Gestohlene Mailidentität 09.04.2014, 08:32 Uhr

Drei Millionen gehackte E-Mail-Konten: Nicht jeder wird vom BSI informiert

Millionen deutsche Eigentümer gehackter E-Mail-Konten erhalten aktuell E-Mails von ihren Providern, wenn ihr E-Mail-Konto zu den 18 Millionen gehackten Accounts aus dem neuesten Datenfund der Staatsanwaltschaft Verden im Internet gehört. 

18 Millionen Zugangsdaten zu E-Mail-Konten, von denen nach Angaben des BSI 3 Millionen deutsche Eigentümer haben, hat die Staatsanwaltschaft Verden im Internet sichergestellt. Man könnte meinen, dass man jetzt nur noch die Eigentümer der E-Mail-Adressen benachrichtigen muss, damit diese die notwendigen Maßnahmen treffen können. Dazu gehören beispielsweise die Überprüfung des PCs auf Schadsoftware und vor allem die Vergabe eines neuen Passwortes für den Zugang zum Konto. Ganz so einfach ist es aber leider nicht.

Der erste Schritt: Herausfinden, ob man zu den Opfern gehört

Ungefähr 70 % der drei Millionen gehackten E-Mail-Konten deutscher Eigentümer werden von den großen deutschen Providern wie Deutsche Telekom, Freenet, GMX, Kabel Deutschland, Vodafone oder Web.de verwaltet. Für diesen Teil der gehackten Konten hat das BSI mit den Providern verabredet, dass die Eigentümer direkt von ihnen benachrichtigt werden.

Top Stellenangebote

Zur Jobbörse
Airbus-Firmenlogo
Program Certification Engineering (d/m/f) Airbus
Manching Zum Job 
Airbus-Firmenlogo
Software Developer Simulation (d/f/m) Airbus
Manching Zum Job 
Airbus-Firmenlogo
Software Developer Simulation (d/f/m) Airbus
Manching Zum Job 
Airbus Defence and Space Cyber-Firmenlogo
Security Risk and Accreditation Engineer ((d/f/m) Airbus Defence and Space Cyber
Raum München, Friedrichshafen, Manching Zum Job 
Airbus Defence and Space Cyber-Firmenlogo
Security Systems Engineer (d/f/m) Airbus Defence and Space Cyber
Raum München, Friedrichshafen, Manching Zum Job 
Raffinerie Heide GmbH-Firmenlogo
Maschinenbauingenieur (m/w/d) für Rotating Equipment Raffinerie Heide GmbH
Hemmingstedt Zum Job 
Konzept Informationssysteme GmbH-Firmenlogo
Testingenieur (m/w/d) Testautomatisierung mit Python Konzept Informationssysteme GmbH
München Zum Job 
Airbus Defence and Space Cyber-Firmenlogo
Cyber Security Engineer Aerospace (d/f/m) Airbus Defence and Space Cyber
Raum München, Friedrichshafen, Manching Zum Job 
Konzept Informationssysteme GmbH-Firmenlogo
Testingenieur (m/w/d) Embedded Systems Konzept Informationssysteme GmbH
Friedrichshafen, Kiel, Meersburg, München Zum Job 
Airbus Defence and Space-Firmenlogo
Cloud Security Architect for Aerospace (d/f/m) Airbus Defence and Space
Raum München, Friedrichshafen, Manching Zum Job 
Konzept Informationssysteme GmbH-Firmenlogo
Senior Softwareentwickler Embedded Systems (m/w/d) Konzept Informationssysteme GmbH
Friedrichshafen, Kiel, Meersburg, München Zum Job 
Polizei Berlin-Firmenlogo
Sachverständige/Sachverständiger für Elektrotechnik (Embedded Systems) mit Schwerpunkt Automotive IT (w/m/d) Polizei Berlin
Paul Vahle GmbH & Co. KG-Firmenlogo
Patentingenieur (m/w/d) Paul Vahle GmbH & Co. KG
Paul Vahle GmbH & Co. KG-Firmenlogo
Entwicklungsingenieur Leistungselektronik (m/w/d) Paul Vahle GmbH & Co. KG
KOLLMORGEN Europe GmbH-Firmenlogo
Senior Entwicklungsingenieur (m/w/d) Steuerelektronik KOLLMORGEN Europe GmbH
Ratingen Zum Job 
Paul Vahle GmbH & Co. KG-Firmenlogo
Systemarchitekt | Industrielle Kommunikationssysteme (m/w/d) Paul Vahle GmbH & Co. KG
Schwoich bei Kufstein (Österreich) Zum Job 
KOLLMORGEN Europe GmbH-Firmenlogo
Teamleiter / Senior Entwicklungsingenieur (m/w/d) Leistungselektronik KOLLMORGEN Europe GmbH
Ratingen Zum Job 
KOLLMORGEN Europe GmbH-Firmenlogo
Senior PCB Designer / Layouter (m/w/d) KOLLMORGEN Europe GmbH
Ratingen Zum Job 
KOLLMORGEN Europe GmbH-Firmenlogo
Software -Testingenieur (m/w/d) für funktionale Sicherheit KOLLMORGEN Europe GmbH
Ratingen Zum Job 
KOLLMORGEN Europe GmbH-Firmenlogo
Senior Software Architect (m/w/d) KOLLMORGEN Europe GmbH
Ratingen Zum Job 

Das klingt, als sei der Großteil der Betroffenen auf diese Weise einfach zu informieren, aber Vorsicht: Zurzeit ist noch weitgehend unklar, woher die Daten eigentlich stammen und zu welchen Diensten sie passen. Es kann sich also zwar um die Login-Daten zu den E-Mail-Accounts handeln, an die die Sicherheitswarnungen der Provider geschickt werden – muss aber nicht.

Aber selbst wenn es wirklich die Zugangsdaten zum E-Mail-Konto sind, ist bei diesem Verfahren nicht sichergestellt, dass der Kunde die Mail von seinem Provider auch wirklich erhält. Denn ein Angreifer könnte sie ja vorher löschen, um zu verhindern, dass sein Opfer gewarnt wird und das Passwort ändert.

Eine weitere Gruppe von Betroffenen hat ein E-Mail-Konto bei einem anderen Provider, der nicht an der mit dem BSI verabredeten Mailing-Aktion teilnimmt und wird deshalb ebenfalls keine Benachrichtigung erhalten. Und dann gibt es noch die Betroffenen, die ihre E-Mail-Konten auf einem eigenen oder angemieteten Server verwalten. Auch sie werden nicht automatisch benachrichtigt.

Für die schwierigen Fälle gibt es den BSI-Sicherheitstest

Für diese schwierigen Fälle hat das BSI den aus dem Hack von 16 Millionen Emailkonten im Januar bekannten, webbasierten Sicherheitstest aktualisiert. Diese Internetseite zeigt kurze Hinweise für die Nutzung und darunter ein Eingabeformular für die Emailadresse.

Nach dem Abhaken des Disclaimers und dem Eintragen der zu prüfenden Email-Adresse ins Formularfeld klickt man auf die Schaltfläche „Überprüfung starten“. Als Antwort erhält man eine Bestätigung mit einem sogenannten „Betreff-Code“ darin und wird nochmals darauf hingewiesen, dass man nur dann eine E-Mail mit Verhaltenstipps bekommt, wenn die eingegebene E-Mail-Adresse auch in der Sammlung der gestohlenen Daten vorkommt. Nur wer diesen Sicherheitstest gemacht und keine E-Mail zurückbekommen hat, kann sichergehen, dass sein E-Mail-Konto nicht zu den gehackten gehört und deshalb keine weiteren Maßnahmen erforderlich sind.

Das sollte die Eigentümer aber nicht davon abhalten, trotzdem darüber nachzudenken, ob man die Sicherheit seines E-Mail-Kontos nicht noch verbessern kann. Ein stärkeres Passwort mit mindestens zehn Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen erhöht die Chance, auch beim nächsten Datenklau wieder nicht dabei zu sein, unter Umständen deutlich.

Verschiedene Passwörter für verschiedene Dienste

Auch einfache Veränderungen lieb gewordener schlechter Angewohnheiten können die Sicherheit deutlich erhöhen und auch den Schaden bei einem solchen Vorfall klein halten. Dazu gehört zum Beispiel, dass man für sein E-Mail-Konto kein Passwort verwenden sollte, das man schon für den Zugang zu anderen Diensten im Internet benutzt.

Die Kriminellen kennen diese weit verbreitete Nachlässigkeit und sind auch gerne bereit, als Dreingabe zu einem E-Mail-Konto, über das sie ihre Spam-Emails absetzen können, auch noch Werbung über Facebook und WhatsApp im Namen des Konten-Eigentümers zu versenden oder sogar mit seinem Paypal-Konto bezahlte Ware an eine alternative Lieferadresse senden zu lassen.

 

Ein Beitrag von:

  • Klaus Ahrens

    Klaus Ahrens fühlt sich im Bereich Techniknews Zuhause. Vor allem die Bereiche Programmierung, Wissenschaft und Technik begeistern ihn.

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.