Drei Millionen gehackte E-Mail-Konten: Nicht jeder wird vom BSI informiert
Millionen deutsche Eigentümer gehackter E-Mail-Konten erhalten aktuell E-Mails von ihren Providern, wenn ihr E-Mail-Konto zu den 18 Millionen gehackten Accounts aus dem neuesten Datenfund der Staatsanwaltschaft Verden im Internet gehört.
18 Millionen Zugangsdaten zu E-Mail-Konten, von denen nach Angaben des BSI 3 Millionen deutsche Eigentümer haben, hat die Staatsanwaltschaft Verden im Internet sichergestellt. Man könnte meinen, dass man jetzt nur noch die Eigentümer der E-Mail-Adressen benachrichtigen muss, damit diese die notwendigen Maßnahmen treffen können. Dazu gehören beispielsweise die Überprüfung des PCs auf Schadsoftware und vor allem die Vergabe eines neuen Passwortes für den Zugang zum Konto. Ganz so einfach ist es aber leider nicht.
Der erste Schritt: Herausfinden, ob man zu den Opfern gehört
Ungefähr 70 % der drei Millionen gehackten E-Mail-Konten deutscher Eigentümer werden von den großen deutschen Providern wie Deutsche Telekom, Freenet, GMX, Kabel Deutschland, Vodafone oder Web.de verwaltet. Für diesen Teil der gehackten Konten hat das BSI mit den Providern verabredet, dass die Eigentümer direkt von ihnen benachrichtigt werden.
Das klingt, als sei der Großteil der Betroffenen auf diese Weise einfach zu informieren, aber Vorsicht: Zurzeit ist noch weitgehend unklar, woher die Daten eigentlich stammen und zu welchen Diensten sie passen. Es kann sich also zwar um die Login-Daten zu den E-Mail-Accounts handeln, an die die Sicherheitswarnungen der Provider geschickt werden – muss aber nicht.
Aber selbst wenn es wirklich die Zugangsdaten zum E-Mail-Konto sind, ist bei diesem Verfahren nicht sichergestellt, dass der Kunde die Mail von seinem Provider auch wirklich erhält. Denn ein Angreifer könnte sie ja vorher löschen, um zu verhindern, dass sein Opfer gewarnt wird und das Passwort ändert.
Eine weitere Gruppe von Betroffenen hat ein E-Mail-Konto bei einem anderen Provider, der nicht an der mit dem BSI verabredeten Mailing-Aktion teilnimmt und wird deshalb ebenfalls keine Benachrichtigung erhalten. Und dann gibt es noch die Betroffenen, die ihre E-Mail-Konten auf einem eigenen oder angemieteten Server verwalten. Auch sie werden nicht automatisch benachrichtigt.
Für die schwierigen Fälle gibt es den BSI-Sicherheitstest
Für diese schwierigen Fälle hat das BSI den aus dem Hack von 16 Millionen Emailkonten im Januar bekannten, webbasierten Sicherheitstest aktualisiert. Diese Internetseite zeigt kurze Hinweise für die Nutzung und darunter ein Eingabeformular für die Emailadresse.
Nach dem Abhaken des Disclaimers und dem Eintragen der zu prüfenden Email-Adresse ins Formularfeld klickt man auf die Schaltfläche „Überprüfung starten“. Als Antwort erhält man eine Bestätigung mit einem sogenannten „Betreff-Code“ darin und wird nochmals darauf hingewiesen, dass man nur dann eine E-Mail mit Verhaltenstipps bekommt, wenn die eingegebene E-Mail-Adresse auch in der Sammlung der gestohlenen Daten vorkommt. Nur wer diesen Sicherheitstest gemacht und keine E-Mail zurückbekommen hat, kann sichergehen, dass sein E-Mail-Konto nicht zu den gehackten gehört und deshalb keine weiteren Maßnahmen erforderlich sind.
Das sollte die Eigentümer aber nicht davon abhalten, trotzdem darüber nachzudenken, ob man die Sicherheit seines E-Mail-Kontos nicht noch verbessern kann. Ein stärkeres Passwort mit mindestens zehn Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen erhöht die Chance, auch beim nächsten Datenklau wieder nicht dabei zu sein, unter Umständen deutlich.
Verschiedene Passwörter für verschiedene Dienste
Auch einfache Veränderungen lieb gewordener schlechter Angewohnheiten können die Sicherheit deutlich erhöhen und auch den Schaden bei einem solchen Vorfall klein halten. Dazu gehört zum Beispiel, dass man für sein E-Mail-Konto kein Passwort verwenden sollte, das man schon für den Zugang zu anderen Diensten im Internet benutzt.
Die Kriminellen kennen diese weit verbreitete Nachlässigkeit und sind auch gerne bereit, als Dreingabe zu einem E-Mail-Konto, über das sie ihre Spam-Emails absetzen können, auch noch Werbung über Facebook und WhatsApp im Namen des Konten-Eigentümers zu versenden oder sogar mit seinem Paypal-Konto bezahlte Ware an eine alternative Lieferadresse senden zu lassen.
Ein Beitrag von:
