Durchgesickerte Mailzugänge und Accountdaten – eine massiv unterschätzte Alltagsgefahr
Datensicherheit geht uns alle an. Und auch wenn diese Aussage bereits fast polemisch klingen mag, sie beinhaltet dennoch die zutreffende Feststellung, dass wir zunehmend auf bestehende Systeme, Abläufe und auch Prozeduren vertrauen. Tatsächlich sind wir mittlerweile so sehr daran gewöhnt, dass wir kaum noch einen Gedanken an die dahinterliegenden Mechanismen verschwenden.
Bedenkt man jedoch einmal, was technisch alles einer Netzwerkebene geschieht, wenn beispielsweise gerade einmal eine Datei über das TCP/IP-Protokoll versendet wird, möchte man sich damit oft gar nicht weiter befassen. Technik soll und Technik muss den Nutzer schützen, auffangen und absichern. Sicherheit kann jedoch nur dort funktionieren, wo auch wir selbst aktiv zumindest die einfachsten Regeln und Vorgaben befolgen.
Falls Sie der Überzeugung sind, dass Ihre E-Mail-Zugangsdaten sicher sind, solange Sie niemandem Ihr Passwort verraten, täuscht dieser Eindruck leider. Mittlerweile vergeht kaum eine Woche ohne wahre Horrormeldungen darüber, dass erneut umfangreiche Sammlungen erbeuteter Zugangsdaten abgeflossen sind. Immer wieder tauchen im Internet enorme Mengen dieser gesammelten Datensätze auf, die zahlreiche sensible Zugangsdaten und Informationen enthalten.
Dabei handelt es sich nicht um einige zufällig erbeutete Passwörter nichts ahnender Opfer, sondern mitunter auch häufig um unfassbare Tausende, teilweise sogar um Millionen entsprechender Datensätze. Diese Sammlungen umfassen umfangreiche Listen bestätigter und authentischer E-Mail-Adressen und Zugänge, die im schlimmsten Fall gemeinsam mit weiterhin funktionierenden Passwörtern gehandelt werden.
Sicher ist nur, dass nichts sicher ist
Hat eine unbefugte Person erst einmal die Möglichkeit, unbemerkt mitzulesen, beispielsweise in einem E-Mail-Postfach, fallen ihr in den meisten Fällen auch sensible, aktuelle und/oder archivierte Nachrichten in die Hände. Diese enthalten häufig vertrauliche Informationen, die für weitere schädliche Handlungen missbraucht werden können und nicht selten auch zur Begehung von Identitätsdiebstahl beitragen.
Dabei ist es unerheblich, ob der Zugriff durch einen gezielten Hackerangriff, abgegriffene Zugangsdaten oder durch Phishing erfolgt ist. Das Ergebnis ist in allen Fällen dasselbe: Fremde haben Zugriff auf den (E-Mail)-Account.
Wer dann noch auf einen zusätzlichen Sicherheitsfaktor wie beispielsweise die Zwei-Faktor-Authentifizierung (2FA) verzichtet, bei der in den meisten Fällen ein Code an die hinterlegte Handynummer gesendet wird, verzichtet auf eine wichtige Sicherheitsebene und erleichtert es Angreifern zusätzlich.
Aus Bequemlichkeit, aufgrund falscher Sicherheitsannahmen, Zeitmangels oder schlichter Überforderung sind viele Nutzer nicht in der Lage oder nicht bereit, sich zahlreiche unterschiedliche und komplexe Passwörter zu merken. Stattdessen wird bei der Registrierung häufig dasselbe Passwort für mehrere Dienste verwendet.
Genau auf dieses Verhalten bauen viele Datenlecks auf. Gelingt es Angreifern, Zugangsdaten eines einzelnen Dienstes zu erlangen, lassen sich diese oft auch bei weiteren Plattformen erfolgreich einsetzen. Auf diese Weise kann ein nicht unerheblicher Umfang an verwertbaren Informationen zusammengetragen werden, der schließlich zur Übernahme von Nutzerkonten und im weiteren Verlauf zur Identitätsübernahme genutzt werden kann.
Aber, wie entstehen diese gewaltigen Datenlisten überhaupt?
Großangelegte Datensammlungen entstehen auf unterschiedlichen Wegen, häufig durch eine Kombination mehrerer Faktoren. Ein wesentlicher Ursprung sind Datenlecks infolge von Sicherheitslücken. Unternehmen speichern Millionen von Kundendaten in zentralen Datenbanken. Gelingt es Angreifern, Schwachstellen auszunutzen oder unzureichend geschützte Server zu kompromittieren, können sie umfangreiche Informationen abgreifen. Dazu zählen unter anderem E-Mail-Adressen, Namen, Telefonnummern sowie Passwörter, die zwar häufig in „gehashter“ (nicht in Klartext) Form vorliegen, in manchen Fällen jedoch auch im Klartext gespeichert sind. Solche „Leaks“ tauchen später oft in Untergrundforen, Telegram-Gruppen oder auf Darknet-Marktplätzen auf und verbreiten sich von dort weiter.
Typische Ursachen solcher Angriffe sind SQL-Injections, unsichere Cloud-Konfigurationen, gestohlene Administrator-Zugangsdaten oder bislang unbekannte Sicherheitslücken, sogenannte Zero-Day-Exploits.
Datensammlungen abgegriffen und missbraucht
Ein weiterer Faktor ist, dass viele Unternehmen deutlich mehr Daten speichern, als Nutzern bewusst ist. Neben aktiven Konten werden häufig auch Login-Historien, Kontaktlisten, E-Mail-Bestätigungen oder längst inaktive und nie gelöschte Accounts vorgehalten. Wird ein solches System kompromittiert, entsteht automatisch ein Massen-Datenleck, da die zugrunde liegenden Datenbanken enorme Datenmengen enthalten. Hinzu kommt das sogenannte „Credential Stuffing“ in Verbindung mit Passwortwiederverwendung. Da viele Menschen dasselbe Passwort bei mehreren Diensten verwenden, kombinieren Angreifer ältere, bereits kompromittierte E-Mail-Adressen mit Passwörtern aus anderen Datenlecks.
Auf diese Weise entstehen sogenannte Combo-Listen, die innerhalb kurzer Zeit Millionen von Datensätzen umfassen können.
Beruhigend ist in diesem Zusammenhang, dass viele Dienste Passwörter nicht als Klartext speichern, sondern diese mithilfe verschiedener kryptografischer Verfahren verschlüsseln, beziehungsweise „hashen“. Dadurch sind die Zugangsdaten zumindest nicht unmittelbar lesbar, selbst wenn es zu einem Datenabfluss kommt.
Der schnelle Check
Um zu überprüfen, ob eigene Zugangsdaten bereits von einem solchen Datenleck betroffen sind, kann der Online-Dienst „Have I Been Pwned“ genutzt werden. Dabei handelt es sich um eine frei zugängliche Plattform, mit der sich prüfen lässt, ob eine E-Mail-Adresse oder ein Passwort in bekannten Datenlecks aufgetaucht ist. Der Dienst greift dabei auf umfangreiche Sammlungen öffentlich gewordener Sicherheitsvorfälle zurück und zeigt an, bei welchen Diensten entsprechende Daten kompromittiert wurden. Nutzer erhalten so einen ersten Hinweis darauf, ob ihre Zugangsdaten möglicherweise bereits missbräuchlich verwendet oder weitergegeben wurden.
Zum Dienst „Have I Been Pwned“: „Have I Been Pwned“ sammelt und analysiert öffentlich bekannt gewordene Datenlecks, die aus Sicherheitsvorfällen, Hackerangriffen oder unzureichend geschützten Datenbanken stammen. Nutzer können dort prüfen, ob ihre E-Mail-Adresse oder – in gesonderter Form – ein Passwort Bestandteil eines bekannten Leaks geworden ist. Das Ergebnis zeigt an, bei welchen Diensten entsprechende Daten kompromittiert wurden und welche Art von Informationen betroffen war. Der Dienst ermöglicht jedoch keine Aussage darüber, ob ein konkreter Account aktuell missbräuchlich genutzt wird oder ob ein Zugriff tatsächlich erfolgt ist.
Ebenso werden ausschließlich solche Daten berücksichtigt, die bereits öffentlich bekannt geworden oder verifiziert wurden. Nicht erfasste, aktuelle oder gezielt eingesetzte Angriffe bleiben daher unsichtbar. „Have I Been Pwned“ ersetzt somit keine eigenen Sicherheitsmaßnahmen, sondern dient lediglich als Hinweis- und Kontrollinstrument. Die Verantwortung für sichere Passwörter, zusätzliche Schutzmechanismen wie Zwei-Faktor-Authentifizierung und regelmäßige Sicherheitsüberprüfungen verbleibt weiterhin beim Nutzer selbst.
Direkt zur Seite: Have I Been Pwned
Treffer? Was bedeutet ein positives Ergebnis?
Wird Ihre E-Mail-Adresse als in einem Datensatz bekannt angezeigt, ist dies zunächst kein Grund zur Panik. Wichtig ist, ruhig zu bleiben. Ein positives Suchergebnis bedeutet lediglich, dass die eingegebene E-Mail-Adresse in einer oder mehreren veröffentlichten Datenlisten enthalten ist. Es sagt zunächst nichts darüber aus, ob ein aktueller Zugriff auf Ihr E-Mail-Konto besteht.
Dennoch ist es dringend anzuraten, bei einem positiven Ergebnis umgehend Ihr Passwort zu ändern. Achten Sie dabei darauf, ein ausreichend langes und sicheres Passwort zu verwenden, das aus unterschiedlichen Zeichenarten besteht, also aus Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen. Zudem sollte dieses Passwort ausschließlich für diesen einen Dienst genutzt werden.
„Have I Been Pwned“ ist ein reiner Warn- und Aufklärungsdienst. Er verfolgt keine kommerziellen oder missbräuchlichen Interessen und sammelt keine sensiblen Zugangsdaten zu eigenen Zwecken. Mithilfe des Dienstes können Sie unter anderem feststellen, ob Ihr Benutzerkonto Teil eines bekannten Datenlecks war, bei welchem Dienst Ihre Daten kompromittiert wurden und welche konkreten Maßnahmen Sie ergreifen sollten. Dazu zählen beispielsweise das Ändern von Passwörtern oder die Aktivierung einer Zwei-Faktor-Authentifizierung.
Falls Sie mehr fundierte Informationen zu diesem äußerst umfangreichen Thema möchten, bietet der Internetauftritt des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Bonn, reichlich Lesestoff für Sie.
Projekt zum Schutz von Online-Konten
Anmelden ohne Passwort mit Passkey
Sichere Passwörter erstellen
Passwörter Schritt für Schritt merken
Single-Sign-On – Anmelden über einen Drittanbieter: Komfortabel und sicher?
Zwei-Faktor-Authentisierung – Mehr Sicherheit für Online-Konten und vernetzte Geräte
Auch Wikipedia hält viele Informationen parat
Die Online-Enzyklopädie Wikipedia bietet ergänzende und allgemein verständliche Erklärungen zu Themen wie Datenschutz, Passwortschutz und Zwei-Faktor-Authentifizierung (2FA).
Sie eignet sich besonders, um Zusammenhänge zu verstehen, Hintergründe nachzulesen und weiterführende Links zu offiziellen Quellen, Studien oder Praxisbeispielen zu finden.
Datenschutz
Passwort
Zwei-Faktor-Authentisierung
Leak
Hashfunktion
Weitere spannende Beiträge finden Sie direkt hier:
Datenklau verhindern: Einfache Tipps für Ihre Sicherheit im Internet
Kilian & Kollegen
Ihre Rechtsanwaltskanzlei in Kitzingen
Startseite
Susanne Kilian, Fachanwältin für Familien- und Verkehrsrecht, Kitzingen
Rechtsgebiete: Familienrecht | Verkehrsrecht | Unfallabwicklung | Recht auf Fahrerlaubnis | Erbrecht | Ordnungswidrigkeiten | Verkehrsstrafrecht | Allgemeines Zivilrecht
„Durchgesickerte Mailzugänge und Accountdaten – eine massiv unterschätzte Alltagsgefahr“
Ähnliche Beiträge
Durchgesickerte Mailzugänge und Accountdaten – eine massiv unterschätzte Alltagsgefahr
Datensicherheit geht uns alle an. Und auch wenn diese Aussage bereits fast polemisch klingen mag, sie beinhaltet dennoch die zutreffende Feststellung, dass wir zunehmend auf bestehende Systeme, Abläufe und auch Prozeduren vertrauen. Tatsächlich sind wir mittlerweile so sehr daran gewöhnt, dass wir kaum noch einen Gedanken an die dahinterliegenden Mechanismen verschwenden.
Bedenkt man jedoch einmal, was technisch alles einer Netzwerkebene geschieht, wenn beispielsweise gerade einmal eine Datei über das TCP/IP-Protokoll versendet wird, möchte man sich damit oft gar nicht weiter befassen. Technik soll und Technik muss den Nutzer schützen, auffangen und absichern. Sicherheit kann jedoch nur dort funktionieren, wo auch wir selbst aktiv zumindest die einfachsten Regeln und Vorgaben befolgen.
Falls Sie der Überzeugung sind, dass Ihre E-Mail-Zugangsdaten sicher sind, solange Sie niemandem Ihr Passwort verraten, täuscht dieser Eindruck leider. Mittlerweile vergeht kaum eine Woche ohne wahre Horrormeldungen darüber, dass erneut umfangreiche Sammlungen erbeuteter Zugangsdaten abgeflossen sind. Immer wieder tauchen im Internet enorme Mengen dieser gesammelten Datensätze auf, die zahlreiche sensible Zugangsdaten und Informationen enthalten.
Dabei handelt es sich nicht um einige zufällig erbeutete Passwörter nichts ahnender Opfer, sondern mitunter auch häufig um unfassbare Tausende, teilweise sogar um Millionen entsprechender Datensätze. Diese Sammlungen umfassen umfangreiche Listen bestätigter und authentischer E-Mail-Adressen und Zugänge, die im schlimmsten Fall gemeinsam mit weiterhin funktionierenden Passwörtern gehandelt werden.
Sicher ist nur, dass nichts sicher ist
Hat eine unbefugte Person erst einmal die Möglichkeit, unbemerkt mitzulesen, beispielsweise in einem E-Mail-Postfach, fallen ihr in den meisten Fällen auch sensible, aktuelle und/oder archivierte Nachrichten in die Hände. Diese enthalten häufig vertrauliche Informationen, die für weitere schädliche Handlungen missbraucht werden können und nicht selten auch zur Begehung von Identitätsdiebstahl beitragen.
Dabei ist es unerheblich, ob der Zugriff durch einen gezielten Hackerangriff, abgegriffene Zugangsdaten oder durch Phishing erfolgt ist. Das Ergebnis ist in allen Fällen dasselbe: Fremde haben Zugriff auf den (E-Mail)-Account.
Wer dann noch auf einen zusätzlichen Sicherheitsfaktor wie beispielsweise die Zwei-Faktor-Authentifizierung (2FA) verzichtet, bei der in den meisten Fällen ein Code an die hinterlegte Handynummer gesendet wird, verzichtet auf eine wichtige Sicherheitsebene und erleichtert es Angreifern zusätzlich.
Aus Bequemlichkeit, aufgrund falscher Sicherheitsannahmen, Zeitmangels oder schlichter Überforderung sind viele Nutzer nicht in der Lage oder nicht bereit, sich zahlreiche unterschiedliche und komplexe Passwörter zu merken. Stattdessen wird bei der Registrierung häufig dasselbe Passwort für mehrere Dienste verwendet.
Genau auf dieses Verhalten bauen viele Datenlecks auf. Gelingt es Angreifern, Zugangsdaten eines einzelnen Dienstes zu erlangen, lassen sich diese oft auch bei weiteren Plattformen erfolgreich einsetzen. Auf diese Weise kann ein nicht unerheblicher Umfang an verwertbaren Informationen zusammengetragen werden, der schließlich zur Übernahme von Nutzerkonten und im weiteren Verlauf zur Identitätsübernahme genutzt werden kann.
Aber, wie entstehen diese gewaltigen Datenlisten überhaupt?
Großangelegte Datensammlungen entstehen auf unterschiedlichen Wegen, häufig durch eine Kombination mehrerer Faktoren. Ein wesentlicher Ursprung sind Datenlecks infolge von Sicherheitslücken. Unternehmen speichern Millionen von Kundendaten in zentralen Datenbanken. Gelingt es Angreifern, Schwachstellen auszunutzen oder unzureichend geschützte Server zu kompromittieren, können sie umfangreiche Informationen abgreifen. Dazu zählen unter anderem E-Mail-Adressen, Namen, Telefonnummern sowie Passwörter, die zwar häufig in „gehashter“ (nicht in Klartext) Form vorliegen, in manchen Fällen jedoch auch im Klartext gespeichert sind. Solche „Leaks“ tauchen später oft in Untergrundforen, Telegram-Gruppen oder auf Darknet-Marktplätzen auf und verbreiten sich von dort weiter.
Typische Ursachen solcher Angriffe sind SQL-Injections, unsichere Cloud-Konfigurationen, gestohlene Administrator-Zugangsdaten oder bislang unbekannte Sicherheitslücken, sogenannte Zero-Day-Exploits.
Datensammlungen abgegriffen und missbraucht
Ein weiterer Faktor ist, dass viele Unternehmen deutlich mehr Daten speichern, als Nutzern bewusst ist. Neben aktiven Konten werden häufig auch Login-Historien, Kontaktlisten, E-Mail-Bestätigungen oder längst inaktive und nie gelöschte Accounts vorgehalten. Wird ein solches System kompromittiert, entsteht automatisch ein Massen-Datenleck, da die zugrunde liegenden Datenbanken enorme Datenmengen enthalten. Hinzu kommt das sogenannte „Credential Stuffing“ in Verbindung mit Passwortwiederverwendung. Da viele Menschen dasselbe Passwort bei mehreren Diensten verwenden, kombinieren Angreifer ältere, bereits kompromittierte E-Mail-Adressen mit Passwörtern aus anderen Datenlecks.
Auf diese Weise entstehen sogenannte Combo-Listen, die innerhalb kurzer Zeit Millionen von Datensätzen umfassen können.
Beruhigend ist in diesem Zusammenhang, dass viele Dienste Passwörter nicht als Klartext speichern, sondern diese mithilfe verschiedener kryptografischer Verfahren verschlüsseln, beziehungsweise „hashen“. Dadurch sind die Zugangsdaten zumindest nicht unmittelbar lesbar, selbst wenn es zu einem Datenabfluss kommt.
Der schnelle Check
Um zu überprüfen, ob eigene Zugangsdaten bereits von einem solchen Datenleck betroffen sind, kann der Online-Dienst „Have I Been Pwned“ genutzt werden. Dabei handelt es sich um eine frei zugängliche Plattform, mit der sich prüfen lässt, ob eine E-Mail-Adresse oder ein Passwort in bekannten Datenlecks aufgetaucht ist. Der Dienst greift dabei auf umfangreiche Sammlungen öffentlich gewordener Sicherheitsvorfälle zurück und zeigt an, bei welchen Diensten entsprechende Daten kompromittiert wurden. Nutzer erhalten so einen ersten Hinweis darauf, ob ihre Zugangsdaten möglicherweise bereits missbräuchlich verwendet oder weitergegeben wurden.
Zum Dienst „Have I Been Pwned“: „Have I Been Pwned“ sammelt und analysiert öffentlich bekannt gewordene Datenlecks, die aus Sicherheitsvorfällen, Hackerangriffen oder unzureichend geschützten Datenbanken stammen. Nutzer können dort prüfen, ob ihre E-Mail-Adresse oder – in gesonderter Form – ein Passwort Bestandteil eines bekannten Leaks geworden ist. Das Ergebnis zeigt an, bei welchen Diensten entsprechende Daten kompromittiert wurden und welche Art von Informationen betroffen war. Der Dienst ermöglicht jedoch keine Aussage darüber, ob ein konkreter Account aktuell missbräuchlich genutzt wird oder ob ein Zugriff tatsächlich erfolgt ist.
Ebenso werden ausschließlich solche Daten berücksichtigt, die bereits öffentlich bekannt geworden oder verifiziert wurden. Nicht erfasste, aktuelle oder gezielt eingesetzte Angriffe bleiben daher unsichtbar. „Have I Been Pwned“ ersetzt somit keine eigenen Sicherheitsmaßnahmen, sondern dient lediglich als Hinweis- und Kontrollinstrument. Die Verantwortung für sichere Passwörter, zusätzliche Schutzmechanismen wie Zwei-Faktor-Authentifizierung und regelmäßige Sicherheitsüberprüfungen verbleibt weiterhin beim Nutzer selbst.
Direkt zur Seite: Have I Been Pwned
Treffer? Was bedeutet ein positives Ergebnis?
Wird Ihre E-Mail-Adresse als in einem Datensatz bekannt angezeigt, ist dies zunächst kein Grund zur Panik. Wichtig ist, ruhig zu bleiben. Ein positives Suchergebnis bedeutet lediglich, dass die eingegebene E-Mail-Adresse in einer oder mehreren veröffentlichten Datenlisten enthalten ist. Es sagt zunächst nichts darüber aus, ob ein aktueller Zugriff auf Ihr E-Mail-Konto besteht.
Dennoch ist es dringend anzuraten, bei einem positiven Ergebnis umgehend Ihr Passwort zu ändern. Achten Sie dabei darauf, ein ausreichend langes und sicheres Passwort zu verwenden, das aus unterschiedlichen Zeichenarten besteht, also aus Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen. Zudem sollte dieses Passwort ausschließlich für diesen einen Dienst genutzt werden.
„Have I Been Pwned“ ist ein reiner Warn- und Aufklärungsdienst. Er verfolgt keine kommerziellen oder missbräuchlichen Interessen und sammelt keine sensiblen Zugangsdaten zu eigenen Zwecken. Mithilfe des Dienstes können Sie unter anderem feststellen, ob Ihr Benutzerkonto Teil eines bekannten Datenlecks war, bei welchem Dienst Ihre Daten kompromittiert wurden und welche konkreten Maßnahmen Sie ergreifen sollten. Dazu zählen beispielsweise das Ändern von Passwörtern oder die Aktivierung einer Zwei-Faktor-Authentifizierung.
Falls Sie mehr fundierte Informationen zu diesem äußerst umfangreichen Thema möchten, bietet der Internetauftritt des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Bonn, reichlich Lesestoff für Sie.
Projekt zum Schutz von Online-Konten
Anmelden ohne Passwort mit Passkey
Sichere Passwörter erstellen
Passwörter Schritt für Schritt merken
Single-Sign-On – Anmelden über einen Drittanbieter: Komfortabel und sicher?
Zwei-Faktor-Authentisierung – Mehr Sicherheit für Online-Konten und vernetzte Geräte
Auch Wikipedia hält viele Informationen parat
Die Online-Enzyklopädie Wikipedia bietet ergänzende und allgemein verständliche Erklärungen zu Themen wie Datenschutz, Passwortschutz und Zwei-Faktor-Authentifizierung (2FA).
Sie eignet sich besonders, um Zusammenhänge zu verstehen, Hintergründe nachzulesen und weiterführende Links zu offiziellen Quellen, Studien oder Praxisbeispielen zu finden.
Datenschutz
Passwort
Zwei-Faktor-Authentisierung
Leak
Hashfunktion
Weitere spannende Beiträge finden Sie direkt hier:
Datenklau verhindern: Einfache Tipps für Ihre Sicherheit im Internet
Kilian & Kollegen
Ihre Rechtsanwaltskanzlei in Kitzingen
Startseite
Susanne Kilian, Fachanwältin für Familien- und Verkehrsrecht, Kitzingen
Rechtsgebiete: Familienrecht | Verkehrsrecht | Unfallabwicklung | Recht auf Fahrerlaubnis | Erbrecht | Ordnungswidrigkeiten | Verkehrsstrafrecht | Allgemeines Zivilrecht
„Durchgesickerte Mailzugänge und Accountdaten – eine massiv unterschätzte Alltagsgefahr“