Es ist zweifelsfrei eine der größten Datenverletzungen aller Zeiten: Laut Medienberichten sollen Anfang Februar über 3,27 Milliarden Anmeldedaten bestehend aus einer E-Mail und einem Passwort in einem Hacker-Forum veröffentlicht worden sein. Solche Datensammlungen sind keine Seltenheit, allerdings ist der Umfang der neuen Hacker-Datenbank mehr als nur beachtlich. Laut Angaben der Internationalen Fernmeldeunion gab es im Jahr 2019 insgesamt nur knapp 4 Milliarden Internetnutzer. Und obgleich die meisten Anwender mehr als nur eine E-Mail und ein Passwort verwenden, ist die Gefahr bei über 3 Milliarden offengelegten Anmeldedaten für jeden einzelnen Internet-Nutzer dennoch vergleichsweise hoch, dass auch seine Anmeldeinformationen geleakt sind.
COMB-Datenbank
Die Daten der geleakten Log-in-Liste scheinen nicht alle aus einem bestimmten Datenleck zu stammen. Stattdessen stellt die als COMB (Compilation of Many Breaches) betitelte Datenbank eine Sammlung der Daten aus unterschiedlichen Datenlecks dar. Inhaltlich soll diese zum einen E-Mail-Anmeldeinformationen wie die von Gmail, Hotmail sowie Yahoo umfassen. Zum anderen jedoch auch die Anmeldedaten von unterschiedlichen Diensten wie Netflix, LinkedIn und sogar Bitcoin beinhalten.
Eine ernst zu nehmende Gefahr
Eine solche E-Mail-Passwort-Kombination, wie sie haufenweise in der COMB-Datenbank offengelegt wurden, kann für den Nutzer eine überaus ernst zu nehmende Gefahr darstellen. Denn viele Anwender nutzen dasselbe Passwort auf unterschiedlichen Seiten. Alles, was Identitätsdiebe in diesem Fall tun müssen, ist die Log-in-Daten auf unterschiedlichen Seiten wie Facebook, Amazon oder PayPal auszuprobieren. Und vor allem bei den letzten beiden Beispielen kann sich dies negativ auf das Portemonnaie auswirken.
Ein weiteres Problem ist die Passwort-zurücksetzen-Funktion. Denn falls die geleakte E-Mail zum Zurücksetzen von Passwörtern genutzt werden kann, dann können Betrüger auch auf diesem Weg Zugriff zu deinen Konten erhalten – und dich nebenbei aus ebendiesen aussperren.
Und zu guter Letzt darf man auch nicht vergessen, dass neben den Passwörtern auch unzählige E-Mail-Adressen offengelegt wurden. Diese können Hacker ihrerseits als Fundament dazu missbrauchen, um deinen Rechner mit Schadprogrammen anzustecken – von Spam-Benachrichtigungen ganz zu schweigen.
So findest du heraus, ob du betroffen bist
Die neue COMB-Datenbank und ähnliche Datensammlungen sind frei zugänglich. Das bedeutet zwar, dass Betrüger sich der dort hinterlegten Daten bedienen können, doch dasselbe gilt auch für die andere Seite. Darum können Nutzer auf unterschiedlichen Portalen im Internet prüfen, ob ihre E-Mail in einer der Datenbanken auftaucht. Die Seite CyberNews hat bereits angegeben, dass sie die COMB-Datenbank in das eigene Portfolio aufgenommen haben. Wer seine E-Mail überprüfen möchte, kann dies auf der folgenden CyberNews-Seite erledigen:
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlug ebenfalls mehrere solcher Seiten vor. Es empfiehlt sich, die eigene E-Mail-Adresse auf allen diesen Seiten zu prüfen, da sich die ihnen zugrunde liegenden Datenbanken voneinander unterscheiden können.
Zu den vom BSI empfohlenen Diensten:
- https://sec.hpi.de/ilc/
- https://haveibeenpwned.com/
- https://monitor.firefox.com/
- https://breachalarm.com/
Du bist betroffen, was nun?
Zunächst einmal solltest du das Passwort deiner E-Mail-Adresse abändern. Ist dies vollbracht, musst du dasselbe mit allen anderen Konten machen, die entweder dieselbe E-Mail-Passwort-Kombination haben oder bei denen die E-Mail zum Zurücksetzen von Passwörtern hinterlegt ist. Es empfiehlt sich darüber hinaus auch die Einstellungen der Online-Konten zu prüfen und eine sogenannte Zwei-Faktor-Authentifizierung einzurichten. Bei letzterer muss man seine Identität beim Einloggen mehrmals bestätigen – beispielsweise mit einem Passwort und einer SMS-Freischaltung. Auf diese Weise wird der Handlungsspielraum von Identitätsdieben drastisch eingeschränkt.
Sehr interessante Vorgehensweise.
Richtig wäre allerdings, dass Dienststellen wie das BSI die Nutzer einfach per E-Mail anschreiben.
Offensichtlich geht es hier darum, noch mehr E-Mail-Adressen zu sammeln. Gab es vor Jahren schon einmal, ohne wirklichen Erfolg. Nun offensichtlich ein neuer Versuch.