So oder ähnlich war heute die Nachricht in den meisten Mainstream-Medien und sorgte danach im Bekanntenkreis auch bei mir im Postfach für einige panische Anfragen. Ich selbst bin mir 3 E-Mail-Adressen betroffen und dabei nicht besonders in Panik ausgebrochen. Wieso ich ruhig bleibe, keine 770 Millionen Konten „gehackt“ wurden und was ihr tun solltet, gibt es daher in einem kurzen Artikel.
Zum einen erst einmal verdrehe ich immer sofort die Augen, wenn heutzutage alles als „hacken“ bezeichnet wird, was irgendwie etwas mit einem Datenleck zu tun hat. Hollywood und die Cyber-Comedy-Truppe der Regierung tun immer alles um die „Hacker“ als böse darzustellen. Ein Hacker ist schlichtweg eine Person, die verstehen will wie Dinge funktionieren und sich diese daher näher ansehen. Ja, auch ich Spende regelmäßig dem Chaos Computer Club und gehe auf dessen Veranstaltungen.
Denn 99% der Hacker sind absolut vernünftige Menschen, die in keinster Weise irgend einen Schaden anrichten wollen. Ganz im Gegenteil, sie versuchen sogar durchaus verantwortungsbewusst mit Schwachstellen umzugehen und melden diese an Hersteller, damit sie behoben werden. Nur wenn man sich dort uneinsichtig zeigt, wird manchmal die Schraube abgelegt und Fakten geschaffen. Nur ein kleiner Anteil hat wirklich kriminelle Energie und zumeist eher als Skript-Kiddie einzustufen und nicht als Hacker.
Skript-Kiddies sind jene, die mit vorgefertigten Tools im Netz auf die Jagd nach Opfern gehen und nach bereits bekannten Schwachstellen suchen. Ein Interesse am Wissen wohnt ihnen üblicherweise nicht inne und meistens verstehen sie nur ein Bruchteil von dem was sie nutzen. Aber es gibt eben soviele Opfer und daher haben sie immer wieder auch mal Erfolg.
Was ist heute also passiert? Ein Sicherheitsforscher hat in einem Netzforum eine Liste mit 770 Millionen E-Mail-Adressen und Passwörtern gefunden und Alarm geschlagen. Die schiere Anzahl an Betroffenen hat dann die eigentliche News daraus gemacht. Dabei zeigen fast alle Indikatoren bisher daher, dass es sich eher um eine Sammlung handelt und nicht um ein kompromitiertes System/Plattform.
Rein von der Struktur kann ich sagen, dass ausschließlich Adressen betroffen sind, die bei externen Diensten genutzt werden. Interne E-Mails sind nicht betroffen. Somit bleibe ich ruhig, da es nicht mein System hier ist, dass betroffen ist. Alle betroffenen E-Mail-Adressen sind bereits teilweise vor Jahren kompromitiert worden, da verschiedene Anbieter „gehackt“ wurden.
Kleine Kostprobe? Geht auf https://haveibeenpwned.com/ und gebt dort Eure E-Mail-Adresse ein. Die Adresse wird gegen einige bekannte Listen abgeglichen und ihr bekommt angezeigt, wo Treffer gefunden wurden. Bei der Liste „Collection #1“ handelt es sich übrigens um den aktuelle Vorfall. Ansonsten findet ihr dort ggf. einige andere von Euch genutzt Dienste.
Und da es ja die Paranoiden unter Euch gibt ... ja, man kann dort seine E-Mail-Adresse eingeben. Zumindest jene, die ihr öffentlich nutzt. Die Wahrscheinlichkeit, dass es jemand bereits kennt, ist sehr hoch. Ein Idiot im Bekanntenkreis mit dem man mailt, reicht bereits mehr als aus...
Leider ist es eben nicht möglich sich die Passworte anzusehen. Es ist nur bekannt, dass diese im Klartext vorliegen (nicht gut). Somit fällt es schwer einzuschätzen aus welcher Zeit, die aktuelle Liste nun her stammt. Ich gehe aber stark davon aus, dass es sich hierbei um bereits bekannte Leaks handelt.
Wie hirnlos die Meldung für sich ist zeigt, dass die Journalisten überall angeben, dass man sein Passwort nun ändern solle. Die Aussage ist aber gleich doppelt blöde! Da man nicht weiß, welcher Dienst betroffen ist, ist dies kein einfacher Unterfangen. Da man nicht weiß, welches Passwort geleakt ist, weiß man nicht welches Passwort man ändern soll. Da man ohnehin nicht nur ein Passwort nutzen soll, ist der Tipp ohnehin wertlos. Denn ich habe hunderte von Passwörtern...
Der Vorteil davon ist eben, dass wenn ein Leak auftritt, immer nur ein Account verbrannt wird und nicht gleich ein Angreifer bei anderen Plattformen mit der gleichen Kombination sich anmelden kann. Somit ist ein „Hack“ immer sehr begrenzt.
Gerade nicht technikaffine Nutzer kriegen beim Gedanken an mehr als ein Passwort immer gleich Schweißperlen auf dem Gesicht. „Wie soll man sich die den merken?“ Ganz einfach: Gar nicht! Die Lösung dazu sind sog. Passwort-Manager. Die Idee ist simple. Es gibt nur ein Passwort, dass genutzt werden kann, um eine verschlüsselte Datenbank zu öffnen in der dann alle anderen Passwörter gespeichert sind. Für jede Seite ein eigenes.
Empfehlen tue ich hierbei Keypass (bzw. KeypassX): https://keepass.info/. Opensource, frei und gut bewährt. Vergesst die Clouddienste... Bequem und sicher schließt sich aus. Und bei 0815-Seiten kann der 0815-Nutzer durchaus auch mal dass Passwort im Browser hinterlegen, damit er nicht ständig an den Manager ran muss. Nicht empfehlenswert, aber wenn das lokale System verbrannt ist, ist sowieso immer GameOver. Wichtig ist, dass man unterschiedliche Passwort bei den Plattformen hat, da eben immer wieder irgendwo mal eingebrochen wird.
Obwohl ich mir sicher bin, dass nur irrelevante Kombinationen bei mir betroffen sind, habe ich dennoch sensible Bereiche (z.B. Mails) noch einmal neue Passwörter eingetragen. Damit ist die Sache für mich erledigt und entsprechend hält sich meine Sorge stark in Grenzen. Besorgt sollte eben nur jene sein, die das gleiche Passwort seit 2005 nutzen und überall nur ein Passwort haben. Wenn ihr dazu gehört, solltet ihr etwas ändern. Aber nicht nur Euer Passwort, sondern eben Euer gesammtes Sicherheitskonzept. Nur regelmäßig beim Virenscanner des Vertrauens einen Ablass zu zahlen, beruhigt eben nur das Gewissen und erhöht nicht die Sicherheit... ;)