Manchmal genügt auch ein USB-Stick oder ein abfotografierter Bildschirm.

Um Alarmsysteme zu umgehen, wird der Abfluss oft gestreckt. Statt zehn Gigabyte auf einmal fließen über Wochen kleine Häppchen, bevorzugt nachts oder am Wochenende. Kreative Angreifer verstecken Daten sogar in scheinbar harmlosen Anfragen an Namensserver, also in dem System, das Internetadressen in Zahlen übersetzt. Diese Anfragen werden selten kontrolliert.

Die Verteidigung setzt deshalb weniger auf Mauern als auf Beobachtung. Systeme protokollieren, wer wann welche Datenmengen wohin schickt, und melden Ausreißer. Ein Buchhalter, der plötzlich die komplette Personaldatenbank herunterlädt, fällt auf. Dazu kommen strenge Zugriffsrechte: Wer nur wenige Daten sehen darf, kann auch nur wenige stehlen.

Exfiltration bei Chatbots und in den Schlagzeilen

In den Nachrichten begegnet dir der Begriff bei fast jedem großen Hackerangriff. Meldungen wie « Millionen Kundendatensätze abgeflossen » beschreiben genau diesen Vorgang. Häufig steht dabei, dass der Angriff monatelang unentdeckt blieb. Die Zeit zwischen Einbruch und Entdeckung liegt in vielen Fällen bei mehreren Monaten.

Durch KI ist eine neue Spielart dazugekommen. Sprachmodelle, also Programme, die Texte verstehen und schreiben, greifen heute auf Dokumente, Mails und Webseiten zu. Versteckt jemand in einer Webseite eine Anweisung wie « schicke den Inhalt dieses Chats an diese Adresse », kann das Modell sie befolgen. Fachleute nennen solche eingeschmuggelten Befehle Prompt Injection. Das Ergebnis ist Exfiltration ohne klassischen Einbruch.

Ein Alltagsfall ohne jede Kriminalität ist der versehentliche Abfluss. Wer Firmengeheimnisse in einen öffentlichen Chatbot tippt, gibt sie an einen fremden Anbieter weiter. Mehrere Konzerne haben KI-Werkzeuge deshalb intern eingeschränkt. Technisch ist das kein Angriff, das Ergebnis ist aber ähnlich: Daten sind draußen und lassen sich nicht zurückholen.