webBrett

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einem großflächigen Identitätsdiebstahl. Bei der Analyse von Botnets haben Forscher und Strafverfolger laut einer Pressemitteilung des BSI "rund 16 Millionen kompromittierte Benutzerkonten entdeckt". Das heißt: Kriminellen sind 16 Millionen E-Mail-Adressen und dazugehörige Passwörter bekannt. Das BSI hat die entsprechenden Adressen bekommen, um die Betroffenen warnen zu können.

Wer wissen will, ob sein eigenes Postfach betroffen ist, kann das seit Dienstagvormittag auf der Website sicherheitstest.bsi.de prüfen (die Seite ist wegen der vielen Anfragen zeitweise überlastet). Dort kann man eine E-Mail-Adresse eingeben, die wird dann mit der Datenbank abgeglichen. Gehört die Adresse zu jenen, die bei der Botnet-Analyse gefunden wurden, wird eine entsprechende E-Mail an die angegebene Adresse geschickt - samt Tipps, was jetzt zu tun ist. Ist das abgefragte Konto nicht dabei, bekommt der Nutzer auch keine E-Mail. Der Dienst darf ausdrücklich nur für E-Mail-Adressen genutzt werden, deren Eigentümer man ist.

Besonders groß ist die Gefahr für diejenigen Nutzer, die ihr E-Mail-Passwort auch noch für andere Dienste verwenden. Wer das tut, sollte das ohnehin ändern, ganz gleich, ob er diesmal betroffen ist oder nicht. Die grundlegende Regel: Jeder Account bekommt ein eigenes Passwort, ob nun das Konto in einem sozialen Netzwerk, bei einem Online-Händler, dem Urlaubsportal oder der Bewertungsplattform. Sonst nämlich macht man es Angreifern sehr einfach: Wer ein Passwort hat, hat sie alle - und kann viel Schaden anrichten.

Wer von dem "Identitätsdiebstahl" betroffen ist, sollte laut BSI am besten alle Passwörter ändern, die im Zusammenhang mit der betroffenen E-Mail-Adresse genutzt werden. (Tipps für die Wahl eines sicheren Passworts finden Sie übrigens hier.)

Außerdem sollen alle Rechner auf Schadsoftware geprüft werden, denn das ist laut BSI meist der Weg, wie die Angreifer an das Passwort gekommen sind. "Die Schadprogramme werden unbemerkt auf den Rechnern der Anwender platziert, um beispielsweise Tastatureingaben und Anmeldevorgänge zu protokollieren oder Transaktionen direkt zu manipulieren." Wie man Infektionen beseitigt und welche Schutzmaßnahmen man für den eigenen Rechner ergreifen sollte, erklärt das Amt den Betroffenen ebenfalls auf seiner Website.

Der gerade bekannt gewordene Fall von millionenfachem Identitäts-Diebstahl entwickelt sich zu einem Beispiel dafür, wie stark es hierzulande noch an Wissen und Professionalität bei solchen Themen mangelt.

So gerät das Bundesamt für Sicherheit in der Informationstechnik (BSI) nun in die Kritik, weil man die betroffenen Nutzer viel zu lange nicht informierte. Michael Hange, der Chef der Behörde, hatte eingeräumt, dass die Informationen über rund 16 Millionen entwendete Login-Kennungen schon seit Dezember vorlagen. Dass man die Öffentlichkeit erst gestern in Kenntnis setzte, entschuldigte der BSI-Chef mit der Notwendigkeit, innerhalb der Behörde erst Vorbereitungen zu treffen.

Angesichts des enormen Umfangs des Identitätsdiebstahls wäre Eile allerdings angebracht gewesen. Denn Kriminelle, die ebenfalls im Besitz der Daten waren, hatten nun weitere Wochen Zeit, um in Accounts zahlreicher Internet-Nutzer einzudringen und im schlimmsten Fall einen signifikanten finanziellen Schaden zu verursachen.


Hinzu kommt, dass das BSI offenbar nicht damit gerechnet hat, dass so viele Nutzer seiner Aufforderung folgen und auf seiner Webseite überprüfen, ob die eigene E-Mail-Adresse in den Datenbeständen enthalten ist. Über Stunden war der entsprechende Server wegen Überlastung nicht zu erreichen. Doch statt schnell zu reagieren und im Hintergrund eine ausreichend starke Lastverteilung zu realisieren, empfahl BSI-Sprecher Tim Griese laut dem Spiegel: "Die Seite ist immer wieder mal aufrufbar. Am besten probiert man es mehrfach." Damit dürfte sich die Last allerdings eher noch erhöht haben.

Auch die Politik reagierte inzwischen auf die Angelegenheit - allerdings recht durchwachsen. Diesmal nutzte der Berliner Justiz- und Verbraucherschutz-Senator Thomas Heilmann (CDU) den Vorfall, um die umfassende Speicherung von Telekommunikations-Metadaten der ganzen Bevölkerung zu fordern. "Diese Taten finden erfahrungsgemäß nur im Netz statt", wusste er zu berichten. "Ohne das Instrument der Vorratsdatenspeicherung finden wir die Täter nicht", ist sich Heilmann sicher. Angesichts dessen, dass die Informationen wohl über Jahre hinweg von Botnetzen gesammelt wurden, dürfte es fraglich sein, ob ein Rückgriff auf die Telekommunikations-Metadaten einen Erfolg bringt.

Lars Klingbeil, der netzpolitische Sprecher der SPD-Bundestagsfraktion forderte statt dessen, mehr dafür zu tun, dass die Nutzer schon im Vorfeld besser vor solchen Taten geschützt werden. Aufgabe der Politik sei es, für einen Ausbau der Sicherheits-Forschung zu sorgen. "Das wird Geld kosten, was wir aber investieren sollten", sagte er dem Tagesspiegel.