Datendiebstahl: Die Konsequenzen aus dem Cybervor-Hack

Welche Seiten sind betroffen?

Noch liegen keinerlei Erkenntnisse darüber vor, von welchen Webseiten die Daten stammen. Laut Hold Security sind es über 420.000 involvierte Domains. Namen wurden bislang aber nicht erwähnt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) prüft laut eigenen Angaben derzeit in Zusammenarbeit mit deutschen und us-amerikanischen Behörden die Quellen des Hacks. Das BSI will klären, ob und wie stark auch deutsche Internetnutzer und deutsche Webseiten betroffen sind.

Wichtige Schritte für mehr Sicherheit

Die wichtigsten Erkenntnisse bisher lauten: jeder kann betroffen sein und die Sicherheitslücken bestehen noch weiterhin. Obwohl die Sicherheitsfirma Hold Security speziell damit wirbt, gegen Bezahlung einen Security-Check der eigenen Accountdaten durchführen zu können, unterstreicht das BSI, dass es für Privatanwender keine Möglichkeit gibt, die Integrität der eigenen Daten zu prüfen.

In einer Pressemitteilung des BSI heißt es außerdem:

"Den Berichten zufolge ist der Hauptansatzpunkt der Angreifer nicht der Rechner des privaten Internetnutzers, sondern liegt offenbar im Bereich der Webseiten und Datenbanken von Online-Anbietern. Das BSI ruft angesichts dieses erneuten Falles die Anbieter von Online-Diensten auf, mehr für die Sicherheit ihrer Systeme und die Sicherheit der Daten zu tun, die ihnen ihre Kunden anvertrauen.

Beispielsweise sollten Daten und Datenbanken durchgängig verschlüsselt vorgehalten werden. Bekannt gewordene Schwachstellen in IT-Systemen und Software müssen rasch geschlossen werden. Darüber hinaus sollten den Nutzern sicherere Authentisierungsmöglichkeiten angeboten werden, beispielsweise eine Zwei-Faktor-Authentisierung, die über die Standard-Anmeldung per Benutzername und Passwort hinausgehen. Das BSI hat bereits 2011 ein Eckpunktepapier mit Mindestanforderungen zur Informationssicherheit bei eCommerce-Systemen veröffentlicht."

Was nun tun?

Der erste Schritt ist ein einfacher, wenn auf zeitaufwändiger: Um sicherzustellen, dass Dritte mit den womöglich entwendeten Daten nichts anstellen können, sollten die Passwörter geändert werden. Das Hasso-Plattner-Institut der Universität Potsdam stellt zudem einen Online-Check von bereits bekannten Datensätzen zur Verfügung. Der HPI Identity Leak Checker prüft anhand von E-Mailadressen, ob dazu Daten vorhanden sind, kann aber zum jüngsten Datendiebstahl aufgrund fehlender Daten noch nicht wirklich helfen.