Bisher größter Datenklau: Hacker erbeuten 1,2 Milliarden Datensätze

Datenklau in noch nie dagewesenem Ausmaß
Bild @ Juergen-Faelchle - Fotolia.com Es könnte der bisher größte Datendiebstahl im Internet sein: Russische Hacker haben nach Erkenntnissen amerikanischer IT-Sicherheitsexperten rund 1,2 Milliarden Einwahl-Kombinationen für Internet-Profile erbeutet. Die Datensätze bestünden aus Benutzernamen und Passwörtern, erklärte die amerikanische Sicherheitsfirma Hold Security der New York Times. Dabei seien über 500 Millionen verschiedene E-Mail-Adressen betroffen.

Datenklau in noch nie dagewesenem Ausmaß
Bild @ Juergen-Faelchle - Fotolia.com Hold Security habe die Daten in Untergrund-Kanälen im Internet entdeckt und auch mit der Hacker-Gruppe aus Zentralrussland kommuniziert, berichtete die Zeitung. Die Einwahldaten stammen demnach von rund 420 000 Websites aus aller Welt, darunter seien bekannte Firmennamen, Fortune-500-Unternehmen sowie kleine Seiten. Die Sicherheitsfirma macht keine Angaben dazu, welche Websites betroffen sind. Auf Wunsch der New York Times wurde in dem Fall ein weiterer Sicherheitsexperte hinzugezogen, der in keiner Verbindung mit Hold Security steht. Dieser bestätigte ebenfalls die Echtheit der gestohlenen Datensätze.

Zahl der Betroffenen schwer abzuschätzen

Anhand der Informationen ist es schwer abzuschätzen, wie viele Menschen genau von dem Datenklau betroffen sind. Manche nutzen verschiedene E-Mail-Adressen, unter den Datensätzen könnten auch alte Profile oder Spam-Accounts sein.

Dennoch ist Datendiebstahl dieser Art immer gefährlich: Viele Internet-Nutzer setzen die gleiche Kombination von Benutzernamen oder E-Mail-Adressen und Passwörtern bei verschiedenen Websites ein und sind dann auf breiter Front betroffen.

Auf jeden Fall wäre es eine erschütternde Dimension für einen Daten-Diebstahl: Das Internet hat nach Schätzungen insgesamt zwischen 2 und 2,5 Milliarden Nutzer. Zuletzt war es zwar keine Seltenheit mehr, dass Dutzende oder einige hundert Millionen Login-Datensätze gestohlen wurden. Aber eine so große Beute wie jetzt wurde bisher noch nicht bekannt.

Viele Webseiten immer noch angreifbar

Die meisten der betroffenen Websites seien immer noch angreifbar, sagte Hold-Chef Alex Holden der Zeitung. Sein Team habe damit angefangen, die Website-Betreiber zu benachrichtigen, habe aber nicht alle erreichen können. Die Angreifer hätten die erbeuteten Informationen bisher für den Versand von Spam-E-Mails mit Werbung oder mit Links zu Schad-Programmen benutzt. Sie erwägten aber auch, sie zu verkaufen, hieß es.

Um Ermittlungen nicht zu gefährden, wolle Hold Security die Namen der betroffenen Webseiten derzeit nicht öffentlich machen. Das Geschäftsmodell seiner Firma ist es, Websites auf Einbrüche von Datendieben zu prüfen. Hold hatte in der Vergangenheit bereits den Diebstahl einige hundert Millionen Login-Datensätze aufgedeckt.

Technisch sei ein so breit angelegter Angriff dank eines sogenanntes Botnetzes mit vielen infizierten Computern möglich. Wenn ein nichtsahnender Nutzer mit einem solchen Rechner eine Website ansteuere, prüfe das Botnetz, ob dieser angreifbar ist.

Man wisse, dass die Gruppe ihre Basis im Süden Zentralrusslands hat, erklärte Hold Security. Sie bestehe aus weniger als einem Dutzend Männer im Alter unter 30 Jahren, die sich persönlich kennen, hieß es. Eine Verbindung zur russischen Regierung konnte nicht nachgewiesen werden. Die Server der Hacker befinden sich laut Holden ebenfalls in Russland. In der Gang gebe es eine klare Arbeitsteilung: "Die einen schreiben die Programme, die anderen stehlen die Daten." Nach der Bekanntgabe des Angriffs will Holden nach eigener Aussage die Polizei hinzuziehen, obwohl die russische Regierung mutmaßliche Hacker in der Vergangenheit nicht verfolgt hat.

Insgesamt habe die Gruppe 4,5 Milliarden Datensätze erbeutet, erklärte Hold Security. Nach Abzug von Doppelungen seien 1,2 Milliarden Kombinationen von Benutzername und Passwort übriggeblieben.

Datendiebstahl in großem Rahmen keine Seltenheit

Im April dieses Jahres wurde bekannt, dass 18 Millionen E-Mail-Adressen samt Passwörtern durch einen massiven Datendiebstahl in kriminelle Hände gelangt sind - mindestens drei Millionen deutsche Nutzer waren betroffen. Obwohl im Vergleich zum aktuellen Fall weitaus weniger Datensätze gestohlen wurden, war der Aufschrei groß und die großen Provider bemühten sich, möglichst schnell eine datenschutzkonforme Lösung zu finden, um die in Deutschland betroffenen Bürger informieren zu können. Das BSI hat daher einen Sicherheits-Check online gestellt, mit dem Bürger kontrollieren konnten, ob ihre E-Mail-Login-Daten in fremde Hände geraten sind. War die Adresse und damit auch die digitale Identität des Nutzers betroffen, erhielt dieser eine entsprechende Information per E-Mail an die angegebene Adresse. Anderenfalls ging keine Nachricht an den Prüfer ein.

Doch die vom BSI zur Verfügung gestellte Abfragemöglichkeit war von geringem Wert, wie teltarif.de in einem Kommentar erläuterte. Denn selbst wenn eine E-Mail-Adresse auf der Liste stand, hieß das noch lange nicht, dass dem Nutzer auch Gefahr drohte. Und diejenigen Nutzer, deren E-Mail-Adresse nicht auf der Liste vermerkt war, durften sich mitnichten in Sicherheit wiegen. Wer sich oft mit demselben Passwort bei unterschiedlichen Seiten anmeldet, sollte generell vorsichtig sein. Tipps, wie sich Nutzer beim Diebstahl ihrer Daten verhalten sollten und welche Vorsichtsmaßnahmen beim Surfen im Internet generell getroffen werden können, haben wir in unserem Kommentar veröffentlicht.

Weitere Details und Hintergründe haben wir in einer weiteren Meldung zusammengefasst.