MDR INFO, 28.06.12
Hacker sind Menschen, die unerlaubt in Computernetze eindringen. Es gibt Hacker, die damit illegal Geld verdienen. Es gibt aber auch Hacker, die so vor Sicherheitslücken warnen. Doch oft werden sie einfach nicht erstgenommen. Genau das ist jetzt in Sachsen passiert. Ein Hacker hat herausgefunden, wie man bei T-Online E-Mail-Konten kapern kann. Doch T-Online reagierte zunächst nicht. Ich begleitete den Hacker für MDR INFO.
Eine Kleinstadt in Mittelsachsen. Hier tippt Matthias Ungethuem im grünen Garten auf seine Computertastatur. Er ist Hacker. Und sein Ziel heißt gerade: T-Online.
So, ich logg mich mal ein in mein T-Online-Postfach.
Der 22-Jährige hat herausgefunden, dass der E-Mail-Dienst von T-Online kritische Sicherheitslücken hat. Kurz vor unserem Gespräch entdeckt Matthias Ungethuem dann, dass die Lücken sogar noch gravierender sind, als befürchtet:
Das Passwort kann man ändern. Sobald das Passwort geändert ist, hat man vollen Zugriff auf das Postfach. Und in dem Postfach kann man dann halt E-Mails senden, alle E-Mails empfangen, und allen Schabernack treiben.
Am Computer zeigt der Hacker, wie es geht. Er hat eine Seite im Internet vorbereitet. Wenn ein Nutzer bei T-Online angemeldet ist und gleichzeitig auf diese Seite geht, dann verändert ein kleiner Programm-Code das Passwort des Nutzers, ohne dass der dies bemerkt. Und damit ist der E-Mail-Account vollständig gekapert und der T-Online-Kunde selbst kommt nicht mehr hinein.
Eine andere Variante ist viel harmloser, wenn auch sehr ärgerlich: Durch das Besuchen einer präparierten Seite im Internet kann es dem T-Online-Kunden passieren, dass seine Mails vollständig gelöscht werden. Um keine Ärger zu bekommen kapert der Hacker sein eigenes E-Mail-Konto. Er hätte aber auch jemand anderes auf diese Seite locken können.
Hier unten ist ein Link verzeichnet. Und wenn ich den Link klicke, müsste es eigentlich geschehen, dass meine E-Mails gelöscht werden, die ich hier habe. Dürfte jetzt ein, zwei Sekunden dauern, gucken wir mal nach, was noch übrig ist von meinen E-Mails. —- Gar nichts.
Gar nichts. Und genau darauf machte Matthias Ungethuem T-Online aufmerksam. Doch auch dort geschah eineinhalb Wochen ersteinmal gar nichts. Bis MDR INFO nachfragte. Phillip Blank ist Pressesprecher der Telekom.
Das Szenaria, dass der Penetrationstester beschrieben hat, ist ein sehr theoretisches. Dennoch nehmen wir die Hinweise natürlich ernst und haben inzwischen schon eine Lösung entwickelt, d.h. für die Kunden gibt es keine Gefahr.
Doch so theoretisch ist die Gefahr offenbar nicht. Gestern Abend ließen sich die Passwörter weiterhin verändern und auch die E-Mails löschen. Matthias Ungethuem ist skeptisch, ob die Veränderungen etwas bringen.
Die wollen jetzt die Lücken so schließen, dass sie nicht mehr von jedem quasi ausgenutzt werden. Das Problem ist aber, sobald sie einer ausnutzen kann, dann dauert es nicht lange, bis das alle können.
T-Online lud Matthias Ungethuem inzwischen in die Unternehmenszentrale nach Bonn ein. Offenbar will man hier mehr von dem Hacker aus der sächsischen Kleinstadt lernen.
(c) Michael Voß, www.michael-voss.de
