Dumpster Diving: Der Angriff aus der Mülltonne — warum Ihr Papierkorb ein offenes Buch ist

Stellen Sie sich einen Angreifer vor, der Ihre Firewall nicht antasten muss. Der keine Phishing-Mail schreibt, kein Passwort errät, keine Software-Lücke ausnutzt. Er wartet einfach auf den Abend, an dem die Tonnen an die Straße kommen — und nimmt mit, was Sie freiwillig herausgestellt haben.

Dumpster Diving (im Deutschen etwas nüchtern „Mülltauchen” oder „Containern”) ist die Kunst, aus weggeworfenem Material verwertbare Informationen zu gewinnen. In der IT-Sicherheit ist es eine der ältesten Techniken überhaupt — und ausgerechnet deshalb wird sie fast überall unterschätzt. Sie ist billig, risikoarm und erschreckend ergiebig. Während ganze Budgets in Firewalls, EDR und SIEM fließen, steht der wertvollste Angriffsvektor oft ungesichert im Hinterhof.

Dieser Beitrag zeigt, wie ergiebig der Müll wirklich ist — anhand dokumentierter Fälle — und was Sie konkret dagegen tun. Er ist bewusst defensiv geschrieben: Wer versteht, wie ein Angreifer denkt, kann ihn ins Leere laufen lassen.

Was in Ihrem Müll wirklich landet

Bevor wir zu den spektakulären Fällen kommen, ein Realitätscheck. Werfen Sie gedanklich einen Blick in den Papierkorb, den Altpapiercontainer und die Elektroschrott-Ecke eines durchschnittlichen Büros:

Fundstück	Was ein Angreifer daraus macht
Interne Telefonlisten, Org-Charts	Perfekte Namen, Rollen und Durchwahlen für einen glaubwürdigen Anruf (Pretexting)
Rechnungen, Lieferscheine	Wer sind Ihre Dienstleister? Fake-Rechnung im richtigen Layout, richtiger Ansprechpartner
Notizzettel, Whiteboards-Ausdrucke	Projektnamen, interne Kürzel, manchmal Zugangsdaten direkt
Verpackungen von Hardware	Verrät Ihren Tech-Stack: „Aha, die setzen genau diese Firewall/Server ein”
Alte Festplatten, USB-Sticks, Smartphones	Roh-Datenzugriff — oft ohne jede Löschung
Bewerbungsunterlagen, Personalakten	Klarnamen, Adressen, Sozialversicherungs-/Steuerdaten
Reisedokumente, Bordkarten, Paket-Label	Identität, Kontonummern, Reisepläne

Das Entscheidende: Jedes einzelne Stück wirkt für sich harmlos. Erst die Kombination macht den Angriff. Eine Telefonliste plus eine Dienstleister-Rechnung plus ein internes Projektkürzel — und der Anruf „Hallo, hier ist die Buchhaltung von [echter Dienstleister] wegen dem Projekt [echtes Kürzel]…” klingt plötzlich völlig echt. Der Müll liefert nicht nur Daten, er liefert Glaubwürdigkeit. Genau das ist der Rohstoff für Social Engineering.

Krasse Fakten: fünf dokumentierte Fälle

Das sind keine Gedankenspiele. Jeder der folgenden Fälle ist belegt und öffentlich nachlesbar.

1. Jeder Kopierer ist eine Festplatte voller Geheimnisse

2010 kaufte ein Investigativteam von CBS News in einem Lager in New Jersey vier gebrauchte Digitalkopierer — für ein paar hundert Dollar, blind, so wie sie zum Weiterverkauf bereitstanden. Ein Forensiker baute die Festplatten aus. Denn: Praktisch jeder Digitalkopierer seit ~2002 speichert ein Abbild von allem, was je kopiert, gescannt oder gefaxt wurde.

Mit frei verfügbarer Software lud er in unter 12 Stunden Zehntausende Dokumente herunter. Darunter: Ermittlungsakten eines Sitten­dezernats mit Namen von Sexualstraftätern, die Zielliste einer Drogenrazzia, 95 Seiten Gehaltsabrechnungen mit Namen, Adressen und Sozialversicherungsnummern sowie kopierte Schecks im Wert von 40.000 Dollar.

Die Pointe für Unternehmen: Der US-Krankenversicherer Affinity Health Plan gab geleaste Kopierer zurück, ohne die Platten zu löschen — einer davon war genau jener, den CBS gekauft hatte. Ergebnis: ein HIPAA-Vergleich über rund 1,2 Mio. US-Dollar, über 344.000 betroffene Personen.

Lehre: Der Multifunktionsdrucker im Flur ist ein Datenträger. Vor Rückgabe oder Entsorgung eines Leasing-Geräts gehört die interne Festplatte gelöscht oder zerstört — mit schriftlichem Nachweis.

2. Wenn die Mülltonne zum DSGVO-Fall wird

Ausgerechnet Apotheken lieferten die Lehrstücke. Die US-Kette CVS warf Tablettenfläschchen mit Patientennamen, Adressen, verordnenden Ärzten, Medikamenten und Dosierungen — dazu Bewerbungen mit Sozialversicherungsnummern — in offene, frei zugängliche Container. Nachdem Reporter das öffentlich machten, kostete es CVS 2009 einen Vergleich über 2,25 Mio. US-Dollar mit HHS und FTC. Ein Jahr später traf es die Kette Rite Aid aus demselben Grund: 1 Mio. US-Dollar.

Der Angreifer musste hier nichts „hacken”. Er musste nur den Deckel heben. Und die Strafe kam nicht für ein Datenleck im Netz, sondern für eine Mülltonne.

3. Die Hälfte gebrauchter Festplatten ist nicht leer

Eine Studie von Blancco und Kroll Ontrack (2019) kaufte 159 gebrauchte Festplatten und SSDs auf Marktplätzen in den USA, Großbritannien, Deutschland und Finnland. Ergebnis: 42 % enthielten noch Daten, 15 % sogar personenbezogene Informationen — bei je 20 Laufwerken mindestens drei mit PII.

Der Fund war spektakulär: die Familien-Reisepässe und Geburtsurkunden eines Entwicklers mit hoher behördlicher Sicherheitsfreigabe, 5 GB internes E-Mail-Archiv eines großen Reiseunternehmens, Schülerdaten mit Fotos und Noten. Und das Bittere: Auf 61 % der noch belegten Laufwerke war ein „Schnellformatieren” gemacht worden. Die Besitzer dachten, sie hätten gelöscht.

Lehre: Löschen ist nicht Löschen. Formatieren, In den Papierkorb, Datei entfernen — all das lässt die Daten physisch auf dem Medium. Es braucht zertifizierte Löschung oder physische Zerstörung.

4. Schreddern ist kein Zaubertrick

Viele wiegen sich in Sicherheit, weil sie ja „alles schreddern”. Die DARPA Shredder Challenge (2011) hat dieser Illusion den Boden entzogen: Rund 9.000 Teams versuchten, geschredderte Dokumente wieder zusammenzusetzen. Das Siegerteam „All Your Shreds Are Belong to U.S.” rekonstruierte sieben Seiten aus über 10.000 Schnipseln — mit selbstgeschriebenen Computer-Vision-Algorithmen und rund 600 Personenstunden. Preisgeld: 50.000 Dollar.

Für einen Streifenschnitt-Schredder (Sicherheitsstufe P-2) brauchen Sie keine DARPA-Algorithmen: Ein Blatt zerfällt in ~30–40 Streifen, die ein motivierter Praktikant mit Klebeband und Geduld wieder zusammenlegt. Erst ein Partikelschnitt (Cross-Cut, P-4 und höher) erzeugt Tausende winziger Konfetti pro Seite — bei P-5 über 2.000 Partikel — und macht die Rekonstruktion praktisch aussichtslos.

5. Die weggeworfene Bordkarte

2015 und erneut 2017 zeigte der Sicherheitsjournalist Brian Krebs, wie viel im Barcode einer Bordkarte steckt: Name, Vielfliegernummer, Ticketnummer — teils mehr, als vorne aufgedruckt ist. Ein Sicherheitsforscher konnte allein aus dem Foto einer geposteten Bordkarte das Vielflieger-Konto eines Bekannten öffnen, künftige Flüge einsehen, ändern — und sogar das Passwort neu setzen.

Schon 2006 fischte ein Guardian-Journalist einen Bordkarten-Abschnitt aus einem Mülleimer in Heathrow und ermittelte darüber Passnummer, Geburtsdatum und schließlich die Wohnadresse des Reisenden. Ein Fetzen Papier, weggeworfen ohne einen Gedanken.

Warum es so gut funktioniert

Dumpster Diving ist deshalb so wirksam, weil mehrere Dinge zusammenkommen:

• Psychologie des Wegwerfens. Was im Müll landet, ist in unseren Köpfen „erledigt”, „weg”, nicht mehr existent. Niemand denkt beim Zerknüllen an einen Angreifer.
• Rechtliche Grauzone. In den USA hat der Supreme Court (California v. Greenwood, 1988) entschieden: Müll am Straßenrand genießt keinen Privatsphäre-Schutz. In Deutschland ist die Lage differenzierter — aber verlassen Sie sich nicht darauf, dass Sie ein Angreifer aus rechtlichen Gründen verschont.
• Der Faktor Mensch. Reinigungskräfte, Nachtschichten, offene Höfe, ungesicherte „Vertraulich”-Tonnen, gutgläubige Aktenvernichter-Dienstleister — überall gibt es Ansatzpunkte, oft ganz ohne Einbruch.
• Es speist Social Engineering. Der eigentliche Wert liegt selten im Fundstück selbst, sondern darin, dass es den nächsten Angriff glaubwürdig macht.

So denkt ein Angreifer — kreative Szenarien

Damit Sie es verhindern können, hier ein paar Denkmuster, die über die offensichtliche „Akte im Müll” hinausgehen:

• Der Verpackungs-Verräter. Ein leerer Karton eines bestimmten Firewall- oder Serverherstellers im Altpapier verrät den kompletten Tech-Stack — die perfekte Grundlage für einen zielgenauen Angriff auf genau diese Modelle und deren bekannte Schwachstellen.
• Der Dienstleister-Umweg. Nicht Ihre Tonne wird durchsucht, sondern die Ihres Steuerberaters, Ihrer Druckerei oder Ihres Aktenvernichters. Die Kette ist nur so stark wie ihr schwächstes, unbewachtes Glied.
• Die „Vertraulich”-Tonne, die keine ist. Eine hübsch beschriftete Sammeltonne ohne Schloss ist eine Selbstbedienungstheke. Und der freundliche Fahrer, der sie abholt? Ein Uniformhemd und ein Klemmbrett genügen manchmal, um sie einfach mitzunehmen.
• Recycling macht es einfacher. Getrennte Sammlung ist gut fürs Klima — und bequem für den Angreifer: Papier liegt schon sauber sortiert und lesbar beisammen, ohne Kaffeesatz.
• E-Schrott, der nie stirbt. Das „umweltgerechte Recycling” alter Geräte endet erstaunlich oft auf einem Marktplatz — mit Daten drauf (siehe Fall 3).
• Der Blick von außen. Nah verwandt: der Notizzettel am Monitor, fotografiert durchs Erdgeschossfenster; das Whiteboard mit Passwörtern, sichtbar von der Straße. Müll ist nur der bekannteste physische Kanal, nicht der einzige.

Die deutsche Perspektive: DIN 66399 und DSGVO

In Deutschland ist unsachgemäße Entsorgung nicht nur peinlich, sondern potenziell bußgeldbewehrt. Personenbezogene Daten unterliegen der DSGVO auch am Ende ihres Lebenszyklus:

• Art. 5 & Art. 32 DSGVO verlangen Integrität und Vertraulichkeit sowie angemessene technische und organisatorische Maßnahmen — einschließlich der Vernichtung.
• Eine offene Tonne mit Klarnamen kann eine meldepflichtige Datenpanne (Art. 33) sein.
• DIN 66399 ist der maßgebliche Standard für die Vernichtung von Datenträgern. Sie definiert Schutzklassen 1–3 (nach Sensibilität) und Sicherheitsstufen P-1 bis P-7 für Papier (analog Klassen für Festplatten H, optische Medien O, Magnetbänder T, elektronische Datenträger E).

Als Faustregel: P-4 für normale personenbezogene Daten, P-5 für vertrauliche/besonders schützenswerte Informationen. Alles unter P-4 ist für sensible Inhalte fahrlässig.

Was Sie konkret tun sollten

Awareness ohne Handlung ist nur ein mulmiges Gefühl. Hier die Maßnahmen, sortiert nach Wirkung:

1. Alles Sensible schreddern — im Partikelschnitt (P-4, besser P-5). Streifenschnitt gehört ausgemustert. Ein guter Cross-Cut-Schredder kostet weniger als eine einzige Datenpanne.
2. Clear-Desk- und Clear-Screen-Policy. Was nicht auf dem Tisch liegt, landet nicht im falschen Papierkorb. Kein Passwort auf Klebezetteln.
3. Verschlossene Sammelbehälter + zertifizierte Vernichtung. Abgeschlossene Konsolen, Abholung durch einen zertifizierten Dienstleister (DIN 66399), Vernichtungsnachweis verlangen und archivieren.
4. Datenträger vor Entsorgung zerstören. HDDs: zertifizierte Löschung oder Degaussing. SSDs und Smartphones: physische Zerstörung (Löschverfahren greifen bei Flash-Speicher unzuverlässig). Kopierer/MFPs: interne Platte löschen, besonders bei Leasing-Rückgabe.
5. Verpackungen mit Aussagekraft nicht erkennbar entsorgen. Herstellerkartons zerlegen, Aufkleber entfernen.
6. Bordkarten, Paket-Label, Rezepte schreddern. Der Barcode ist Teil des Dokuments.
7. Machen Sie Ihr eigenes „Mülltonnen-Audit”. Schauen Sie heute Abend selbst in den Altpapiercontainer Ihres Büros. Was Sie in fünf Minuten finden, hätte auch ein Angreifer gefunden. Nichts schärft das Bewusstsein im Team so sehr wie dieser Realitätscheck.
8. Schulen Sie die Menschen. Technik entsorgt keinen Müll — Menschen tun es. Physische Sicherheit gehört in jede Awareness-Schulung, nicht nur Phishing.

Der Selbsttest, der alles verändert: Sammeln Sie eine Woche lang alles, was normalerweise ungeschreddert im Papierkorb gelandet wäre, in einer Kiste. Legen Sie es am Ende auf einen Tisch und fragen Sie: „Wenn ein Fremder das hätte — was könnte er damit anstellen?” Die Antwort ist meist unbequem. Und genau das ist der Punkt.

Fazit

Der raffinierteste Angreifer beginnt oft am billigsten möglichen Einstiegspunkt. Und der kostet nichts, hinterlässt keine Log-Einträge und löst keinen Alarm aus: Ihre Mülltonne. Die gute Nachricht — es ist auch die am einfachsten zu schließende Lücke. Ein ordentlicher Schredder, verschlossene Behälter, konsequente Datenträger-Zerstörung und ein Team, das versteht warum, machen aus einem offenen Buch einen leeren Container.

Die Frage ist nicht, ob jemand in Ihren Müll schauen könnte. Die Frage ist, was er darin fände.

---

Quellen

• CBS News: Digital Photocopiers Loaded With Secrets (2010)
• DataBreachToday: $1.2 Million Penalty in Copier Breach (Affinity Health Plan)
• FTC: CVS Caremark Settlement — $2.25 Million (2009)
• HealthcareInfoSecurity: Rite Aid to Pay $1 Million in HIPAA Case
• Blancco: 42 % of Used Drives Sold on eBay Hold Sensitive Data (2019)
• Wikipedia: DARPA Shredder Challenge 2011
• Krebs on Security: What’s in a Boarding Pass Barcode? A Lot (2015)
• Krebs on Security: Why It’s Still A Bad Idea to Post or Trash Your Airline Boarding Pass (2017)