Dieser Beitrag ist auch verfügbar auf: Englisch, Französisch, Spanisch

Alles, was Sie über den Social-Engineering-Angriff bei Uber wissen sollten

Dieser Beitrag ist auch verfügbar auf: Englisch, Französisch, Spanisch

Ein Hacker, vorgeblich 18 Jahre alt, ist letzte Woche in das Ride-Sharing-Unternehmen Uber eingedrungen und hat behauptet, er habe Zugang zu einer Vielzahl von Systemen im Netzwerk des Unternehmens. Einem Bericht der New York Times zufolge bezeichnete ein Sicherheitsforscher, der mit dem Hacker kommunizierte, den Vorfall als „totale Kompromittierung“, die dem Angreifer „vollen Zugriff“ auf Uber ermöglicht habe.

Offenbar motiviert durch die Behandlung der Fahrer durch Uber, drang der Hacker auch in den internen Slack-Kanal des Unternehmens ein und veröffentlichte eine Nachricht an die Mitarbeiter über den Angriff. Weitere Einzelheiten über den Sicherheitsvorfall sind noch nicht bekannt, da das Unternehmen den Umfang des Vorfalls noch untersucht.

Es ist jedoch nicht das erste Mal, dass Uber kompromittiert wurde. Im Jahr 2016 waren 57 Millionen Kunden und Fahrer von einer massiven Datenschutzverletzung betroffen, bei der sensible Daten preisgegeben wurden. Das Unternehmen hat zugegeben, den Verstoß vertuscht zu haben, obwohl es gesetzlich verpflichtet war, ihn der Federal Trade Commission zu melden. Der ehemalige Sicherheitschef von Uber, Joe Sullivan, steht derzeit wegen Behinderung der Justiz vor Gericht, weil er die Sicherheitslücke nicht offengelegt hatte. Seine Anwälte haben jedoch argumentiert, dass er alle Informationen an die Rechtsabteilung von Uber weitergegeben hat und dass diese für die Offenlegung gegenüber den Regulierungsbehörden verantwortlich war.

Welche Informationen sind gefährdet?

Uber erklärte, dass es keine Beweise dafür gibt, dass sensible Nutzerdaten kompromittiert wurden. Berichten zufolge verschaffte sich der Hacker jedoch Zugang zu einer Vielzahl von wichtigen Systemen und Ressourcen, darunter:

  • Uber Quellcode 
  • Slack
  • E-Mail
  • Cloud-Repositories wie Amazon Web Services (AWS) und Google Cloud Platform (GPC) 

Interessant ist, dass die Hacker auch beim Uber-Einbruch 2016 auf ein privates Quellcode-Repository zugegriffen haben. Sie benutzten den Code und einen proprietären Zugangsschlüssel, um Benutzer- und Fahrerdaten zu stehlen.

Wie hat der Hacker das gemacht?

Die Person erklärte gegenüber der New York Times, sie nutze Social Engineering – eine gängige Phishing-Methode, die die menschliche Natur ausnutzt, indem sie Personen dazu bringt, private und vertrauliche Informationen weiterzugeben. Der Hacker kontaktierte einen Mitarbeiter über WhatsApp und gab vor, von Uber IT zu sein. Er überzeugte die Person, sich auf einer gefälschten Uber-Webseite einzuloggen. So konnte der Hacker das Passwort des Mitarbeiters ausspähen und dann dazu bringen, sich mit der Multifaktor-Authentifizierungs-App (MFA) des Unternehmens zu authentifizieren.

Wenn sie auftreten, ist es nicht ungewöhnlich, dass sich die Mitarbeiter des Unternehmens in gewisser Weise verantwortlich fühlen. Tatsächlich haben wir in unserer jüngsten Studie herausgefunden, dass sowohl Mitarbeiter als auch IT-Administratoren Tools wie einen Passwort-Manager wünschen, um ihr Unternehmen zu schützen. Wir denken hierbei an das Uber-Team, insbesondere an die unbesungenen Helden der IT-Abteilung, die den Vorfall aufklären.

Wir hoffen, dass sie sich vollständig von dem Vorfall erholen, gestärkt daraus hervorgehen und Cybersecurity-Vorfälle in Zukunft vermeiden können.

Mitarbeiter zur Herausgabe von Anmeldedaten zu verleiten, ist eine gängige Taktik von Cyberangreifern. „Diese Art von Social-Engineering-Angriffen, die darauf abzielen, in Technologieunternehmen Fuß zu fassen, haben zugenommen“, erklärte Rachel Tobac, ethische Hackerin und Geschäftsführerin von SocialProof Security, gegenüber der New York Times. Sie wies auch darauf hin, dass Angreifer jetzt Kits verwenden, mit denen Social-Engineering-Angriffe viel einfacher durchgeführt werden können.

Lesen Sie im Blog von Dashlane die Tipps von Rachel Tobac zum Schutz vor Cyberangriffen.

Ich habe ein Uber-Konto – bin ich betroffen? 

Wie bereits erwähnt, heißt es in der offiziellen Erklärung von Uber, dass das Unternehmen keine Beweise dafür hat, dass der Vorfall mit sensiblen Daten wie dem Fahrtenverlauf von Fahrern zu tun hat. Die Ermittlungen sind jedoch noch nicht abgeschlossen, sodass Sie sich auf dem Laufenden halten sollten. 

Außerdem sollten Sie Ihr Passwort ändern und alle Konten aktualisieren, die dieselben Anmeldedaten verwenden, nachdem eine Sicherheitslücke aufgetreten ist. Verwenden Sie einen persönlichen Passwort-Manager wie z. B. Dashlane, der Ihnen helfen kann, auf einfache Weise sichere, einzigartige und zufällige Passwörter für jedes Konto zu erstellen. Mit einem Passwort-Manager müssen Sie sich auch keine Passwörter mehr merken – nur das eine Passwort, das Sie für die Passwort-Manager-App verwenden.

Ich habe ein Unternehmen und mache mir Sorgen um die Daten meiner Kunden und Mitarbeiter. Was soll ich tun?

Unglücklicherweise müssen Sie weder ein großes noch ein bekanntes Unternehmen sein, um dem Risiko eines Hacks wie dem von Uber ausgesetzt zu sein. Ob Sie nun einige wenige oder Hunderte von Mitarbeitern haben, Sie müssen grundlegende Sicherheitsvorkehrungen treffen, angefangen bei Kontrollen, die Ihnen helfen, Ihre Mitarbeiter zu schützen.  Meistens zielen die Angreifer eher auf Menschen als auf Technologie ab. Deshalb ist es wichtig, dass Sie zunächst einen Passwort-Manager für Unternehmen verwenden und diese Richtlinien befolgen:

  • Schaffen Sie eine Sicherheitskultur, die die Mitarbeiter zu aktiven Teilnehmern beim Schutz Ihres Unternehmens vor Cyber-Bedrohungen macht.
  • Halten Sie Ihre Mitarbeiter ständig über gängige Phishing-Betrügereien und Social Engineering-Angriffe auf dem Laufenden.
  • Setzen Sie bewährte Methoden für die Verwaltung von Passwörtern ein, z. B. die Erstellung sicherer Passwörter und deren sichere Freigabe mit einem Passwort-Manager für Unternehmen Dashlane hat ein kostenloses Tool entwickelt, mit dem Unternehmen herausfinden können, ob sie Opfer eines Angriffs geworden sind.

Nutzen Sie den Bericht über Datenschutzverletzungen im Unternehmen (Business Breach Report), um eine Aufstellung über mögliche Schwachstellen zu erhalten Datenschutzverletzungen und Hacks können jede Person und jedes Unternehmen treffen.


Wenn sie auftreten, ist es nicht ungewöhnlich, dass sich die Mitarbeiter des Unternehmens in gewisser Weise verantwortlich fühlen. Tatsächlich haben wir in unserer jüngsten Studie herausgefunden, dass sowohl Mitarbeiter als auch IT-Administratoren Tools wie einen Passwort-Manager wünschen, um ihr Unternehmen zu schützen.

Wir denken hierbei an das Uber-Team, insbesondere an die unbesungenen Helden der IT-Abteilung, die den Vorfall aufklären. Wir hoffen, dass sie sich vollständig von dem Vorfall erholen, gestärkt daraus hervorgehen und Cybersecurity-Vorfälle in Zukunft vermeiden können.

Berichtigung: 23. September 2022

Seit der Veröffentlichung dieses Beitrags hat Uber die Darstellung in den Medien bestätigt, wie sich der Angreifer Zugang verschafft hat. Laut der Erklärung des Unternehmens wurden die Uber-Zugangsdaten des Auftragnehmers offengelegt, weil das persönliche Gerät der Person mit Malware infiziert war und diese Zugangsdaten im Dark Web verkauft wurden. Uber erklärte außerdem, dass der Angreifer nach dem Einloggen in der Lage war, sich in andere Mitarbeiterkonten zu hacken, um so den Zugriff auf die verschiedenen Tools auszuweiten.

Erfahren Sie mehr über den Schutz Ihres Unternehmens, indem Sie unseren Business Guide to Data Breaches and Hacks (Unternehmensleitfaden zu Datenpannen und Hacks) herunterladen. Sind Sie bereit loszulegen? Melden Sie sich für eine kostenlose Testversion von Dashlane for Business an.