Gehackte Emailkonten: Behörde wusste es seit Dezember

Nach dem Datenklau hat das BSI zunächst geschwiegen – um vorbereitet zu sein, heißt es. Die Webseite war dennoch auch am Mittwoch zunächst nicht erreichbar.

So sieht die Darstellung der Sicherheitsprüfung aus – wäre sie denn erreichbar. Bild: dpa

BERLIN dpa | Nach dem millionenfachen Klau von Online-Zugangsdaten stürmen besorgte Internet-Nutzer die Website des Bundesamts für Sicherheit in der Informationstechnik (BSI). Sie war am Mittwochmorgen zunächst erneut nicht zu erreichen.

Das BSI hatte am Dienstag mitgeteilt, dass 16 Millionen Benutzerkonten gekapert worden seien. Die BSI-Webseite, auf der Menschen überprüfen konnten, ob sie betroffen sind, ging schon kurz darauf unter der Flut der Anfragen in die Knie.

BSI-Präsident Michael Hange bestätigte unterdessen, dass die Behörde bereits seit Dezember von dem Datenklau wusste. „Die Vorbereitungen, ein Verfahren aufzusetzen, dass datenschutzgerecht ist und einer derart großen Zahl von Anfragen gewachsen ist, das bedurfte einer Vorbereitungszeit“, rechtfertigte er die Wartezeit im Bayerischen Rundfunk. Zunächst hatte die Mitteldeutsche Zeitung berichtet, das BSI sei spätestens seit Dezember informiert gewesen.

Die Datensätze enthielten meist eine E-Mail-Adresse und ein Passwort, erklärte das BSI. Forscher und Strafverfolger seien auf die Daten gestoßen und hätten sie an das BSI übergeben.

Über eine Millionen Anfragen

Bis zum Mittwochmorgen hat das BSI bereits 8,5 Millionen Anfragen von besorgten Internet-Nutzern bearbeitet. Das sagte BSI-Präsident Michael Hange in Berlin. Darunter seien 750 000 Betroffene gewesen. Die Behörde bemühe sich, mit dem Ansturm an Anfragen fertig zu werden, sagte Hange am Rande einer Konferenz zur Cybersicherheit.

Auf der Webseite können Nutzer ihre E-Mail-Adresse eingeben, die dann mit den Daten abgeglichen wird. Auch die Bundesregierung wies auf die Testseite hin.

Die Zugangsdaten tauchten bei der Analyse von Botnetzen auf. Das sind Netzwerke gekaperter Computer, die oft ohne das Wissen der Nutzer mit Schadsoftware infiziert wurden. Kriminelle benutzen solche Zombie-Rechner beispielsweise, um massenhaft E-Mails mit Werbung oder Schadprogrammen zu versenden.

Die Datensätze können nicht nur auf gekaperte E-Mail-Konten hindeuten. Dieselbe Kombination aus Mail-Adresse und Passwort verwenden viele Internet-Anwender fahrlässig auch zum Anmelden bei anderen Dienste, etwa für Online-Netzwerke wie Facebook oder bei Shopping-Seiten.

Der netzpolitische Sprecher der SPD-Bundestagsfraktion, Lars Klingbeil, forderte angesichts des Falls mehr Investitionen in die Sicherheitsforschung. „Dieser Fall zeigt, wie sich das Thema Identitätsklau im Netz entwickelt hat, und dass wir damit auch in Zukunft wohl noch viel zu tun haben werden“, sagte Klingbeil der Zeitung Tagesspiegel. Es sei Aufgabe der Politik, die digitale Selbstständigkeit des Bürgers zu unterstützen und die Sicherheitsforschung zu stärken. „Das wird Geld kosten, was wir aber investieren sollten.“

Comments

[Rainer B.]

Warum sollte man sich sicherer fühlen, nachdem man dem BSI seine E-Mail Adressen mitgeteilt hat?

Wäre das BSI seriös, hätte es die Namen der betroffenen E-Mail-Provider veröffentlicht und den Mechanismus der Schadsoftware, die die Passwörter abgreift, dargelegt. Dann könnte jeder selbst nachprüfen, ob er betroffen ist und müsste nicht seine Adressen zum Duschen in die BSI-Kammern schicken.

[gast]

@Rainer B. Oder gab man diese Meldung raus, um an sämtliche Passwörter zu kommen, dann hätte die NSA nicht mehr so viel zu tun ????????????

[Rainer B.]

@gast Oder man brauchte nur zu den E-Mail-Adressen noch IP-Adressen, mit denen man weiterarbeiten kann. Oder man möchte gleich beim Aufruf der BSI-Seite per Drive-by-Download alles Weitere erledigen. Vielleicht liegt es ja nur an mir, aber mein Vertrauen in Bundesbehörden geht direkt gegen Null. Das technisch Mögliche ist leider immer auch das Wahrscheinlichste. Aber wollen wir wirklich darüber nachdenken?

[Hannes]

Ich verstehe nicht, warum hier immer von "Email-Konten" die Rede ist. Fast alle Dienste im Netz verlangen eine Email-Adresse, mit der man sich dann zusammen mit einem selbst gewählten Passwort dort anmelden kann. Das hat aber genau gar nichts mit einem "Email-Konto" zu tun. Das "Email-Konto" ist das, wo man sich anmeldet, um seine Mail abzuholen oder zu lesen. Diese Datensätze können aber genauso gut von Amazon, eBay, Paypal, beliebigen Foren oder Webshops stammen. Wenn sie von einem Botnetz gesammelt worden sind, sind das wahrscheinlich beliebige Logins, die eine Schadsoftware auf den infizierten Rechnern der Benutzer gesammelt hat. Darunter werden garantiert auch Email-Konten sein, aber das ist dann reiner Zufall.

Dass mittlerweile überall alle Datensätze, in denen auch eine Email-Adresse steht, als "Email-Konten" bezeichnet werden, deutet einfach nur auf die völlige Ahnungslosigkeit und Oberflächlichkeit hin, mit der von allen Seiten mit diesem Thema umgegangen wird. Mich wundert da überhaupt nichts mehr, wenn selbst diejenigen, die es als ihren Job verstehen, über sowas zu berichten, es nicht besser wissen.

Ich kenne Leute, die bei allen möglichen Diensten ihre Email-Adresse mit dem zugehörigen Passwort als Login verwenden, weil sie glauben, das müßte so sein! Da wird halt nach einer Emailadresse und einem Passwort gefragt und dann tippen sie natürlich ihre Emailadresse und ihr Email-Passwort ein. Wundert einen das? Nicht wirklich, sie wissen es halt nicht besser.

[Hans Post]

Wo liegt denn das Problem?

Jetzt kann man sehr günstig E-Mail-Adressen im Angebot kaufen, so lese ich hier:

http://www.tornante.pf-control.de/blog1/?p=15495

[gast]

@Hans Post Ist ja wohl als Witz zu verstehen, das das BDI Daten verkauft ???