Botnetze haben Zugangsdaten zu 16 Millionen Benutzerkonten abgegriffen

Bei einer Analyse von Botnetzen haben Forschungseinrichtungen und Strafverfolgungsbehörden rund 16 Millionen kompromittierte Benutzerkonten entdeckt. In der Regel liegen den Botnetz-Betreibern Benutzernamen in Form einer E-Mail-Adresse und das zugehörige Passwort vor. Offenbar stammen die Anmeldedaten von E-Mail-Diensten und Onlineshops und Sozialen Netzen.

Dem BSI seien die kompromittierten E-Mail-Adressen übergeben worden damit sich Betroffene informieren und gegebenenfalls Gegenmaßnahmen einleiten können. Im ersten Schritt können sie dazu auf der von der Behörde eingerichteten Webseite https://www.sicherheitstest.bsi.de/ überprüfen, ob eine ihrer Mailadressen von dem Identitätsdiebstahl betroffen ist. Zur Prüfung müssen sie nur ihre E-Mail-Adresse angeben.

Diese wird dann mit den Daten aus den Botnetzen abgeglichen. Ist die Adresse und damit auch die digitale Identität des Nutzers betroffen, wird dieser per Mail an die angegebene Adresse informiert. Die Antwort-Mail liefert dann auch Empfehlungen zu Schutzmaßnahmen. Liegt dem BSI zu der E-Mail-Adresse nichts vor, erhält der Nutzer keine Benachrichtigung.

Betroffenen empfiehlt das BSI erstens sollten ihren Rechner mit einem Virenschutzprogramm zu überprüfen und zweitens alle Passwörter zu ändern, die sie zur Anmeldung bei Sozialen Netzen, Onlineshops, E-Mail-Konten und anderen Online-Diensten verwenden. Hinweise zu sicheren Passwörtern gibt das BSI im Rahmen seines Angebots BSI für Bürger schon länger.

Nutzer sollten auch Passwörter ändern, die sie nicht in Verbindung mit der kompromittierten E-Mail-Adresse als Log-in genutzt haben. Denn falls der Rechner mit einer Schadsoftware infiziert ist, könnte diese neben den in den Botnetzen aufgetauchten Benutzerkennungen auch andere Zugangsdaten ausgespäht haben.

Dem Bundesamt zufolge ist Identitätsdiebstahl ist eines der größten Risiken bei der Internetnutzung. Cyberkriminelle stehlen die digitalen Identitäten von Anwendern, um in deren Namen aufzutreten, E-Mails zu versenden, auf ihre Kosten online einzukaufen ihnen auf andere Weise zu schaden. Meist schleusen die Angreifer eine Schadsoftware auf dem Rechner ein, die etwa Tastatureingaben und Anmeldevorgänge mitschreibt oder Transaktionen sogar direkt manipuliert. Die aufgezeichneten Daten werden vom Nutzer unbemerkt an von den Angreifern präparierte Rechner gesendet und von ihnen von dort heruntergeladen.

Im Augenblick hat die Testwebsite mit Performance-Problemen zu kämpfen – offenbar wird sie vom großen Ansturm überrannt. Etwas unglücklich ist auch der vom BSI gewählte Benachrichtigungsweg per Mail: Es ist leicht vorhersehbar, dass Spammer – ähnlich wie bei den massenhaft versandten Redtube-Abmahnungen – umgehend auf den Zug aufspringen und innerhalb der nächsten Tage oder sogar Stunden Posteingänge mit gefälschten Mails überschwemmen. In denen werden sie Nutzer wohl im Namen des BSI auffordern, Links anzuklicken oder Anhänge zu öffnen, um so “den Rechner zu säubern”, “das Konto wieder abszusichern” oder Ähnliches. Nutzer sollten solche Aktionen auch in Mails, die scheinbar von der Behörde kommen, auf keinen Fall ausführen.

[mit Material von Björn Greif, ZDNet.de]