Gestohlene Mailidentität 09.04.2014, 08:32 Uhr

Drei Millionen gehackte E-Mail-Konten: Nicht jeder wird vom BSI informiert

Millionen deutsche Eigentümer gehackter E-Mail-Konten erhalten aktuell E-Mails von ihren Providern, wenn ihr E-Mail-Konto zu den 18 Millionen gehackten Accounts aus dem neuesten Datenfund der Staatsanwaltschaft Verden im Internet gehört. 

18 Millionen Zugangsdaten zu E-Mail-Konten, von denen nach Angaben des BSI 3 Millionen deutsche Eigentümer haben, hat die Staatsanwaltschaft Verden im Internet sichergestellt. Man könnte meinen, dass man jetzt nur noch die Eigentümer der E-Mail-Adressen benachrichtigen muss, damit diese die notwendigen Maßnahmen treffen können. Dazu gehören beispielsweise die Überprüfung des PCs auf Schadsoftware und vor allem die Vergabe eines neuen Passwortes für den Zugang zum Konto. Ganz so einfach ist es aber leider nicht.

Der erste Schritt: Herausfinden, ob man zu den Opfern gehört

Ungefähr 70 % der drei Millionen gehackten E-Mail-Konten deutscher Eigentümer werden von den großen deutschen Providern wie Deutsche Telekom, Freenet, GMX, Kabel Deutschland, Vodafone oder Web.de verwaltet. Für diesen Teil der gehackten Konten hat das BSI mit den Providern verabredet, dass die Eigentümer direkt von ihnen benachrichtigt werden.

Top Stellenangebote

Zur Jobbörse
Ernst-Abbe-Hochschule Jena-Firmenlogo
W2-Professur für Technische Mechanik/FEM Ernst-Abbe-Hochschule Jena
Ernst-Abbe-Hochschule Jena-Firmenlogo
W2-Professur für Virtuelle Produktentwicklung Ernst-Abbe-Hochschule Jena
FH Münster-Firmenlogo
Lehrkraft für besondere Aufgaben (w/m/d) "Grundlagen des Maschinenbaus" im Fachbereich Maschinenbau FH Münster
Münster Zum Job 
Hochschule Mannheim-Firmenlogo
Professur "Werkstoffwissenschaften und Fertigungstechnologie" (m/w/d) Hochschule Mannheim
Mannheim Zum Job 
Regierungspräsidium Tübingen-Firmenlogo
Leitung des Referates 106, Beschussamt Ulm (w/m/d) Regierungspräsidium Tübingen
Hochschule für angewandte Wissenschaften München-Firmenlogo
Professur für Elektronik (W2) Hochschule für angewandte Wissenschaften München
München Zum Job 
Landtag Nordrhein-Westfalen-Firmenlogo
Stellvertretende Referatsleitung in Verbindung mit der Leitung des Sachbereichs "Technische Gebäudeausrüstung (TGA)" (m/w/d) Landtag Nordrhein-Westfalen
Düsseldorf Zum Job 
Hochschule für angewandte Wissenschaften München-Firmenlogo
Professur für Grundlagen der Elektrotechnik (W2) Hochschule für angewandte Wissenschaften München
München Zum Job 
Aluminium Deutschland e.V.-Firmenlogo
Referent Technologie Forschung Standards (m/w/d) Aluminium Deutschland e.V.
Düsseldorf Zum Job 
Bundesanstalt für Immobilienaufgaben-Firmenlogo
Objektmanagerin / Objektmanager (w/m/d) Bundesanstalt für Immobilienaufgaben
Aluminium Deutschland e.V.-Firmenlogo
Referent Technologie Forschung Standards (m/w/d) Aluminium Deutschland e.V.
Düsseldorf Zum Job 
Hochschule für angewandte Wissenschaften München-Firmenlogo
Professur für Nachhaltigkeit und Konstruktion (W2) Hochschule für angewandte Wissenschaften München
München Zum Job 
Badische Stahlwerke GmbH-Firmenlogo
Projektleiter (m/w/d) Maschinenbau / Anlagenbau Badische Stahlwerke GmbH
Hochschule Esslingen - University of Applied Sciences-Firmenlogo
Professor:in für das Lehrgebiet "Entwicklung mechatronischer Systeme" Hochschule Esslingen - University of Applied Sciences
Esslingen am Neckar Zum Job 
Max-Planck-Institut für biologische Intelligenz-Firmenlogo
Ingenieur*in für Versorgungs- / Gebäude- / Energietechnik Max-Planck-Institut für biologische Intelligenz
Martinsried Zum Job 
Technische Hochschule Nürnberg Georg Simon Ohm-Firmenlogo
Professur (W2) Schienenfahrzeugtechnik Technische Hochschule Nürnberg Georg Simon Ohm
Nürnberg Zum Job 
Technische Hochschule Nürnberg Georg Simon Ohm-Firmenlogo
Professur (W2) Umformtechnik und Simulation von Fertigungsprozessen Technische Hochschule Nürnberg Georg Simon Ohm
Nürnberg Zum Job 
Technische Hochschule Nürnberg Georg Simon Ohm-Firmenlogo
Professur (W2) Leichtfahrzeuge und Fahrzeugkonstruktion Technische Hochschule Nürnberg Georg Simon Ohm
Nürnberg Zum Job 
Technische Hochschule Nürnberg Georg Simon Ohm-Firmenlogo
Professur (W2) Cyber-physische Systeme in der Industrie Technische Hochschule Nürnberg Georg Simon Ohm
Nürnberg Zum Job 
Daniela Baum- Beratung im Gesundheitswesen-Firmenlogo
Ingenieure (m/w/d) Schwerpunkt Facility Management oder Krankenhaustechnik, Schwerpunkt Versorgungstechnik (Heizung/ Klima/ Lüftung/Sanitär) Daniela Baum- Beratung im Gesundheitswesen
Frankfurt am Main Zum Job 

Das klingt, als sei der Großteil der Betroffenen auf diese Weise einfach zu informieren, aber Vorsicht: Zurzeit ist noch weitgehend unklar, woher die Daten eigentlich stammen und zu welchen Diensten sie passen. Es kann sich also zwar um die Login-Daten zu den E-Mail-Accounts handeln, an die die Sicherheitswarnungen der Provider geschickt werden – muss aber nicht.

Aber selbst wenn es wirklich die Zugangsdaten zum E-Mail-Konto sind, ist bei diesem Verfahren nicht sichergestellt, dass der Kunde die Mail von seinem Provider auch wirklich erhält. Denn ein Angreifer könnte sie ja vorher löschen, um zu verhindern, dass sein Opfer gewarnt wird und das Passwort ändert.

Eine weitere Gruppe von Betroffenen hat ein E-Mail-Konto bei einem anderen Provider, der nicht an der mit dem BSI verabredeten Mailing-Aktion teilnimmt und wird deshalb ebenfalls keine Benachrichtigung erhalten. Und dann gibt es noch die Betroffenen, die ihre E-Mail-Konten auf einem eigenen oder angemieteten Server verwalten. Auch sie werden nicht automatisch benachrichtigt.

Für die schwierigen Fälle gibt es den BSI-Sicherheitstest

Für diese schwierigen Fälle hat das BSI den aus dem Hack von 16 Millionen Emailkonten im Januar bekannten, webbasierten Sicherheitstest aktualisiert. Diese Internetseite zeigt kurze Hinweise für die Nutzung und darunter ein Eingabeformular für die Emailadresse.

Nach dem Abhaken des Disclaimers und dem Eintragen der zu prüfenden Email-Adresse ins Formularfeld klickt man auf die Schaltfläche „Überprüfung starten“. Als Antwort erhält man eine Bestätigung mit einem sogenannten „Betreff-Code“ darin und wird nochmals darauf hingewiesen, dass man nur dann eine E-Mail mit Verhaltenstipps bekommt, wenn die eingegebene E-Mail-Adresse auch in der Sammlung der gestohlenen Daten vorkommt. Nur wer diesen Sicherheitstest gemacht und keine E-Mail zurückbekommen hat, kann sichergehen, dass sein E-Mail-Konto nicht zu den gehackten gehört und deshalb keine weiteren Maßnahmen erforderlich sind.

Das sollte die Eigentümer aber nicht davon abhalten, trotzdem darüber nachzudenken, ob man die Sicherheit seines E-Mail-Kontos nicht noch verbessern kann. Ein stärkeres Passwort mit mindestens zehn Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen erhöht die Chance, auch beim nächsten Datenklau wieder nicht dabei zu sein, unter Umständen deutlich.

Verschiedene Passwörter für verschiedene Dienste

Auch einfache Veränderungen lieb gewordener schlechter Angewohnheiten können die Sicherheit deutlich erhöhen und auch den Schaden bei einem solchen Vorfall klein halten. Dazu gehört zum Beispiel, dass man für sein E-Mail-Konto kein Passwort verwenden sollte, das man schon für den Zugang zu anderen Diensten im Internet benutzt.

Die Kriminellen kennen diese weit verbreitete Nachlässigkeit und sind auch gerne bereit, als Dreingabe zu einem E-Mail-Konto, über das sie ihre Spam-Emails absetzen können, auch noch Werbung über Facebook und WhatsApp im Namen des Konten-Eigentümers zu versenden oder sogar mit seinem Paypal-Konto bezahlte Ware an eine alternative Lieferadresse senden zu lassen.

 

Ein Beitrag von:

  • Klaus Ahrens

    Klaus Ahrens fühlt sich im Bereich Techniknews Zuhause. Vor allem die Bereiche Programmierung, Wissenschaft und Technik begeistern ihn.

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.