Gehackte Emailkonten: Behörde wusste es seit Dezember

Nach dem Datenklau hat das BSI zunächst geschwiegen – um vorbereitet zu sein, heißt es. Die Webseite war dennoch auch am Mittwoch zunächst nicht erreichbar.

So sieht die Darstellung der Sicherheitsprüfung aus – wäre sie denn erreichbar. Bild: dpa

BERLIN dpa | Nach dem millionenfachen Klau von Online-Zugangsdaten stürmen besorgte Internet-Nutzer die Website des Bundesamts für Sicherheit in der Informationstechnik (BSI). Sie war am Mittwochmorgen zunächst erneut nicht zu erreichen.

Das BSI hatte am Dienstag mitgeteilt, dass 16 Millionen Benutzerkonten gekapert worden seien. Die BSI-Webseite, auf der Menschen überprüfen konnten, ob sie betroffen sind, ging schon kurz darauf unter der Flut der Anfragen in die Knie.

BSI-Präsident Michael Hange bestätigte unterdessen, dass die Behörde bereits seit Dezember von dem Datenklau wusste. „Die Vorbereitungen, ein Verfahren aufzusetzen, dass datenschutzgerecht ist und einer derart großen Zahl von Anfragen gewachsen ist, das bedurfte einer Vorbereitungszeit“, rechtfertigte er die Wartezeit im Bayerischen Rundfunk. Zunächst hatte die Mitteldeutsche Zeitung berichtet, das BSI sei spätestens seit Dezember informiert gewesen.

Die Datensätze enthielten meist eine E-Mail-Adresse und ein Passwort, erklärte das BSI. Forscher und Strafverfolger seien auf die Daten gestoßen und hätten sie an das BSI übergeben.

Über eine Millionen Anfragen

Bis zum Mittwochmorgen hat das BSI bereits 8,5 Millionen Anfragen von besorgten Internet-Nutzern bearbeitet. Das sagte BSI-Präsident Michael Hange in Berlin. Darunter seien 750 000 Betroffene gewesen. Die Behörde bemühe sich, mit dem Ansturm an Anfragen fertig zu werden, sagte Hange am Rande einer Konferenz zur Cybersicherheit.

Auf der Webseite können Nutzer ihre E-Mail-Adresse eingeben, die dann mit den Daten abgeglichen wird. Auch die Bundesregierung wies auf die Testseite hin.

Die Zugangsdaten tauchten bei der Analyse von Botnetzen auf. Das sind Netzwerke gekaperter Computer, die oft ohne das Wissen der Nutzer mit Schadsoftware infiziert wurden. Kriminelle benutzen solche Zombie-Rechner beispielsweise, um massenhaft E-Mails mit Werbung oder Schadprogrammen zu versenden.

Die Datensätze können nicht nur auf gekaperte E-Mail-Konten hindeuten. Dieselbe Kombination aus Mail-Adresse und Passwort verwenden viele Internet-Anwender fahrlässig auch zum Anmelden bei anderen Dienste, etwa für Online-Netzwerke wie Facebook oder bei Shopping-Seiten.

Der netzpolitische Sprecher der SPD-Bundestagsfraktion, Lars Klingbeil, forderte angesichts des Falls mehr Investitionen in die Sicherheitsforschung. „Dieser Fall zeigt, wie sich das Thema Identitätsklau im Netz entwickelt hat, und dass wir damit auch in Zukunft wohl noch viel zu tun haben werden“, sagte Klingbeil der Zeitung Tagesspiegel. Es sei Aufgabe der Politik, die digitale Selbstständigkeit des Bürgers zu unterstützen und die Sicherheitsforschung zu stärken. „Das wird Geld kosten, was wir aber investieren sollten.“

Einmal zahlen
.

Fehler auf taz.de entdeckt?

Wir freuen uns über eine Mail an fehlerhinweis@taz.de!

Inhaltliches Feedback?

Gerne als Leser*innenkommentar unter dem Text auf taz.de oder über das Kontaktformular.

Bitte registrieren Sie sich und halten Sie sich an unsere Netiquette.

Haben Sie Probleme beim Kommentieren oder Registrieren?

Dann mailen Sie uns bitte an kommune@taz.de

Ihren Kommentar hier eingeben