184 Millionen Passwörter wurden bei Facebook, Google und anderen geleakt: Was Sie über diesen Datenverlust wissen müssen

Die Datei blieb völlig ungeschützt - keine Verschlüsselung, kein Passwort, keine Sicherheitsmaßnahmen - lediglich ein Klartextdokument, das Millionen von sensiblen Daten enthielt.

Obwohl dieses Mal nicht in dem gleichen Ausmaß wie beim jüngsten Datenleck, bei dem über 16 Milliarden Passwörter preisgegeben wurden, hat ein weiteres Vorfall dazu geführt, dass Passwörter sowie andere sensible Informationen bei einigen der beliebtesten Internetdienste offengelegt wurden.

Der Cybersicherheitsforscher Jeremiah Fowler gab in einem Ende letzten Monats veröffentlichten Bericht bekannt, dass er eine riesige Online-Datenbank entdeckt habe, die mehr als 184 Millionen einzigartige Account-Zugangsdaten enthält. In einer Datei waren Benutzernamen, Passwörter, E-Mail-Adressen sowie URLs zahlreicher Anwendungen und Webseiten gespeichert - darunter Google, Microsoft, Apple, Facebook, Instagram und Snapchat. Die Datenbank enthielt außerdem Zugangsdaten zu Bank- und Finanzkonten, Gesundheitsplattformen sowie Regierungsportalen.

Das Problem? Die Datei war unverschlüsselt. Kein Passwortschutz. Keine Sicherheit. Einfach eine Textdatei mit Millionen von sensiblen Daten.

Auf Grundlage seiner Analyse stellte Fowler fest, dass die Daten von einer Art Infostealer-Malware erfasst worden waren. Infostealer sind beliebte Werkzeuge bei Cyberkriminellen; sie dienen dazu, Benutzernamen, Passwörter sowie andere sensible Daten von kompromittierten Websites und Servern zu extrahieren. Sobald die Kriminellen an diese Daten gelangen, können sie sie für eigene Angriffe nutzen oder die Informationen im Darknet verkaufen.

Nachdem er die Datenbank gefunden hatte, kontaktierte Fowler den Hosting-Provider, der sie anschließend aus dem öffentlichen Zugriff entfernte. Da der Provider den Namen des Dateieigentümers nicht preisgeben wollte, sagte Fowler, er wisse nicht, ob die Datenbank legal erstellt und anschließend versehentlich öffentlich zugänglich gemacht wurde oder ob sie absichtlich zu böswilligen Zwecken genutzt wurde.

Um die Richtigkeit der Informationen zu überprüfen, schickte Fowler E-Mails an viele der im Dokument aufgeführten Personen und teilte ihnen mit, dass er eine Datenpanne untersuche. Mehrere dieser Personen bestätigten, dass die Aufzeichnungen gültige Kontopasswörter sowie weitere Daten enthielten.

Obwohl die Person oder die Personen hinter der Datenbank und der Veröffentlichung offensichtlich für diesen Vorfall verantwortlich sind, tragen auch die Nutzer einen Teil der Verantwortung.

„Viele Menschen behandeln ihre E-Mail-Konten unbewusst wie kostenlosen Cloud-Speicher und speichern dort über Jahre hinweg sensible Dokumente - wie Steuerunterlagen, medizinische Akten, Verträge und Passwörter - ohne zu bedenken, wie sensibel diese Informationen sind“, sagte Fowler. „Dies könnte ernsthafte Sicherheits- und Datenschutzrisiken mit sich bringen, falls Kriminelle Zugang zu Tausenden oder sogar Millionen von E-Mail-Konten erhalten würden.“

In seinem Bericht hob der Forscher die Arten von Bedrohungen hervor, denen Menschen ausgesetzt sind, deren Daten bei solchen Datenschutzverletzungen preisgegeben werden.

• Anmeldedaten-Angriffe - Personen, die dieselben Passwörter für mehrere Konten verwenden, gefährden ihre Sicherheit. Hacker setzen automatisierte Skripte ein, um verschiedene Kombinationen aus E-Mail-Adresse und Passwort auf Tausenden von Webseiten auszuprobieren. Ein auf einer Seite preisgegebenes Passwort kann anschließend ganz leicht auch auf anderen Seiten kompromittiert werden.

• Kontenhijacking - Cyberkriminelle, die Zugang zu Benutzernamen, Passwörtern und anderen persönlichen Daten erhalten, können Konten übernehmen. Sie können Ihre Identität stehlen, Finanzbetrug begehen sowie andere Arten von Betrügereien durchführen - nicht nur an Ihnen, sondern auch an Ihrer Familie, Ihren Freunden und anderen Kontakten.

• Ransomware und Wirtschaftsspionage - Fowler sagte, er habe in den geleakten Daten zahlreiche Geschäftsdaten gefunden. Die Angreifer können diese Informationen nutzen, um Geschäftsunterlagen zu stehlen, Ransomware-Angriffe durchzuführen und sogar Wirtschaftsspionage zu betreiben.

• Angriffe auf staatliche und Regierungsbehörden - Fowler entdeckte außerdem mehrere Regierungskonten in verschiedenen Ländern. Ein Angreifer, der über diese Informationen verfügt, kann staatliche und föderale Behörden ins Visier nehmen.

• Phishing und Social Engineering - Durch geleakte E-Mails erhalten Cyberkriminelle Einblick in die Verlaufsgeschichte der Gespräche und Kontakte einer Person. Diese Informationen können anschließend für gezielte Phishing-Angriffe sowohl auf den Kontoinhaber als auch auf seine Bekannten genutzt werden.

Wie kann man eigene vertrauliche Daten davor schützen, bei einem Datendiebstahl preisgegeben zu werden? Obwohl es keine perfekte Lösung gibt, teilte Fowler in seinem Bericht die folgenden Tipps mit:

1. Ändern Sie Ihre Passwörter jedes Jahr.

Viele Menschen haben nur eine E-Mail-Adresse, die mit mehreren Konten verknüpft ist - das bedeutet, sie können diese Adresse nicht einfach ändern. Doch man kann sein Passwort zumindest gelegentlich ändern. Das ist eine gute Idee, wenn man befürchtet, dass das alte Passwort bei einem Datenleck kompromittiert wurde.

2. Verwenden Sie komplexe und einzigartige Passwörter

Abgesehen von der Verwendung starker Passwörter sollten Sie vermeiden, dasselbe Passwort für mehrere Konten zu verwenden.

3. Überlegen Sie, einen Passwort-Manager zu verwenden.

Ein Passwort-Manager kann die anspruchsvolle Aufgabe übernehmen, für jedes Konto starke und einzigartige Passwörter zu erstellen, zu speichern und anzuwenden. Wie Fowler betonte, besteht bei der Verwendung eines Passwort-Managers ein Risiko: Falls Ihr Master-Passwort gestohlen oder kompromittiert wird, hat ein Cyberkrimineller nun den Schlüssel, um alle Ihre Passwörter zu entschlüsseln. Doch das führt uns zum nächsten Tipp.

4. Verwenden Sie die mehrfaktorielle Authentifizierung

MFA bietet eine zweite Authentifizierungsebene - meist durch einen Code, eine Authentifizierungs-App oder einen Sicherheitsschlüssel. Falls Ihr Passwort kompromittiert wird, kann ein Cyberkrimineller ohne diesen Code nicht auf Ihr Konto zugreifen. Stellen Sie sicher, dass Sie MFA bei allen verfügbaren Konten aktivieren - insbesondere bei Bank- und Finanzdienstleistungskonten sowie Passwort-Managern.

5. Prüfen Sie, ob Ihre Anmeldeinformationen geleakt wurden

Dienste wie HaveIBeenPwned verraten Ihnen, ob Ihre E-Mail-Adresse in irgendwelchen bekannten Datenschutzverletzungen aufgetaucht ist. Falls ja, sollten Sie unbedingt die Passwörter der betroffenen Konten ändern.

6. Überwachen Sie die Nutzung Ihrer Konten

Einige Websites und Dienste weisen Sie auf verdächtige Anmeldeaktivitäten sowie anderes ungewöhnliches Verhalten hin - genauso wie Ihre Kreditkartenfirma Sie auf potenziell verdächtige Transaktionen aufmerksam macht. Nutzen Sie diese Funktion immer dann, wenn möglich.

7. Verwenden Sie gute Sicherheitssoftware

Die richtige Sicherheitssoftware kann Infostealer-Malware sowie andere bekannte Bedrohungen erkennen und beseitigen. Stellen Sie sicher, dass Sie Ihre Software mit den neuesten Definitionen aktualisieren, um sich vor neuen Varianten zu schützen.