Insider-Datendiebstahl trifft Unternehmen selten von außen, sondern über die eigene Zugriffsverwaltung. Bei NetEase räumte ausgerechnet der Mann, der Spielerkonten prüfen sollte, über vier Jahre 171 ruhende Konten aus und verkaufte deren Inhalte für rund 223.000 Euro. Der Fall zeigt, warum ruhende Konten und Admin-Rechte zusammen zur teuersten Lücke werden.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein einzelner Insider-Datendiebstahl bei NetEase ist juristisch abgeschlossen, doch die Methode dahinter beschäftigt jede IT-Abteilung mit Kundenkonten. Ein früherer Prüfer im Kundenservice nutzte seine Backend-Rechte, um Zugangsdaten stillgelegter Konten abzugreifen. Das Bezirksgericht Guangzhou Tianhe verurteilte ihn Anfang August zu drei Jahren auf Bewährung.
Das Wichtigste in Kürze
- Ein Account-Prüfer bei NetEase griff von 2019 bis 2023 die Zugangsdaten von 171 ruhenden Spielerkonten ab.
- Der Erlös aus verkauften Spielfiguren und Gegenständen lag bei 1.736.068 Yuan, umgerechnet rund 223.000 Euro.
- Das Gericht verurteilte ihn wegen unbefugten Zugriffs auf Computerdaten zu drei Jahren Haft auf Bewährung und 20.000 Yuan Strafe.
- Für deutsche Firmen zählt der Fall zum Innentäter-Risiko, das die DSGVO über Artikel 32 adressiert.
Wie wurde der Kontrolleur zum Täter?
Der Verurteilte stieg seit 2013 bis zum Prüfleiter der Kontenverwaltung im Kundenservice auf, also in genau die Rolle, die verdächtige Konten aufspüren soll. Missbrauchte Prüfrechte wurden so zur Waffe, denn mit seinem Backend-Zugang holte er die Anmeldedaten von 171 lange inaktiven Konten und umging dabei die interne Kontrolle.[1]
Ruhende Konten waren dabei kein Zufall, sondern das ideale Ziel. Meldet sich kein Eigentümer mehr an, löst auch kein Beschwerdeticket eine Prüfung aus, und so blieb der Diebstahl über vier Jahre unbemerkt. Erst 2024 griff die Polizei zu, den Erlös von 1.736.068 Yuan erstattete die Familie später vollständig.
Der gefährlichste Angreifer sitzt oft schon im Organigramm und trägt die Rechte, die ihn eigentlich kontrollieren sollten. Zugriff auf Kundenkonten verlangt dieselbe Überwachung wie ein externer Angriff, nur konsequenter.
— Michael Dobler, Herausgeber Dr. Web
Ist das ein Einzelfall?
Bekanntes Muster statt Ausrutscher: Der Konkurrent miHoYo erwirkte gerade selbst ein Strafurteil gegen Spiele-Leaker, diesmal gegen externe Täter. Beim Snowflake-Hack reichten vier Jahre alte Passwörter für 165 Firmenkonten, und ein gekapertes Microsoft-365-Postfach hinterließ zuletzt keine Spur.
Fehlende Gewaltenteilung verbindet diese Fälle. Ein privilegierter Zugang ohne Vier-Augen-Prinzip und ohne unabhängiges Protokoll verwandelt jeden Administrator in eine einzelne Schwachstelle, die selbst eine Freigabe durch Menschen nur selten auffängt.
Drei Hebel gegen Innentäter
Was bedeutet der Fall für deutsche Firmen?
Innentäter-Risiko ist auch hierzulande teuer. Der Bitkom beziffert den jährlichen Schaden durch Datendiebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro, 87 Prozent der Unternehmen waren zuletzt betroffen.[2] In Deutschland fällt der unbefugte Zugriff auf fremde Konten unter das Ausspähen von Daten nach Paragraf 202a StGB, die Verantwortung für die Zugriffskontrolle bindet Artikel 32 der DSGVO an den Arbeitgeber, wie auch die Grundlagen der Cybersicherheit für KMU zeigen.
Least Privilege senkt das Risiko am schnellsten. Admin-Rechte gehören auf das Nötigste gekürzt und Aktionen an Kundenkonten unter ein Vier-Augen-Prinzip gestellt. Privilegierte Zugriffe brauchen ein Protokoll, das der Administrator selbst nicht abschalten kann. Ruhende Konten gehören regelmäßig gesperrt oder gelöscht, damit sie kein stilles Ziel mehr bieten.
Häufige Fragen zu Insider-Datendiebstahl
Was ist Insider-Datendiebstahl?
Insider-Datendiebstahl bezeichnet den Missbrauch legitimer Zugriffsrechte durch eigene oder ehemalige Mitarbeiter, um Daten oder digitale Werte zu entwenden. Anders als bei externen Angriffen fehlt die Hürde des Eindringens, weil der Täter bereits berechtigt ist. Gerade privilegierte Konten in Verwaltung und Support gelten als größtes Risiko.
Warum blieb der Diebstahl bei NetEase vier Jahre unbemerkt?
Der Täter arbeitete als Prüfleiter der Kontenverwaltung und kontrollierte damit selbst die Instanz, die Auffälligkeiten melden sollte. Er griff gezielt ruhende Konten ab, deren Eigentümer sich nicht mehr anmeldeten, sodass kein Beschwerdeticket eine Prüfung auslöste. Ohne unabhängiges Protokoll fiel der Zugriff erst 2024 auf.
Welche Zugriffsrechte sollten Unternehmen zuerst einschränken?
Am dringendsten sind weitreichende Backend- und Administratorrechte, die Zugriff auf Kundenkonten, Passwörter oder Zahlungsdaten geben. Solche Rechte gehören nach dem Least-Privilege-Prinzip auf das Nötigste begrenzt und an ein Vier-Augen-Prinzip gebunden. Privilegierte Aktionen sollten manipulationssicher protokolliert werden.
Was verlangt die DSGVO beim Schutz vor Innentätern?
Artikel 32 der DSGVO verpflichtet Verantwortliche zu angemessenen technischen und organisatorischen Maßnahmen, dazu zählen Zugriffskontrolle, Berechtigungskonzepte und Protokollierung. Der unbefugte Zugriff auf fremde Konten erfüllt in Deutschland zudem den Straftatbestand des Ausspähens von Daten nach Paragraf 202a StGB.
Quellen
[1] Sina Tech: „Früherer NetEase-Manager stahl über Backend-Rechte 171 ruhende Konten von Fantasy Westward Journey“
[2] Bitkom: „Wirtschaftsschutz 2025“
Mehr Newshunger?
- 622.000 Euro für die IIoT-Sicherheit: Krones und die Uni Regensburg härten die vernetzte Fabrik
- TeamCity-Lücke: Angreifer übernehmen den Build-Server ohne Zugangsdaten
- Kritische Cyberfähigkeiten: OpenAI stoppt Teile der Astra-Entwicklung
- Zapscape: Der dritte KVM-Ausbruch trifft Hosts mit verschachtelter Virtualisierung
- Atlassian Rovo: Eine versteckte Anweisung genügt für den Datenabfluss aus Jira und Confluence
