Datenleck bei Trello spült über 15 Millionen Datensätze ins Darknet

Das beliebte Online-Projektmanagement-Tool Trello ist Opfer einer Cyberattacke geworden. Durch ein Datenleck konnten Cyberkriminelle persönlichen Daten von über 15 Millionen Nutzern abgreifen. Wie Heise Online am 24. Januar 2024 berichtete, werden in einem Hackerforum im Darknet vollständige Namen, E-Mail-Adressen, Nutzernamen und weitere Account-Informationen zum Verkauf angeboten. Der Verkäufer, bekannt unter dem Pseudonym "emo", behauptete, über 15.115.516 eindeutige Datensätze zu verfügen und veröffentlichte eine Stichprobe zur Bestätigung. Der Dienst Have I Been Pwned (HIBP) hat diese Daten in seine Datenbank aufgenommen, wodurch Nutzer nun überprüfen können, ob ihre Daten betroffen sind. Trello hat Untersuchungen eingeleitet, bisher jedoch keine Hinweise auf unbefugten Zugriff gefunden. Nutzer werden dazu angehalten, wachsam zu sein und verdächtige Aktivitäten zu melden.

Die Kanzlei Dr. Stoll & Sauer empfiehlt Verbrauchern, die Opfer eines Datenlecks geworden sind, generell die kostenlose Erstberatung im Online-Check. Kunden haben gegenüber Trello einen Auskunftsanspruch, ob sie vom Datenleck betroffen sind. Ob Schadensersatzansprüche bestehen, muss geprüft werden. Mehr Infos zum Thema Datenleck gibt es auf unserer Website.

Der Fall Trello – Datenleck betrifft 15 Millionen Kunden

Von einem aktuellen Datenleck ist das Projektmanagement-Tool Trello betroffen. Der Fall Trello verdeutlicht die zunehmende Bedeutung des Schutzes personenbezogener Daten im Alltag der Verbraucher und das steigende Risiko von Cyberangriffen auf Unternehmen. Solche Angriffe zielen oft darauf ab, Kundendaten zu erlangen und für weitere kriminelle Aktivitäten zu nutzen. Die Kanzlei Dr. Stoll & Sauer informiert über das Datenleck bei Trello und bietet Hinweise, wie Verbraucher sich dagegen schützen können:

• Das Projektmanagement-Tool Trello wird seit 2017 von Firma Atlassian betrieben. Jetzt soll es einen Datenschutzvorfall gegeben haben, wobei Daten von über 15 Millionen Nutzern abflossen.
• Am 16. Januar 2024 wurden Trello-Daten in einem Hackerforum angeboten.
• Der Verkäufer bot 15.115.516 Datensätze mit vollständigen Namen, E-Mail-Adressen und Nutzerinformationen an.
• Die Daten wurden später öffentlich gemacht und sind nun in der HaveIBeenPwned-Datenbank. Trello-Kunden können auf HIBP prüfen, ob ihre Daten betroffen sind.
• Laut HIBP wurden bekannte E-Mail-Adressen aus früheren Lecks verwendet, um weitere Informationen abzurufen.
• Ein Trello-Sprecher erklärte The Cyber Express, das Unternehmen sei sich der Behauptungen über den Datenabfluss bewusst und untersuche diese bereits. "Unsere Ermittlungen dauern an, aber wir haben keine Beweise dafür gefunden, dass diese Daten durch unbefugten Zugriff gesammelt wurden", so der Sprecher.
• Ein Atlassian-Sprecher erklärte, dass Trello-Nutzer öffentliche Profile haben, die je nach Einstellung einige Informationen enthalten.
• Der Angreifer nutzte womöglich eine öffentliche Trello-API, umging die IP-Beschränkungen mit Proxy-Servern. Inzwischen sei für die Verwendung der API eine Authentifizierung erforderlich.

Fazit der Kanzlei Dr. Stoll & Sauer zum Trello-Datenleck: Kunden von Trello sollten auf mögliche Phishing-Attacken achten. Es besteht die Gefahr, dass die gestohlenen Daten für betrügerische E-Mails oder Anrufe verwendet werden, um weitere persönliche oder finanzielle Schäden zu verursachen. Dr. Stoll & Sauer empfiehlt Verbrauchern, die eventuell von einem Datenleck betroffen sind, eine kostenlose Erstberatung im Online-Check. Hier prüft die Kanzlei auch die mögliche Betroffenheit von Verbrauchern und die rechtlichen Möglichkeiten, Schadensersatzansprüche geltend zu machen.

EuGH erleichtert bei Datenleck Klagen auf Schadensersatz

Verbraucher, die von einem Cyberangriff betroffen sind, sollten sich der möglichen Folgen eines Datenlecks bewusst sein. Dazu gehören zielgerichtete Phishing-Angriffe, die durch die Kombination von Informationen aus verschiedenen Datenlecks möglich sind, und potenzieller Identitätsdiebstahl. Damit können beispielsweise Geschäfte zulasten der Verbraucher getätigt werden. Wie sieht derzeit die Rechtslage aus? Haben Betroffene beispielsweise Ansprüche auf Schadensersatz? Die Kanzlei Dr. Stoll & Sauer weist auf relevante Entscheidungen des Europäischen Gerichtshofs aus dem Jahr 2023 hin, die die Rechte von Verbrauchern bei Datenschutzverletzungen stärken.

• Unter Berufung auf Art. 15 der Datenschutzgrundverordnung (DSGVO) können Kunden von Trello Auskunft darüber verlangen, ob sie vom Angriff betroffen sind.
• Die EuGH-Urteile mit den Aktenzeichen C-340/21 und C-456/22 bieten wichtige Klarstellungen im Bereich der Haftungsfragen bei Datenschutzverletzungen und anerkennen immaterielle Schäden.
• 82 DSGVO ermöglicht Schadensersatzansprüche, falls Trello unzureichende oder keine Auskunft erteilt oder andere Pflichtverletzungen vorliegen. Dies wird durch die jüngste Rechtsprechung in Deutschland und ein wegweisendes Urteil des Europäischen Gerichtshofs (EuGH) untermauert, welches die Anforderungen an immateriellen Schadensersatz nach Art. 82 DSGVO verschärft und die Geltendmachung erleichtert. Sind personenbezogene Daten aufgrund eines Angriffs in die Hände Dritter gelangt und ist den Betroffenen ein Schaden entstanden, müssen die Verantwortlichen nachweisen, dass sie „in keinerlei Hinsicht“ für den Schaden verantwortlich sind, heißt es in dem Urteil vom 14. Dezember 2023 (Az.: C-340/21). Also: Unternehmen müssen nun nachweisen, dass ihre Sicherheitsmaßnahmen bei einem Cyberangriff angemessen und wirksam waren.
• Diese Entscheidungen des EuGH erhöhen die Chancen für Verbraucher, Schadensersatzansprüche bei Datenschutzverletzungen erfolgreich geltend zu machen. Daher könnten Kunden von Trello, die von diesem Datenabfluss betroffen sind, Ansprüche auf Schadensersatz haben.

Die Verbraucherkanzlei Dr. Stoll & Sauer empfiehlt daher Verbrauchern, die eventuell von einem Datenleck betroffen sind, eine kostenlose Erstberatung im Online-Check. Hier prüft die Kanzlei die mögliche Betroffenheit und die rechtlichen Möglichkeiten, Schadensersatzansprüche geltend zu machen. Die Kanzlei hat bereits in einem ähnlichen Fall eines Datenlecks bei Facebook vor Landgerichten Schadensersatzansprüche durchgesetzt.