Die Vorsichtsmaßnahme, die wie ein Datenleck aussieht

Zahlreiche Cineplexx-Kunden fanden im September eine kurze Mail im Postfach, wonach das Passwort zum Schutz des Kundenkontos vorsorglich zurückgesetzt worden sei. Innerhalb von Stunden diskutierte das Netz einen Cyberangriff.

Die Mail kam ohne Link zur Passworteingabe

Die Nachricht kam von einer Newsletter-Adresse der Kinokette und enthielt nach dem vorliegenden Screenshot keinen Link zur Passworteingabe. Stattdessen wurden die Empfänger aufgefordert, Website oder App selbst aufzurufen und dort „Passwort vergessen“ zu wählen; das Unternehmen wies zusätzlich darauf hin, niemals per E-Mail nach Passwörtern zu fragen.

Auf Anfrage begründete Cineplexx den Reset mit erhöhtem Besucheraufkommen und daraus entstandenen Support-Anfragen wegen vergessener Passwörter; ein Datenleck wurde dementiert. Diese Darstellung stammt vom Unternehmen und ist von außen nicht überprüfbar.

Zwei Dinge waren richtig gelöst

Der Verzicht auf den Link ist die technisch saubere Entscheidung. Eine Mail, die zum Klicken und Passworteingeben auffordert, trainiert die Kundschaft genau auf das Verhalten, dasPhishingBetrugsmasche, bei der gefälschte Mails oder Seiten Empfänger dazu bringen, Passwörter oder Zahlungsdaten preiszugeben. ausnutzt. Auch der Hinweis, nie per Mail nach Passwörtern zu fragen, gehört in jede solche Nachricht.

Beides schützt das Konto und beantwortet keine einzige Frage, die Kunden tatsächlich haben. Genau daran ist die Kommunikation gescheitert.

Vier Fragen entscheiden über die Reaktion

Wer eine unaufgeforderte Sicherheitsnachricht bekommt, liest sie mit vier Fragen, in dieser Reihenfolge.

Warum jetzt? Fehlt ein Anlass, vermuten Leser einen. „Vorsorglich“ ordnet die Maßnahme ein, einen Anlass nennt das Wort nicht.

Was ist nicht passiert? Die Negativaussage muss ausdrücklich kommen und konkret sein. Die Formel „es besteht kein Grund zur Sorge“ reicht dafür nicht, gebraucht wird die Angabe, welche Daten nach derzeitigem Stand nicht betroffen sind.

Bin ich betroffen? Ob die Maßnahme alle Konten oder eine Auswahl trifft, ist die Information, die über Weitererzählen oder Achselzucken entscheidet.

Was muss ich tun? Die Antwort ist ein Schritt, in einem Satz und ohne Link, dazu die Angabe, was passiert, wenn nichts getan wird.

Das Dementi ist der schwierigste Teil

Wer gleichzeitig eine Sicherheitsmaßnahme setzt und einen Vorfall ausschließt, muss den Widerspruch auflösen, den Kunden sehen. Die Maßnahme sagt „Gefahr“, das Dementi sagt „keine Gefahr“ – und zwischen beiden steht nichts.

Belastbar wird ein Dementi erst, wenn es sagt, wer in welchem Zeitraum geprüft hat und worauf sich die Aussage stützt. Ein Satz genügt dafür. Fehlt er, ersetzt ihn die Öffentlichkeit durch eine Vermutung, und die ist erfahrungsgemäß schlechter als die Wirklichkeit.

Der Reflex, kurz zu bleiben, um kein Aufsehen zu erregen, kehrt sich an dieser Stelle um. Bei Sicherheitsthemen wirkt eine knappe Mail verschlossen und beruhigt niemanden.

Wer Kundenkonten führt, braucht den Text vorher

Jeder Betrieb mit Login, ob im Handel, im Tourismus, im Verein oder in der Gemeinde mit Bürgerservice-Portal, wird irgendwann eine Maßnahme setzen, die von außen wie ein Vorfall aussieht, etwa einen erzwungenen Passwortwechsel, die Abmeldung aller SitzungenAngemeldete Zugänge auf einzelnen Geräten, die ohne neue Passworteingabe offen bleiben, bis man sich abmeldet. oder die Abschaltung einer Funktion.

Vorbereitet gehört dafür eine Vorlage mit Anlass, Negativaussage und Handlungsschritt. Wer sie erst schreibt, während die ersten Screenshots bereits geteilt werden, schreibt sie zu kurz.