Passwort-Diebstahl: BSI will betroffene Anwender warnen

[UPDATE 7.4] Inzwischen hat das BSI einen Warndienst eingerichtet. Betroffene Nutzer von den deutschen Providern Deutsche Telekom, Freenet, gmx.de, Kabel Deutschland, Vodafone und Web.de werden direkt benachrichtigt.

Nach eigenen Angaben plant das Bundesamt für Sicherheit in der Informationstechnik (BSI), betroffene Nutzer von dem gestern bekannt gewordenen Passwortdiebstahl zu warnen. Einen entsprechenden Datensatz mit mehreren Millionen E-Mail-Adressen hat die Behörde von der ermittelnden Staatsanwaltschaft Verden (Aller) erhalten. Unter Einbeziehung der großen deutschen E-Mail-Provider arbeiten die Sicherheitsspezialisten des BSI an einer datenschutzschutzkonformen Lösung, um die betroffenen Internetnutzer zu informieren. Das geplante Verfahren deckt rund 70 Prozent der betroffenen deutschen E-Mail-Adressen ab. Für die Inhaber der restlichen E-Mail-Konten, beispielsweise solche, die bei anderen Providern oder vom Anwender selbst gehostet werden, soll ein Warndienst eingerichtet werden. Am kommenden Montag will das BSI Einzelheiten zu den Verfahren bekannt geben. Bis dahin seien „die notwendigen und in intensiver Zusammenarbeit mit den Behörden und den Online-Dienstleistern ablaufenden technischen und organisatorischen Vorbereitungen abgeschlossen“.

Der Spiegel hatte gestern über den von der Staatanswaltschaft Verden entdeckten Fund gestohlener E-Mail-Konten berichtet. Demnach sind rund 18 Millionen Adressen betroffen. Details wollten die Ermittler aber vorerst „aus ermittlungstaktischen Gründen“ nicht bekannt geben. Das Magazin will jedoch einen Zusammenhang mit dem Fund einer umfangreichen E-Mail-Datenbank im letzten Jahr hergestellt haben. Die Spur führte damals ins Baltikum, der Fall ist jedoch noch nicht aufgeklärt.

Diesen Fall hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Januar an die Öffentlichkeit gebracht. Der Behörde zufolge wurden bei einer Analyse von Botnetzen durch Forschungseinrichtungen und Strafverfolgungsbehörden rund 16 Millionen kompromittierte Benutzerkonten entdeckt. Sie bestehen in der Regel aus einem Benutzernamen in Form einer E-Mail-Adresse und einem Passwort. Die Anmeldedaten stammen offenbar von E-Mail- und anderen Internetdiensten, Onlineshops oder Sozialen Netzen.

Anders als die jetzt gefundenen Zugangsdaten wurden jene offenbar nicht mehr für kriminelle Aktivitäten benutzt. Das BSI richtete einen Dienst ein, mit dem Internetnutzer überprüfen konnten, ob auch ihre Mailadresse unter den gefundenen war.

Identitätsdiebstahl ist dem Bundesamt zufolge eines der größten Risiken bei der Internetnutzung. Cyberkriminelle stehlen die digitalen Identitäten von Anwendern, um in deren Namen aufzutreten, E-Mails zu versenden, auf fremde Kosten online einzukaufen oder sich auf andere Weise zu bereichern oder den Betroffenen zu schaden. Meist schleusen die Angreifer eine Schadsoftware auf dem Rechner ihres Opfers ein, die etwa Tastatureingaben und Anmeldevorgänge protokolliert oder Transaktionen direkt manipuliert. Die aufgezeichneten Daten werden dann vom Nutzer unbemerkt an von den Angreifern präparierte Rechner gesendet („Dropzones“) und anschließend von dort heruntergeladen.

Auf dem Schwarzmarkt bringen heute Zugangsdaten zu Mailkonten oder Social Media höhere Beträge als Kreditkartendaten samt PIN, wie vergangenen Monat in einem Bericht der RAND Corporation zu lesen war: Bis zu zehn weitere Zugänge eröffnen sich mit einem Log-in-Datendiebstahl. Die Daten können auch für gezieltes Phishing (Spearphishing) bei Verwandten, Freunden oder Kollegen des Opfers eingesetzt werden. Und weil das Opfer einen Missbrauch nicht sogleich bemerkt, bleiben die Daten länger nutzbar.

Um zu vermeiden, Opfer eines Identitätsdiebstahls zu werden, sollten Internetnutzer die grundlegenden Sicherheitsregeln beachten, die das BSI auf seiner Webseite „BSI für Bürger“ zusammengestellt hat. Dort steht mit dem „PC Cleaner“ auch ein Tool zum Download zur Verfügung, mit dem Internetnutzer ihren Computer auf Schadprogramme untersuchen und bereinigen können.

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de