560 Millionen Zugangsdaten liegen öffentlich im Internet

Wer einen Internetdienst nutzt, hat meistens zwei Daten, mit denen er sich identifiziert. Seinen Nutzernamen und das dazugehörige Passwort. Wenn diese Daten veröffentlich werden, ist es so, als würde man einen Haustürschlüssel mit dem Namen des Betroffenen offen auf den Markplatz legen. Wenn man jetzt auch noch die Anschrift dazu legt, kann jeder die Wohnung des Betreffenden betreten. Und genau das ist jetzt passiert – allerdings mit einer halben Milliarde digitaler Haustürschlüssel. Darüber berichtete ich für MDR Aktuell.

Internetsicherheits-Experten der Firma Kromtech haben eine Datenbank entdeckt, die 560 Millionen Datensätze enthält. Das sind etwas mehr, als die Europäische Union an Einwohnern zählt. Jeder Datensatz gibt den Nutzernamen und das dazugehörige Passwort frei, denn die Datenbank ist öffentlich zugänglich. Auch das deutsche Sicherheitsunternehmen GDATA bestätigt diesen Fund. Für dessen Internetexperten Tim Berghoff ist das allerdings inzwischen keine Besonderheit mehr:

Natürlich kommen solche Datenlecks in letzter Zeit immer häufiger mal vor. Im vorliegenden Fall ist es so, dass dort Daten zusammengefasst worden sind, die aus mehreren Datenlecks stammen.

Es ist also eine regelrechte Sammlung, die der bislang unbekannte Besitzer der Datenbank angelegt hat. Spannend ist, wie der Zugang dazu gefunden wurde. Für solche Lecks gibt es inzwischen nämlich eine ganz eigene Suchmöglichkeit, erklärt Tim Berghoff:

Shodan ist eine Suchmaschine, die von einigen bezeichnet wird als die gefährlichste Suchmaschine des Internets.

Gefährlich deshalb, weil sie gezielt nach offenen Datenbanken sucht oder auch nach offenen Steuermöglichkeiten beispielsweise von Maschinen. Dabei werden genau wie bei Google Suchwörter abgefragt und dann die Ergebnisliste angezeigt.

Tim Berghoff, GDATA
Tim Berghoff, GDATA

Dort bekommt man dann eine Übersicht angezeigt, erstmal mit der Internetadresse, mit der IP-Adresse, die zu dem entsprechenden Gerät gehört und man bekommt eine Liste mit Diensten, die eben nach außen bereitgestellt werden. Es gab in der Vergangenheit Fälle, die ich auch schon gesehen habe, wo bestimmte Plattformen, überhaupt nicht mit einem Passwort versehen waren, d.h. ich musste nur drauflicken und konnte schalten und walten, wie ich wollte.

Und genau das ist jetzt auch der Fall bei der aktuellen Datenbank mit den 560 Millionen offen zugänglichen Zugangsdaten für Dropbox, LastFM, Myspace oder auch Adobe Jeder, der ein wenig Computerkenntnisse hat, kann sich die Daten herunterladen, ausprobieren und beispielsweise fremde Acoounts einfach übernehmen. Wer besonders böse ist, sperrt diese dann auch noch für jeden weiteren Besuch des eigentlichen Besitzers. Für den GDATA-Sicherheitsexperten Tim Berghoff gibt es nur eine Möglichkeit, dass zu verhindern:

Die einzige Möglichkeit, sich hier vor unliebsamen Überraschungen zu schützen, ist, die Passwörter zu ändern, die auf solchen Plattformen benutzt worden sind, gerade wenn man das Passwort auf mehreren Plattformen verwendet. Das ist generell eine Sache, von der wir ganz dringend abraten – und wir raten auch dazu, diese Passwörter regelmäßig zu ändern.

Tipps, die nicht neu sind – so sieht es auch Tim Berghoff selbst. Trotzdem würden sie selten eingehalten und das führte oft zu weiteren Sicherheitslücken.

Die Datenbank selbst ist übrigens weiterhin öffentlich zugänglich. Denn schließen kann sie nur der bislang unbekannte Besitzer – freiwillig oder nach einem entsprechenden Gerichtsurteil.