773 Mio. E-Mail-Konten betroffen: Passwörter geknackt! SO prüfen Sie, ob auch Sie betroffen sind

Ein Sicherheitsexperte stößt im Netz auf Hunderte Millionen E-Mail-Adresse und Passwörter. "Collection #1" bündelt Informationen aus vielen einzelnen Datendiebstählen und Tausenden verschiedenen Quellen. So können Nutzer überprüfen, ob sie betroffen sind.

• Artikel teilen:

Im Internet ist ein gewaltiger Datensatz mit gestohlenen Log-in-Informationen aufgetaucht. Darin enthalten seien knapp 773 Millionen verschiedene E-Mail-Adressen und über 21 Millionen im Klartext lesbare unterschiedliche Passwörter, berichtete der australische IT-Sicherheitsexperte Troy Hunt in der Nacht zum Donnerstag. Insgesamt umfasse die Sammlung mit dem Namen "Collection #1" mehr als eine Milliarde Kombinationen aus beiden.

Passwörter gehackt im Januar 2019: Bin ich betroffen?

Der 87 Gigabyte große Datensatz bündele Informationen "aus vielen einzelnen Datendiebstählen und Tausenden verschiedenen Quellen", schrieb Hunt in einem Blogeintrag. Die Sammlung tauchte erst auf der Cloud-Plattform Mega auf, wo er inzwischen laut Medienberichten wieder gelöscht wurde. Wie aktuell der Datensatz ist, war zunächst unklar.

Der in der Szene sehr geschätzte Security-Experte erklärte weiter, es handle sich um den größten einzelnen Datensatz dieser Art, mit dem er bislang zu tun gehabt habe. Betroffen sind Internetnutzer weltweit - darunter auch Anwender aus Deutschland.

Wer überprüfen will, ob seine E-Mail-Adresse in der Sammlung auftaucht, kann Hunts Dienst haveibeenpwned.com nutzen. In der Datenbank wird die Adresse mit Abermillionen Informationen aus Datenlecks abgeglichen. Er habe auch die jüngsten Daten dort eingepflegt, erklärte der Microsoft-Mitarbeiter Hunt.

Passwort geklaut? Tools, um eigenes E-Mail-Konto zu überprüfen

Das Bundesamt für Sicherheit in der Informationstechnik ( BSI) rät Internetnutzern, kontinuierlich zu überprüfen, ob ihnen sensible Daten wie Benutzernamen und Passwörter bei bekannt gewordenen Datenabflüssen gestohlen worden sind - und empfiehlt neben Troys "Pwned"-Abfragen folgende Datenbanken:

- Firefox Monitor: Der Abfragedienst von Mozilla greift auf die Datenbank von "Have I been pwned?" zurück, arbeitet nahezu identisch, unterscheidet sich aber durch ein praktisches Detail: Weil das Ergebnis der Abfrage nur für den Moment gültig ist, kann man sich auf der Monitor-Seite auch mit einer Mailadresse registrieren und bekommt dann sofort Bescheid, falls eigene Daten im Netz auftauchen sollten.

Ebenfalls praktisch für Firefox-Nutzer: Der Browser schlägt Alarm, wenn man auf einer Seite surft, die gehackt worden ist oder auf der es ein Datenleck gab. Unterhalb der Adressleiste öffnet sich dann eine Benachrichtigung, die etwa über den Zeitpunkt und das Ausmaß des Angriffs oder des Lecks informiert und zu einer Monitor-Abfrage rät.

- Identity Leak Checker: eine weitere Abfragemöglichkeit, die das Potsdamer Hasso-Plattner-Institut (HPI) anbietet. Auch hier müssen E-Mail-Adressen angegeben werden. Per Datenbankabgleich wird dann geprüft, ob die Mail-Adresse in Verbindung mit anderen persönlichen Daten wie Telefonnummer, Geburtsdatum oder Adresse im Internet offengelegt wurde und missbraucht werden könnte.

- Breach Alarm: Dieser Dienst arbeitet ebenfalls mit E-Mail-Adressen. Die ad-hoc-Abfrage sowie der Monitor-Dienst mit einer Mail-Adresse sind gratis.

Gibt es bei einem der Dienste einen Treffer, sollte das verbrannte Passwort geändert und nicht weiter verwendet werden. Achtung: Die Tatsache, dass ein Passwort nicht in dieser oder einer der anderen Datenbanken steht, bedeutet nicht, dass es sicher ist.

Onlinekonten sollten nicht nur mit starken, sondern mit individuellen Passwörtern und möglichst einer Zwei-Faktor-Authentifizierung geschützt werden. Besonders wichtig ist ein gut abgesichertes E-Mail-Konto, weil es oft eine Art Generalschlüssel für viele weitere Dienste darstellt, die Links zum Zurücksetzen des Passwortes per Mail verschicken. Als Hilfsmittel zum Verwalten und Nutzen vieler verschiedener guter Passwörter rät das BSI zu Passwortmanagern.

Tipps für mehr Sicherheit: Zwei-Faktor-Authentifizierung und Passwort-Manager

Spätestens wenn die eigene Mail dort auftauche, solle man über ein neues Passwort und wenn möglich über eine Zwei-Faktor-Authentifizierung nachdenken, sagte Linus Neumann vom Chaos Computer Club. "Das Jahr ist gerade mal zwei Wochen alt und es ist bereits das zweite Mal, dass wir alarmierende Nachrichten haben", sagte er auch mit Blick auf den massiven Online-Angriff auf knapp 1000 Politiker und Prominente, der Anfang Januar publik geworden war.

"Es gibt keine Ausreden mehr. Jeder der nichts für seine Sicherheit macht, handelt fahrlässig und geht ein Risiko ein." Neumann rät, bei allen Diensten ein jeweils anderes und zufälliges Passwort mit maximaler Länge zu nutzen. Dieses solle dann über einen Passwort-Manager verwaltet werden. Bei der von Neumann empfohlenen Zwei-Faktor-Authentifizierung entriegeln Nutzer den Zugang zu ihrem Onlinekonto oder Social-Media-Profil zusätzlich zum Passwort durch eine weitere Abfrage auf einem anderen Weg. Das kann beispielsweise eine SMS oder eine Code-Abfrage sein.

Passwörter gehackt für "Credential Stuffing": Bundesregierung hinsichtlich Datensicherheit in der Pflicht

Laut Hunt können die Datensätze besonders für das sogenannte "Credential Stuffing" missbraucht werden. Bei dieser Methode nutzen die Angreifer die Kombination aus E-Mail und Passwort, um sich auch bei anderen Diensten - beispielsweise bei Soziale Netzwerken oder Shopping-Plattformen einzuloggen. Die Hacker gleichen dabei lange Listen mit Log-in-Daten automatisch mit den Zugangssystemen ab.

Der stellvertretende Grünen-Fraktionschef Konstantin von Notz sieht angesichts der jüngsten Datenskandale die Bundesregierung in der Pflicht. "Ob IT-Angriffe auf den Deutschen Bundestag und das Regierungsnetz, der jüngste Facebook-Datenskandal oder neueste Meldungen über Millionen von erbeuteter Email-Adressen samt Passwörter, die im Netz kursieren, immer wieder erreichen uns neue Hiobsbotschaften", sagte von Notz der Deutschen Presse-Agentur. "Auch die Bundesregierung muss endlich die Notwendigkeit der bestmöglichen Absicherung unserer digitaler Infrastrukturen und privater Kommunikation im digitalen Zeitalter verstehen."

In den vergangenen Jahren hatte es diverse Hacker-Attacken gegeben, bei denen zum Teil Hunderte Millionen Kombinationen aus E-Mail-Adressen und Passwörtern erbeutet worden waren. Die Passwörter waren dabei aber größtenteils verschlüsselt gewesen.

Lesen Sie auch: Virus-Gefahr! DIESE Promis sollten Sie lieber nicht googeln.

Folgen Sie News.de schon bei Facebook, Google+ und Twitter? Hier finden Sie brandheiße News, tolle Gewinnspiele und den direkten Draht zur Redaktion.

kad/news.de/dpa