WiWo App Jetzt gratis testen
Anzeigen

Millionen Konten gehackt Bundesamt weiß seit Dezember von Hacker-Angriff

Die E-Mail-Konten von gut 16 Millionen Internetnutzern seien gehackt worden, meldete das BSI gestern. Heute sieht es so aus, als habe die Behörde seit Wochen von der Sicherheitslücke gewusst.

Die größten Hacker-Angriffe aller Zeiten
Telekom-Router gehackt Quelle: REUTERS
Yahoos Hackerangriff Quelle: dpa
Ashley Madison Quelle: AP
Ebay Quelle: AP
Mega-Hackerangriff auf JPMorganDie US-Großbank JPMorgan meldete im Oktober 2014, sie sei Opfer eines massiven Hackerangriffs geworden. Rund 76 Millionen Haushalte und sieben Millionen Unternehmen seien betroffen, teilte das Geldhaus mit. Demnach wurden Kundendaten wie Namen, Adressen, Telefonnummern und Email-Adressen von den Servern des Kreditinstituts entwendet. Doch gebe es keine Hinweise auf einen Diebstahl von Kontonummern, Geburtsdaten, Passwörtern oder Sozialversicherungsnummern. Zudem liege im Zusammenhang mit dem Leck kein ungewöhnlicher Kundenbetrug vor. In Zusammenarbeit mit der Polizei gehe die Bank dem Fall nach. Ins Visier wurden laut dem Finanzinstitut nur Nutzer der Webseiten Chase.com und JPMorganOnline sowie der Anwendungen ChaseMobile und JPMorgan Mobile genommen. Entdeckt wurde die Cyberattacke Mitte August, sagte die Sprecherin von JPMorgan, Patricia Wexler. Dabei stellte sich heraus, dass die Sicherheitslücken schon seit Juni bestünden. Inzwischen seien die Zugriffswege jedoch identifiziert und geschlossen worden. Gefährdete Konten seien zudem deaktiviert und die Passwörter aller IT-Techniker geändert worden, versicherte Wexler. Ob JPMorgan weiß, wer hinter dem Hackerangriff steckt, wollte sie nicht sagen. Quelle: REUTERS
Angriff auf Apple und Facebook Quelle: dapd
 Twitter Quelle: dpa

Mehrere Millionen Zugangsdaten für Online-Dienste sind nach Angaben des Bundesamt für Sicherheit in der Informationstechnik (BSI) gekapert worden. Betroffen seien 16 Millionen Benutzerkonten, teilte die Behörde am Dienstag mit. Die geknackten Datensätze enthielten meist eine E-Mail-Adresse und ein Passwort, erklärte das BSI. Forscher und Strafverfolger seien auf die Daten gestoßen und hätten sie an das BSI übergeben. Allerdings passierte das nicht erst gestern oder vorgestern, sondern schon im Dezember. Das BSI hat bestätigt, dass ihm der millionenfache Klau von Online-Zugangsdaten schon seit Wochen bekannt gewesen ist. „Wir wussten seit Dezember davon. Die Vorbereitungen ein Verfahren aufzusetzen, dass datenschutzgerecht ist und einer derart großen Zahl von Anfragen gewachsen ist, das bedurfte einer Vorbereitungszeit“, sagte BSI-Präsident Michael Hange im Bayerischen Rundfunk am Mittwoch. Zunächst hatte die „Mitteldeutsche Zeitung“ berichtet, das BSI sei spätestens seit Dezember informiert gewesen.

00000000 für den Start von Atomraketen
Das Passwort für den Abschuss der US-Minuteman-Atomraketen war denkbar schlecht: Wie das Online-Portal " heise.de" berichtet, bestand die Kombination für fast zwei Jahrzehnte aus acht Nullen. Demnach entschied das Strategic Air Command (SAC) wohl, dass die Militärentscheider in der heißen Phase des Kalten Krieges die Raketen möglichst schnell starten können sollten. Darüber hinaus soll das Passwort auch noch auf den Start-Checklisten ausgedruckt worden sein. So hätten sogar zivile Arbeiter Zugang zu den vernichtenden Waffen gehabt. Quelle: AP
Joseph Bonneau von der Universität Cambridge hat 70 Millionen Passwörter analysiert. Dafür musste er allerdings nicht in Rechner einbrechen - er analysierte die sogenannten Hash-Werte der Passwörter. Das ist eine Art Fingerabdruck des Passworts mit dessen Hilfe Computer herausfinden können, ob ein Passwort richtig ist, ohne es im Klartext zu speichern. Die Hash-Werte lassen aber Rückschlüsse auf das Passwort zu. Quelle: dapd
In der Wirtschaft sieht es dagegen schlecht aus: Das weltweit beliebteste Passwort in der internationalen Wirtschaftswelt laut Studie ist das sehr unkreative „password1“, gefolgt von „welcome“, „password01“ und „password2“ - da wird das Passwort zur Einladung für Hacker. Quelle: dpa
Davon abgesehen spiegeln sich aber auch kulturelle Unterschiede in den Passwortgewohnheiten wieder. Die Vorliebe der Chinesen für Zahlen beispielsweise, zeigt sich auch bei den verwendeten Passwörtern. Damit landen die Chinesen im Gesamt-Ranking auf einem guten mittleren Platz weit vor den Briten. Beide müssen sich allerdings den Deutschen geschlagen geben - und unter diesen interessanterweise besonders den über 55-Jährigen. Ihre Passwörter sind besonders sicher. Die Passwörter der unter 25-jährigen seien dagegen nur halb so sicher. Allerdings könnte hier den Deutschen auch eine Eigenart ihrer Sprache helfen: Das Deutsche enthält ungewöhnlich viele lange Worte. Quelle: Reuters
Der Computerwissenschaftler fand Unterschiede und Gemeinsamkeiten zwischen den Kulturen heraus. Eine große interkulturelle Gemeinsamkeit: die Faulheit der Nutzer. Die Mehrzahl der Passwörter besteht aus gerade einmal sechs Zeichen - egal ob in Peking oder New York. Selbst ein sogenanntes „Skriptkiddie“, das nicht mehr beherrscht als bekannte Hacker-Tools einzusetzen, kann so ein Passwort innerhalb von rund zehn Minuten knacken - zumindest wenn der Computer einen Brute-Force-Angriff nicht durch technische Maßnahmen verhindert. Ein solcher Brute-Force-Angriff probiert automatisch Passwort-Kombinationen nach dem Zufallsprinzip aus - durch die große Anzahl der Versuche wird irgendwann die richtige Kombination dabei sein. Quelle: dpa
Doch wie kommen Nutzer nun zum einfachen und dennoch sicheren Passwort? Die wichtigste Regel zuerst: Wörter, die so im Lexikon stehen, sind absolut tabu. Weil viele Anmeldesysteme nur eine begrenzte Anzahl von Versuchen erlauben, sind Angreifer von der sogenannten Bruteforce-Methode abgekommen. Dabei werden einfach automatisiert sämtliche möglichen Buchstaben- und Nummerkombinationen durchprobiert. Stattdessen werden Listen mit Standard-Passwörtern abgearbeitet, die meist einfach aus Wörtern aus Lexika stammen. Foto: ap
Sonderzeichen nutzenUm sich das eigene Passwort trotzdem merken zu können, kann ein Wort mit Sonderzeichen, eigenwilliger Groß/kleinschreibung oder zusätzlichen Zahlen geschrieben werden. Beispiel: HaUspf@ndbr1ef23. Das "U" wird mitten im Satz groß geschrieben, das "A" wird durch ein "@" ersetzt, das "I" durch eine eins und am Ende des Wortes wird noch eine Nummer angehängt. Noch besser ist allerdings, wenn Sie einzelne Buchstaben mit weniger einfachen Regeln durch Zahlen ersetzen. Beispiel: Jedes "E" durch eine "11" ersetzen. Mögliche Eselsbrücke: Die Elf teilt mit dem "E" den selben Anfangsbuchstaben. Foto: ap

Die Behörde richtete eine Webseite ein, auf der Menschen überprüfen konnten, ob sie betroffen sind. Der Ansturm an Anfragen zwang allerdings die Server in die Knie, die Seite war zeitweise nicht mehr erreichbar.

Der test beim BSI läuft so ab: Gibt es bei der Überprüfung der E-Mail-Adresse einen Treffer, bekommen die Internetnutzer eine Nachricht geschickt. „Wenn das passiert, ist Ihr Rechner wahrscheinlich mit einer Schadsoftware infiziert“, sagte Tim Griese vom BSI der dpa. Die Nachricht des BSI enthalte Tipps, was in diesem Fall zu tun sei. Mehr als die Hälfte der Mailadressen endeten auf .de und gehörten daher wahrscheinlich Internetnutzern aus Deutschland, sagte Griese. Wer keine Mail vom BSI bekommt, ist demnach nicht von dem Datenklau betroffen. Betroffene sollten ihren Computer digital säubern und Zugangsdaten für ihre Online-Profile ändern, empfiehlt das BSI.

In Arbeit
Bitte entschuldigen Sie. Dieses Element gibt es nicht mehr.

Die Zugangsdaten tauchten bei der Analyse von Botnetzen auf. Das sind Netzwerke gekaperter Computer, die oft ohne das Wissen der Nutzer mit Schadsoftware infiziert wurden. Kriminelle benutzen solche Zombie-Rechner beispielsweise, um massenhaft E-Mails mit Werbung oder Schadprogrammen zu versenden. „Hinter Botnetzen steckt verdammt viel kriminelle Energie und eindeutig ein böser Wille“, schreibt das BSI auf seiner Webseite. Weil noch ermittelt werde, wollte die Behörde keine weiteren Angaben zur Quelle der Daten machen. Das Bundeskriminalamt bestätigte lediglich, dass es polizeiliche Ermittlungen gegeben habe. Diese dauerten an.

© Handelsblatt GmbH – Alle Rechte vorbehalten. Nutzungsrechte erwerben?
Zur Startseite
-0%1%2%3%4%5%6%7%8%9%10%11%12%13%14%15%16%17%18%19%20%21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%100%