Verden/Berlin/Bochum. Das Bundesamt für Sicherheit in der Informationstechnik arbeitet an einer Lösung, wie Nutzer erfahren können, ob sie Opfer von dem wohl größten Daten-Diebstahl der bundesdeutschen Geschichte geworden sind. Was sollten Nutzer jetzt zudem tun?
Nach dem wohl größten Datenklau in der Geschichte in Deutschland mit 18 Millionen E-Mail-Konten will das Bundesamt für Sicherheit in der Informationstechnik in Kürze weitere Informationen zur Verfügung stellen. Am Montag will das BSI Details darüber bekanntgeben, wie mit dem jüngsten Datenklau von 18 Millionen E-Mail-Adressen verfahren wird. Mit Hochdruck werde derzeit eine datenschutzkonforme Lösung zusammen mit den Providern erarbeitet, teilte die Behörde am Freitag mit.
Wie am Donnerstag bekannt wurde, haben Unbekannte einen Datenbestand von 18 Millionen E-Mail-Adressen samt Passwörtern geklaut. Die Staatsanwaltschaft Verden in Niedersachen war bei ihren Ermittlungen zu einem ähnlich großen Datenklau auf den Datenbestand gestoßen. Demnach handelt es sich um aktiv genutzte Adressen, die zum Teil schon für den Versand von Spams missbraucht worden seien.
Das BSI rät Internet-Nutzern unterdessen, wichtige Maßnahmen zur Sicherheit zu ergreifen, darunter auf jeden Fall auch fünf "Kernmaßnahmen" zu beachten. Wer im Netz unterwegs ist, sollte demnach dafür "keinesfalls ein Administrator-Konto" nutzen. Alle gängigen Betriebssysteme böten die Möglichkeit, sich auch als Nutzer mit eingeschränkten Rechten anzumelden, betont die Behörde.
Bereits im Januar hatten Meldungen für Aufsehen gesorgt, wonach Zugangsdaten von 16 Millionen Internet-Nutzern in die Hände von Kriminellen geraten waren.
Warum sind Nutzer-Konten für Hacker interessant?
Passwörter und Zugangsdaten sind bares Geld. „In bestimmten Internetforen werden solche Datensätze mega- und gigabyteweise gehandelt“, erklärt Thorsten Urbanski vom IT-Sicherheitsunternehmen G-Data in Bochum. Manche Internet-Abzocker sind an persönlichen Daten und Kreditkarteninformationen interessiert. Andere versuchen über die geknackten Adressen Spam-Mails zu versenden.
Ist der eigene Rechner mit Schadsoftware infiziert und Teil eines Botnetzes, kann er sogar komplett ferngesteuert werden. "Hinter Botnetzen steckt verdammt viel kriminelle Energie und eindeutig ein böser Wille", schreibt das BSI auf seiner Webseite. Das große Problem: „Der einzelne Nutzer bekommt davon in der Regel überhaupt nichts mit“, sagt Glatzner.
Was müssen Betroffene jetzt machen?
„Ändern Sie Ihr Passwort“, sagt Urbanski. „Und zwar sofort.“ Nur dann können die Nutzer sichern sein, die alleinige Kontrolle über ihr Postfach zu haben. Keinesfalls sollten die Kennwörter aber von einem betroffenen Rechner aus geändert werden. Dann könnten die Hacker die Daten gleich wieder ausspähen.
Auch interessant
Reicht es, das Mail-Passwort zu ändern?
Die laut BSI gefundenen Kombinationen aus E-Mail-Adresse und Passwort müssen nicht zwangsläufig nur als Zugang für Mail-Postfächer dienen. Auch andere Online-Dienste können kompromittiert sein. Außerdem gilt: „Wer Zugriff auf Ihr E-Mail-Postfach hat, kann zum Beispiel sehen wo Sie im Netz einkaufen“, erklärt Urbanski. Im schlimmsten Fall lässt er sich dann von Online-Händlern wie Amazon und Zalando ein neues Passwort an die gehackte Mail-Adresse schicken oder er späht es gleich über die Schadsofware aus.
Dann können die Hacker Waren über das Konto bestellen. „Man sollte außerdem grundsätzlich verschiedene Passwörter für jedes einzelne Online-Konto haben“, erklärt Glatzner.
Wie sieht ein sicheres Passwort aus?
Die zurzeit beliebtesten Passwörter lauten „123456“ und „password“. Damit machen es Internetnutzern den Angreifern unnötig leicht. Auch eindeutige Namen oder Begriffe sind nicht sicher. Spezielle Computerprogrammen können in Windeseile ganze Wörterbücher durchprobieren und so das richtige Kennwort finden.
Thorsten Urbanski verrät, wie es besser geht: „Ein Tipp ist, sich einen Satz auszudenken und dann nur die Anfangsbuchstaben zu verwendet.“ Wer dann noch Zahlen und Sonderzeichen einbaut, ist relativ sicher. Ein gutes Passwort hat zudem mindestens acht Zeichen. Besser sind zwölf und mehr. Klingt alles kompliziert, ist aber einfach. Aus dem Satz „An einem sonnigen Tag im Mai 1995 aß ich ein Eis“, wird zum Beispiel das Passwort „AesTiM_1995_aieE“.
Auch interessant
Ist ein einmal gehacktes Postfach noch sicher?
Ja. Torsten Urbanski kann Entwarnung geben: „Wenn das Passwort geändert wurde, kann ein Fremder nicht mehr ohne Weiteres darauf zugreifen.“
Was ist noch zu tun?
Das BSI empfiehlt, alle verwendeten Computer gründlich mit einem Viren-Scanner zu überprüfen und Schadsoftware umgehend zu löschen. Eine entsprechende Anleitung findet sich auf der Seite des Bundesamtes. Verbaucherschützer raten auch, nicht nur den normalen Virenscanner zu nutzen, sondern auch ein externes Prüfprogramm wie "Desinfec’t" zu starten. Dabei wird ein Virenscanner von einer sogenannten Boot-CD gestartet, und zwar noch bevor das eigentliche Betriebssystem hochfährt. Im Zweifel sollte der Computer sogar ganz neu aufgesetzt werden. Das alleine reicht aber nicht. (mit afp/dpa)
