Essen. Die Verunsicherung der Internet-Nutzer ist riesig. Nach dem millionenfachen Klau von Online-Zugangsdaten hat das BSI bis zum Mittwochmittag bereits 12,6 Millionen Anfragen von besorgten Usern bearbeitet. Von den geprüften Mail-Adressen waren 884.000 betroffen. Die wichtigsten Fragen und Antworten.
Ein Albtraum für jeden Datenschützer und viele Privatleute: Kriminellen kennen 16 Millionen E-Mail-Adressen mitsamt der dazugehörigen Passwörter für Online-Dienste. Das hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) bekannt gegeben. Auf der Seite sicherheitstest.bsi.de lässt sich prüfen, ob die eigene Mail-Adresse betroffen ist.
Die Warnung des BSI schlug schnell hohe Wellen. Unter dem Ansturm von besorgten Internet-Nutzern brach die Seite des Bundesamtes am Dienstag immer wieder zusammen, war lange nicht erreichbar. Bis zum Mittwochmittag wurden nach Angaben von BSI-Präsident Michael Hange 12,6 Millionen Anfragen bearbeitet. Unter den geprüften Adressen seien immerhin 884.000 betroffene gewesen.
Wie kommen die Kriminellen an die Informationen?
Woher die Hacker die Daten haben, ist bislang nicht genau bekannt. Das BSI macht keine weiteren Angaben, verweist auf laufende Ermittlungen. Laut Florian Glatzner, IT-Experte beim Bundesverband der Verbraucherzentralen, gibt es eine Reihe von Möglichkeiten.
Auch interessant
Die erste: „Vielleicht ist der eigene Rechner betroffen.“ Dann hätten Millionen Deutsche unbemerkt eine Schadsoftware auf dem Computer,die Daten an die Hacker sendet. „In meinen Augen ist es auch möglich, dass die Adressen und Passwörter aus einem der großen Datendiebstähle der letzten Zeit stammen“, sagt Glatzner.
Im November 2013 wurde beispielsweise das Software-Unternehmen Adobe gehackt. Die Hacker stahlen Daten von mehr als 150 Millionen Nutzern. Ähnliches war schon im April 2011 bei Sony passiert. Nicht immer wird ein solcher Datenklau sofort bekannt. Theoretisch könnten längst andere Webshops oder E-Mail-Anbieter unbemerkt geknackt worden sein.
Warum sind Nutzer-Konten für Hacker interessant?
Passwörter und Zugangsdaten sind bares Geld. „In bestimmten Internetforen werden solche Datensätze mega- und gigabyteweise gehandelt“, erklärt Thorsten Urbanski vom IT-Sicherheitsunternehmen G-Data. Manche Internet-Abzocker sind an persönlichen Daten und Kreditkarteninformationen interessiert. Andere versuchen über die geknackten Adressen Spam-Mails zu versenden.
Ist der eigene Rechner mit Schadsoftware infiziert und Teil eines Botnetzes, kann er sogar komplett ferngesteuert werden. "Hinter Botnetzen steckt verdammt viel kriminelle Energie und eindeutig ein böser Wille", schreibt das BSI auf seiner Webseite. Das große Problem: „Der einzelne Nutzer bekommt davon in der Regel überhaupt nichts mit“, sagt Glatzner.
Auch interessant
Was müssen Betroffene jetzt machen?
Das BSI empfiehlt, alle verwendeten Computer gründlich mit einem Viren-Scanner zu überprüfen und Schadsoftware umgehend zu löschen. Eine entsprechende Anleitung findet sich auf der Seite des Bundesamtes.
Verbaucherschützer Glatzner rät auch dazu, nicht nur den normalen Virenscanner zu nutzen, sondern auch ein externes Prüfprogramm wie "Desinfec’t" zu starten. Dabei wird ein Virenscanner von einer sogenannten Boot-CD gestartet, und zwar noch bevor das eigentliche Betriebssystem hochfährt. Im Zweifel sollte der Computer sogar ganz neu aufgesetzt werden. Das alleine reicht aber nicht.
Was denn noch?
„Ändern Sie Ihr Passwort“, sagt Urbanski. „Und zwar sofort.“ Nur dann können die Nutzer sichern sein, die alleinige Kontrolle über ihr Postfach zu haben. Keinesfalls sollten die Kennwörter aber von einem betroffenen Rechner aus geändert werden. Dann könnten die Hacker die Daten gleich wieder ausspähen.
Reicht es, das Mail-Passwort zu ändern?
Die laut BSI gefundenen Kombinationen aus E-Mail-Adresse und Passwort müssen nicht zwangsläufig nur als Zugang für Mail-Postfächer dienen. Auch andere Online-Dienste können kompromittiert sein. Außerdem gilt: „Wer Zugriff auf Ihr E-Mail-Postfach hat, kann zum Beispiel sehen wo Sie im Netz einkaufen“, erklärt Urbanski. Im schlimmsten Fall lässt er sich dann von Online-Händlern wie Amazon und Zalando ein neues Passwort an die gehackte Mail-Adresse schicken oder er späht es gleich über die Schadsofware aus.
Auch interessant
Dann können die Hacker Waren über das Konto bestellen. „Man sollte außerdem grundsätzlich verschiedene Passwörter für jedes einzelne Online-Konto haben“, erklärt Glatzner.
Wie sieht ein sicheres Passwort aus?
Die zurzeit beliebtesten Passwörter lauten „123456“ und „password“. Damit machen es Internetnutzern den Angreifern unnötig leicht. Auch eindeutige Namen oder Begriffe sind nicht sicher. Spezielle Computerprogrammen können in Windeseile ganze Wörterbücher durchprobieren und so das richtige Kennwort finden.
Thorsten Urbanski verrät, wie es besser geht: „Ein Tipp ist, sich einen Satz auszudenken und dann nur die Anfangsbuchstaben zu verwendet.“ Wer dann noch Zahlen und Sonderzeichen einbaut, ist relativ sicher. Ein gutes Passwort hat zudem mindestens acht Zeichen. Besser sind zwölf und mehr. Klingt alles kompliziert, ist aber einfach. Aus dem Satz „An einem sonnigen Tag im Mai 1995 aß ich ein Eis“, wird zum Beispiel das Passwort „AesTiM_1995_aieE“.
Ist ein einmal gehacktes Postfach noch sicher?
Ja. Torsten Urbanski kann Entwarnung geben: „Wenn das Passwort geändert wurde, kann ein Fremder nicht mehr ohne Weiteres darauf zugreifen.“
