Sara war seit etwas mehr als einem Jahr bei Meridian Financial und war stolz darauf, wie schnell sie sich eingelebt hatte. Ihr Schreibtisch war ordentlich, ihre Deadlines wurden eingehalten, und ihr Smartphone — ein schlankes privates Android-Gerät, das sie seit drei Jahren besaß — war von 8 bis 18 Uhr praktisch in ihrer Hand festgewachsen.

Niemand hatte ihr jemals gesagt, dass das ein Problem sei.

An einem Dienstagmorgen im März fühlte sich das Büro-WLAN träge an, also tat Sara das, was sich für sie völlig natürlich anfühlte: Sie verband ihr privates Smartphone über die Gastanmeldedaten, die am Schwarzen Brett in der Küche angeheftet waren, mit dem Unternehmensnetzwerk. Sie musste eine neue PDF-Scanner-App herunterladen, die sie in den sozialen Medien gesehen hatte — DocuScan Pro — um Papierbelege für einen Kampagnenkostenbericht zu digitalisieren.

Die App war kostenlos. Sie hatte eine Vier-Sterne-Bewertung und über 50.000 Downloads. Sie sah legitim aus.

Während der Installation erschien ein Berechtigungsbildschirm. Sara tippte sich schnell durch — so wie es die meisten Menschen tun.

„DocuScan Pro erlauben, auf Ihre Kontakte, das Mikrofon, die Kamera, den Standort und Dateien zuzugreifen?"

Sie drückte Allen zustimmen, ohne einen zweiten Gedanken daran zu verschwenden. Sie hatte in vier Minuten ein Meeting.

Was Sara nicht wusste: DocuScan Pro war eine umverpackte Anwendung — ein Klon eines legitimen Tools, hochgeladen in einen Drittanbieter-App-Store, auf den sie über eine Anzeige in sozialen Medien zugegriffen hatte. Tief in ihrem Code war ein schlankes Spyware-Modul verborgen. Innerhalb weniger Stunden nach der Installation hatte die App still und leise ihre Kontaktliste gesammelt, mehrere als E-Mail-Anhänge gespeicherte Dateien in ihrem Download-Ordner gelesen und die Anmeldedaten des verbundenen WLAN-Netzwerks protokolliert.

Da Saras Smartphone nun mit dem Unternehmensnetzwerk von Meridian verbunden war, enthielten die gesammelten Daten etwas weitaus Gefährlicheres als ihre privaten E-Mails: Sie enthielten die Anmeldedaten, die sie kürzlich per E-Mail für das neue Kundenportal des Unternehmens erhalten hatte — ein Portal mit Finanzdaten von über 200 Geschäftskunden.

Drei Wochen später bat Meridians IT-Sicherheitsmanager Daniel Sara in einen kleinen Konferenzraum. Sein Gesichtsausdruck war ruhig, aber ernst.

„Sara, wir haben ungewöhnliche Anmeldeversuche im Kundenportal festgestellt", sagte er und schob einen ausgedruckten Bericht über den Tisch. „Mehrere waren erfolgreich. Das Zugriffsmuster lässt sich auf ein Gerät zurückverfolgen, das Mitte März über unser Netzwerk verbunden war. Erkennen Sie diese MAC-Adresse?"

Sara starrte auf die Zeichenfolge. Ihr Magen zog sich zusammen.

„Das… das könnte mein Smartphone sein", sagte sie leise.

Es folgten zwei Wochen forensischer Untersuchungen, eine obligatorische Benachrichtigung der betroffenen Kunden über den Datenschutzverstoß und ein Notfall-Audit aller privaten Geräte, die jemals mit dem Unternehmensnetzwerk verbunden gewesen waren. Die Kosten — in IT-Stunden, Rechtsberatung und Kundenvertrauen — beliefen sich auf mehrere Zehntausend Euro.

Sara wurde nicht entlassen. Daniel und die Personalabteilung waren sich einig, dass sie ohne böse Absicht und ohne jegliches Sicherheits­bewusstsein gehandelt hatte.