Der Sicherheitsforscher Troy Hunt hat nach eigenen Angaben einen Datensatz mit mehreren hundert Millionen Zugangsdaten für verschiedene Online-Dienste in die Hände bekommen. Hunt betreibt den Dienst HaveIBeenPwned, mit dem Nutzer prüfen können, ob ihre Mailadresse von einem Datenleck betroffen ist. Die von Hunt „Collection #1“ getaufte Datensammlung kursierte angeblich schon länger in Untergrundforen und wurde dort auch zum Verkauf angeboten.
„Anwender sollten ihre Passwörter grundsätzlich nicht mehrfach verwenden,“ sagt Marc Ester, Security Consultant bei G DATA Advanced Analytics. „Wenn das Passwort bei einem Anbieter durch mangelhafte Sicherheitsvorkehrungen kopiert wird, sind sonst zahlreiche Dienste der Nutzer angreifbar.“ Kriminelle nutzen die im Internet kursierenden Datensammlungen von Passwörtern und E-Mail-Adressen, um diese bei zahlreichen Webseiten durchzuprobieren. Diese Taktik wird von Sicherheitsexperten auch als Credential Stuffing bezeichnet.
Immer wieder werden große Mengen an Zugangsdaten im Internet veröffentlicht. Unklar ist derzeit, wie neu die jetzt bekannt gewordenen Daten sind. Die Datei mit den Informationen stand zwischenzeitlich beim Filehoster Mega zum Download zur Verfügung, wurde aber mittlerweile entfernt. „Datensammlungen wie diese sind kein grundsätzlich neues Problem“, sagt Ester. „Sie zeugen vor allem davon, dass es bei vielen Webdiensten noch immer unvollständige Sicherheitsmechanismen gibt.“
G DATA Sicherheitstipps
Der beste Schutz gegen Passwortleaks und unsichere Standardpasswörter ist die Verwendung eines Passwortmanagers, wie er in G DATA Total Security enthalten ist. Damit lassen sich ausreichend lange Passwörter mit etwa 20 vollkommen zufälligen Stellen generieren. Nutzer müssen sich dann nur noch ein einziges Passwort merken – mit dem sie dann den Passwortmanager selbst entsperren.
Der Browserhersteller Mozilla hat vor kurzem den Dienst Firefox Monitor entwickelt, der auf die Datensammlung von HaveIBeenPwned zurückgreift. Damit werden Anwender automatisch gewarnt, wenn bei einer von Ihnen besuchten Seite in der vergangenheit Nutzerdaten kompromittiert wurden. Die Informationen aus der „Collection #1“ sind bereits in den Dienst eingepflegt.