Amazon: Sicherheitslücke bei einigen Passwörtern

Beim Versandhausriesen Amazon wurde eine schwerwiegende Sicherheitslücke entdeckt: Diese erlaubt ein Einloggen auf die Seite, auch wenn man ein falsches Passwort eingibt, die Lücke tritt aber nur unter bestimmten Umständen auf. Wie Heise, wo man das Sicherheitsproblem entdeckt hat, berichtet, habe man von einem Leser erfahren, dass Amazon diesen auch nach Eingabe eines falschen Passworts auf das Konto durchgelassen hat. Bei der Entdeckung spielte der Zufall eine große Rolle, da sich der Amazon-Kunde unabsichtlich zwei Mal eingeloggt hat.

Beim zweiten Anmelden tat er das aber mit einem zu langen Begriff. Dabei spielte für Amazon offenbar keine Rolle, wie das Passwort verlängert wurde - solange die ersten acht Zeichen korrekt waren, war es egal, was danach eingetippt wurde. Die Kollegen von Heise haben daraufhin versucht, die Sicherheitsproblematik nachzuvollziehen, was in einigen, jedoch nicht allen Fällen funktioniert hat.

In vier von insgesamt 30 Fällen gelang ein derartiger Zugriff auf ein Amazon-Konto, bei drei Kunden des Online-Händlers war das Passwort acht Zeichen lang. Bei einem Test war das Kennwort jedoch elf Zeichen lang, hier gelang ein Einloggen, wenn man die drei letzten Zeichen wegließ.

Amazon wollte sich dazu bisher nicht äußern, Heise vermutet allerdings, dass von der Problematik vor allem Amazon-Konten betroffen sind, die schon länger aktiv sind und schon seit einer Weile keine Passwortänderung erlebt haben. Das legt den Schluss nahe, dass das Unternehmen lediglich die ersten acht Stellen des jeweiligen Begriffes speichert.

Das Problem dürfte auf den meisten internationalen Amazon-Seiten bestehen, da viele davon auf einen gemeinsamen Passwort-Server zugreifen. Nutzern, vor allem jenen, die (schon länger) ein achtstelliges Kennwort verwenden, wird empfohlen, ein Anmelden mit beliebig angehängten Zeichen zu versuchen. Vice versa sollten Nutzer mit längeren Passwörtern versuchen, nur die ersten acht Stellen einzugeben. Wer sich nicht sicher ist, sollte das Passwort gleich ändern - das kann definitiv nicht schaden.