Wynn Resorts bestätigt Diebstahl von Mitarbeiterdaten

Was passiert ist

Wynn Resorts bestätigte, dass ein unbefugter Dritter Mitarbeiterdaten erlangt hatte. Das Unternehmen leitete mit externen Fachleuten eine Untersuchung ein und erklärte, dass der Vorfall weder das Kundenerlebnis noch den Betrieb vor Ort in seinen Einrichtungen beeinträchtigt habe.

Der Fall steht für ein häufiges Muster bei Sicherheitsvorfällen: Systeme für das Personalwesen und die interne Verwaltung erhalten weniger mediale Aufmerksamkeit als kundenorientierte Plattformen, enthalten aber ebenso sensible Daten.

Was mittelständische Unternehmen daraus lernen können

Mitarbeiterdaten —Gehaltsabrechnungen, Verträge, Identifikationsdaten, Bankdaten— lassen sich für Betrug, Identitätsdiebstahl und Folgeangriffe wie gezieltes Phishing nutzen. Mit diesen Informationen kann sich ein Angreifer glaubwürdig als Kollege oder als Mitarbeiter der Personalabteilung ausgeben.

Viele Organisationen konzentrieren ihre Sicherheitsmaßnahmen auf kundenorientierte Systeme und vernachlässigen interne Plattformen für Personalwesen, Gehaltsabrechnung oder Dokumentenmanagement, deren Zugriffskontrollen oft weniger streng sind.

Was Sie überprüfen sollten

Prüfpunkte für jedes System im Personalwesen oder in der Personalverwaltung:

• Wer Zugriff auf Mitarbeiterdaten hat und ob dieser Zugriff auf das unbedingt Notwendige beschränkt ist.
• Ob der Anbieter für Lohnabrechnung oder Personalverwaltung eine verpflichtende Zwei-Faktor-Authentifizierung vorsieht.
• Wie und wie lange die Daten ehemaliger Beschäftigter gespeichert werden.
• Ob ein Plan zur Information der Beschäftigten vorliegt, falls ihre Daten kompromittiert werden.

Häufig gestellte Fragen

Waren Kunden von Wynn Resorts von dem Vorfall betroffen?

Nach Angaben des Unternehmens nicht. Die Auswirkungen beschränkten sich auf Beschäftigtendaten und beeinträchtigten weder das Kundenerlebnis noch den Betrieb vor Ort.

Warum sind Beschäftigtendaten für Angreifer wertvoll?

Weil sie Betrug, Identitätsdiebstahl und gezielte Phishing-Angriffe ermöglichen, die legitim erscheinen.

Welche Maßnahme schützt diese Systeme am wirksamsten?

Eine Zwei-Faktor-Authentifizierung verbindlich vorschreiben und den Zugriff auf Personaldaten auf diejenigen beschränken, die ihn tatsächlich benötigen.