Es begann mit einer einfachen Anfrage an einem Dienstagmorgen.

Layla Hassan, eine Projektkoordinatorin in einer mittelgroßen Marketingagentur, musste ein Kampagnenbriefing mit einer externen Designagentur teilen. Der übliche Prozess sah ein umständliches internes Portal vor, über das die Agentur erneut ein Konto erstellen musste. Genervt von der Verzögerung bot Laylas Kollege Tariq eine schnellere Lösung an.

„Ändere einfach die Freigabeeinstellungen des Google-Drive-Ordners auf ‚Jeder mit dem Link'", sagte Tariq und beugte sich über ihren Bildschirm. „So können sie sofort darauf zugreifen. Alle machen das so."

Layla zögerte einen Moment, klickte dann auf das Dropdown-Menü und wählte die Option aus. Das Briefing wurde geteilt, die Agentur war zufrieden, und der Morgen ging weiter. Was weder Layla noch Tariq bemerkten: Der Ordner, auf den Tariq sie hingewiesen hatte, enthielt nicht nur das Kampagnenbriefing. Es war ein übergeordneter Ordner – mit drei Jahren an Kundenverträgen, Finanzangeboten, internen Gehaltsbenchmarks und einer Tabelle mit persönlichen Mitarbeiterdaten, darunter nationale Ausweisnummern.

Elf Tage lang war dieser Ordner offen für das Internet zugänglich.

Die Entdeckung kam aus einer unerwarteten Quelle. Eine Junioranalystin namens Reem führte eine routinemäßige Google-Suche nach dem Namen des Unternehmens durch, als sie auf eine zwischengespeicherte Vorschau eines Dokuments stieß, das ihr sehr vertraut vorkam. Es trug ihr Logo. Es enthielt Kundennamen, die sie kannte. Und es befand sich im öffentlichen Google-Index.

Reem wurde flau im Magen. Sie ging sofort zum IT-Sicherheitsdesk und stellte ihren Laptop vor den Sicherheitsbeauftragten Faisal.

„Ich habe das bei einer normalen Online-Suche gefunden", sagte sie leise. „Soll das öffentlich sein?"

Faisals Gesichtsausdruck wechselte innerhalb von Sekunden von Verwirrung zu Bestürzung. Er rief die Google-Drive-Auditprotokolle auf und sah, was passiert war. Der Ordner war vor elf Tagen auf öffentlichen Zugriff gestellt worden. Während dieses Zeitraums zeigten die Zugriffsprotokolle, dass 47 eindeutige externe IP-Adressen auf Dateien zugegriffen hatten – einige davon mehrfach.

Das Sicherheitsteam widerrief umgehend die Freigabeberechtigungen und leitete einen Incident-Response-Prozess ein. Doch die Schadensbeurteilung war ernüchternd. Zu den offengelegten Dateien gehörte eine von der Personalabteilung genutzte Tabelle mit den privaten E-Mail-Adressen und Telefonnummern aller 200 Mitarbeiter. Innerhalb von 48 Stunden nach der Veröffentlichung des Ordners hatten bereits zwei Mitarbeiter verdächtige E-Mails zur Passwortzurücksetzung für ihre Microsoft-365-Unternehmenskonten erhalten – ein Zeichen dafür, dass jemand die Daten abgegriffen hatte und bereits Kontoübernahmen versuchte.

Einer dieser Mitarbeiter, ein Vertriebsleiter namens Omar, hatte auf den Zurücksetzungslink geklickt, bevor er merkte, dass etwas nicht stimmte. Auf seine SaaS-Anwendungen – darunter das CRM-System des Unternehmens – wurde um 2:14 Uhr von einer IP-Adresse in einem anderen Land zugegriffen.

Der Sicherheitsvorfall hatte bereits begonnen.

In der anschließenden außerordentlichen Vollversammlung erläuterte der CISO dem Team, was geschehen war. Die Grundursache