Web-Identität gestohlen – aber welche?

Es ist wohl etwas, an das wir uns gewöhnen müssen – Findige Menschen mit genügend krimineller Energie durchsuchen das Internet nach Sicherheitslücken. Software wird von Menschen geschrieben und Menschen machen Fehler. Fast täglich kann man irgendwo lesen, dass wieder eine kritische Sicherheitslücke gefunden oder geschlossen wurde. Das betrifft Betriebssysteme genauso wie Programme, die auf den großen Servern laufen, damit wir Dienste wie eBay, amazon, flickr, facebook oder einfache Foren zum Gedankenaustausch nutzen können.

Kleines Beispiel gefällig?

Brandaktuell wurde eine sehr kritische Lücke in der OpenSSL Bibliothek gefunden. Für den Laien schwer verständlich. In einfachen Worten: Wenn Ihr Euch bei irgendeinem Internet-Dienst anmeldet (z.B. flickr.com), können Eure Anmeldedaten ausgespäht und zweckentfremdet werden. So kritisch das ist – und ich möchte das nicht herunter spielen – muss man dazu sagen, dass diese Lücke wohl seit 2011 besteht. Über massenhaften Missbrauch solcher Daten/Konten ist mir nichts bekannt, ich lese aber auch nicht alles – vielleicht ist Euch da mehr bekannt.

Identitäten gefunden

Aber zurück zum vorherigen extremen Fall. Das BSI hat erneut eine Meldung heraus gegeben: 18 Millionen Identitäten seien gefunden wurden. Mit Identität sei gemeint, soweit ich das herausfinden konnte, dass eine E-Mail-Adresse mit dazugehörigem Passwort gefunden wurden. 3 Millionen deutsche E-Mail-Konten sollen darunter sein.

Ob diese Daten im Zusammenhang mit der oben genannten OpenSSL-Lücke stehen? Ich weiß es nicht.

Das BSI hat die größeren E-Mail-Provider informiert so dass diese wiederum die betroffenen Kunden informieren können.

Einer dieser betroffenen Kunden ist mein Vater.

Unklar und Inkonsequent

Da mein Vater nun überhaupt keine Ahnung von solchen technischen Dingen hat, rief er mich an und fragte, was er denn nun tun solle. Naja, genau das, was in der E-Mail von Kabel-Deutschland steht, nämlich das Passwort ändern.

Aber Halt mal, einen Schritt zurück. Nochmal langsam zum mitdenken. Das BSI Informiert u.a. Kabel-Deutschland, dass eine Liste von E-Mail-Adressen mit dazugehörigen Passwörtern ausgespäht wurden.

Frage Nummer 1: E-Mail-Adresse + Passwort benutzt man an sehr vielen Stellen im Internet. Das BSI informiert nicht, wo es die Daten gefunden hat und auch nicht woher diese Daten stammen. Ist denn tatsächlich das eigentliche E-Mail-Konto beim Provider gemeint? Oder ist es das eBay-Konto? Oder das Konto von einem Online-Forum? Ich weiß es nicht.

Frage Nummer 2: Kabel-Deutschland geht nun offenbar davon aus, dass die Daten vom E-Mail-Konto gemeint sind denn genau dieses Passwort soll man jetzt ändern, schreiben sie. Sie schreiben aber im selben Text, dass die Server von Kabel-Deutschland nicht betroffen sind. Schön, die Daten wurden also nicht direkt von deren Servern entwendet. Sie gehen also davon aus, dass die Daten vom Rechner des Betroffenen ausgespäht wurden, z. B. mithilfe einer Schadsoftware. Nehmen wir also an, das würde stimmen: Warum werden die Betroffenen dann per E-Mail über eben dieses betroffene Konto informiert? Ist das nicht sehr unsicher? Wenn ein Angreifer meine Mail-Konto-Daten hat, so kann er das Passwort schon geändert haben oder solche Mails abfangen/löschen. Und wenn die betroffenen die Mail erhalten aber technisch nicht in der Lage sind die Schadsoftware zu entfernen oder überhaupt zu finden, dann wird ein neues Passwort, und sei es noch so lang, nicht helfen, da es wieder ausgespäht wird.

Im Fall meines Vaters handelt es sich um einen sehr alten Mac auf PowerPC-Basis – entwickelt dafür überhaupt jemand Schadsoftware? Mir ist bisher keine Bekannt. Das neuere Gerät ist ein MacBook und läuft, wenn ich mich recht erinnere, mit OS-X 10.8. Java ist meines Wissens nicht installiert, bei Flash bin ich gerade nicht sicher. Ich weiß es nicht aber ich halte es zumindest für unwahrscheinlich, dass die Daten direkt vom Rechner stammen.

Was tun?

Da man nichts genaues weiß, kann die Lösung eigentlich nur sein: Ändert alle Passwörter. Überall, wo Ihr Euch mit der betroffenen E-Mail-Adresse registriert habt, solltet Ihr die Passwörter ändern.

Bitte nehmt für jedes Konto ein anderes Passwort! Ansonsten hat ein Angreifer leichtes Spiel. Hat er mal ein Passwort, kann er einfach mal bei allen gängigen Anbietern ein Login versuchen. Macht es diesen Leuten nicht so leicht und verwendet individuelle Passwörter.

Übrigens: Ein einfaches aber langes Passwort ist besser als ein kurzes aber kryptisches. Beispiel: “z(%l0p” ist ein schlechteres Passwort als “Sommerspaziergang Weide gelber Pulli” – und das längere könnt Ihr Euch sogar besser merken. Längere Passwörter sind sicherer gegen Brute-Force und Wörterbuch-Angriffe, weil einfach viel mehr Kombinationen probiert werden müssen. Mehrere Wörter sind dabei wichtig, damit eben kein einzelnes Wort aus dem Wörterbuch sofort passt.

Individuelle E-Mail-Adressen

Das habe ich vor einiger Zeit mal angefangen und ich überlege ernsthaft, es für die alten Konten nachträglich zu ändern.

Ich bin aus verschiedenen Gründen nicht dafür, die Mail-Adressen der großen Anbieter wie T-online oder Kabel-Deutschland zu verwenden. Oft bekommt man dort nur eine oder eine Hand voll Adressen und nicht immer kann man sich Aliase/Weiterleitungen selber anlegen.

Viel schöner ist es, wenn man eine Mail-Adresse auf seinen Namen hat – Also nicht Max.Muster@t-online.de sondern z. B. privat@max.muster.de. Um das zu erreichen kann man sich bei diversen Anbietern eine eigene URL bestellen für ein paar Euro im Jahr und kann sich dann E-Mail-Konten und Weiterleitungen anlegen bis der Arzt kommt.

Interessant sind die Weiterleitungen! Damit kann ich mir sehr viele E-Mail-Adressen anlegen, die alle im selben E-Mail-Konto ankommen. Ich habe also keinen Mehraufwand beim prüfen und lesen meiner E-Mails.

Wenn man nun für jedes Online-Konto, also eBay, amazon, flickr, facebook, twitter, etc. pp. eine solche E-Mail-Adresse anlegt und jede Adresse für genau einen Anbieter verwendet, dann hat das gleich zwei schöne Nebeneffekte:

• Zum einen sehe ich, wenn ich unerwünschte Werbung erhalte, wer meine Mail-Adresse weitergegeben hat.
• Zum anderen würde ich in so einem aktuellen Fall von Identitätsdiebstahl genau wissen, welches Konto nun eigentlich betroffen ist!

Ich weiß, Nutzer wie mein Vater, die schon Schwierigkeiten haben sich den Unterschied zwischen “Jemand hat Zugang zu meinem Rechner” und “Ich habe ein E-Mail-Konto” vorzustellen, werden den Aufwand mit mehreren Mail-Adressen scheuen oder es gar nicht wirklich verstehen.

Ich empfehle es dennoch ab sofort jedem. Nutzt für jeden Dienst nicht nur ein individuelles Passwort sondern auch eine individuelle E-Mail-Adresse. Dann wisst Ihr im Falle eines Falles einfach ein bisschen mehr als die anderen.