Accountübernahme und Datenpannen

Modul 1: Warum Sie ein Ziel sind · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, wie gestohlene Zugangsdaten wiederverwendet werden und was mit geleakten Daten geschieht.
Kernbegriffe: Accountübernahme, Credential Stuffing, Infostealer, Sitzungscookie, Datenpanne, personenbezogene Daten, Combo-Liste

Anmelden statt Einbrechen

Der einfachste Weg in ein System ist nicht die Suche nach einer Sicherheitslücke, sondern sich einfach anzumelden. Wer Ihre E-Mail-Adresse und Ihr Passwort hat, muss nichts hacken. Für das System ist er einfach Sie. Das nennt man eine Accountübernahme: Jemand anderes übernimmt ein Konto und nutzt es, als wäre er der Besitzer.

Für ein kleines Unternehmen ist das Postfach das wichtigste Konto. Wer Ihr Postfach hat, kann:

• über „Passwort vergessen“ die Passwörter fast aller Ihrer anderen Konten neu setzen;
• Ihre E-Mails mitlesen und genau zum richtigen Zeitpunkt eine gefälschte Rechnung senden (Lektion 1.2);
• in Ihrem Namen E-Mails an Kunden senden, die Ihnen vertrauen;
• eine Weiterleitungsregel einrichten, sodass er unbemerkt weiterhin eine Kopie aller E-Mails erhält, auch nachdem Sie Ihr Passwort geändert haben (Lektion 2.5).

Doch wie kommt ein Angreifer an Ihr Passwort? Es gibt drei Hauptwege: Sie geben es selbst auf einer gefälschten Website ein (Phishing, Modul 3), es wird bei einem anderen Dienst geleakt und Sie haben es dort ebenfalls verwendet, oder Schadsoftware auf Ihrem Computer stiehlt es. Die letzten beiden behandeln wir hier.

Credential Stuffing: ein Leck, überall ausprobiert

Websites werden regelmäßig gehackt. Bei einem solchen Leck gelangen oft die E-Mail-Adressen und Passwörter der Nutzer an die Öffentlichkeit, manchmal lesbar, manchmal in einer Form, die mit Rechenleistung zurückgerechnet werden kann. Diese Daten werden gesammelt, zusammengeführt und in riesigen Listen von E-Mail-Adressen mit Passwörtern gehandelt: Combo-Listen.

Mit so einer Liste betreibt ein Angreifer Credential Stuffing: Er probiert jedes Paar aus E-Mail-Adresse und Passwort automatisch bei anderen Diensten aus. OWASP, eine bekannte offene Organisation für Websicherheit, beschreibt es als die automatisierte Eingabe gestohlener Zugangsdaten, um Zugriff auf Konten zu erhalten. Es funktioniert aus einem Grund: Menschen verwenden dasselbe Passwort an mehreren Stellen.

Ein Beispiel. Petra von der Bäckerei Example hat vor Jahren ein Konto bei einem Onlineshop für Backbedarf angelegt, mit info@example.com und dem Passwort, das sie damals überall verwendete. Dieser Onlineshop wird gehackt. Ein Jahr später steht ihre Kombination in einer Combo-Liste. Ein Programm probiert sie in einer Nacht aus bei:

Petra bemerkt nichts: Sie hat keine Phishing-Mail gesehen und nichts angeklickt. Die Lehren daraus: Ein einzigartiges Passwort pro Dienst verhindert, dass sich ein Leck ausbreitet (Lektion 2.1 und 2.2), und Zwei-Faktor-Authentifizierung hält einen Angreifer auf, der trotzdem das richtige Passwort hat (Lektion 2.3). Sie können selbst auf https://haveibeenpwned.com prüfen, ob Ihre E-Mail-Adresse in einem bekannten Leck vorkommt.

Ein häufiger Fehler ist ein „System“, um Passwörter zu variieren: Bakkerij2025! für die E-Mail und Bakkerij2025!boekhouding für die Buchhaltung. Programme, die Combo-Listen nutzen, probieren solche naheliegenden Varianten ebenfalls aus.

Infostealer: das Passwort direkt von Ihrem Computer

Ein Infostealer ist Schadsoftware, die Daten von Ihrem Computer sammelt und an den Angreifer sendet. Microsoft beschreibt, dass Infostealer unter anderem gespeicherte Benutzernamen und Passwörter, Sitzungscookies, automatisch ausgefüllte Formulardaten und Kreditkartendaten aus Browsern auslesen. Sie bekommen so ein Programm zum Beispiel über einen gefälschten Download („kostenlose Version eines teuren Programms“), einen Anhang, eine gefälschte Anzeige oder eine Website, die auffordert, einen Befehl zu kopieren und einzufügen, „um ein Problem zu lösen“.

Ein Infostealer arbeitet oft nur wenige Minuten und verschwindet dann wieder. Die Beute, ein sogenanntes Log mit allen Daten dieses einen Computers, wird verkauft. Manchmal wird sie erst Jahre später genutzt.

Warum ein Sitzungscookie so gefährlich ist

Wenn Sie sich bei einer Website anmelden, mit Passwort und Zwei-Faktor-Authentifizierung, erhält Ihr Browser ein Sitzungscookie: eine kleine Datei, die bei jeder weiteren Anfrage zeigt, dass Sie bereits angemeldet sind. Dadurch müssen Sie nicht bei jedem Klick erneut Ihren Code eingeben.

Wer dieses Cookie stiehlt, kann es in seinem eigenen Browser verwenden und ist dann ebenfalls angemeldet. Er braucht Ihr Passwort und Ihren zweiten Faktor nicht, denn die Anmeldung ist bereits erfolgt. MITRE ATT&CK, eine öffentliche Wissensdatenbank zu Angriffstechniken, sagt es wörtlich: Sitzungscookies können verwendet werden, um bestimmte Formen der Mehrfaktorauthentifizierung zu umgehen.

Was gegen Infostealer und gestohlene Cookies hilft:

• keine Software aus unbekannten Quellen installieren und nicht mit einem Administratorkonto arbeiten, damit eine Installation nicht einfach gelingt (Lektion 5.2);
• Ihr Betriebssystem und Ihren Browser aktualisieren (Lektion 5.1);
• nach einer Infektion zuerst den Computer bereinigen oder neu installieren, danach von einem sauberen Gerät aus Passwörter ändern und alle Sitzungen beenden, sodass gestohlene Cookies ungültig werden (Lektion 2.5 und 3.5);
• phishingresistente Anmeldemethoden wie Passkeys, die das Stehlen von Zugangsdaten über gefälschte Websites unmöglich machen (Lektion 2.4).

Was eine Datenpanne ist

Bisher ging es um Ihre eigenen Konten. Doch wenn ein Angreifer in Ihrem Postfach, Ihrer Buchhaltung oder Ihrem Onlineshop sitzt, sieht er auch Daten anderer: Kunden, Mitarbeiter, Mitglieder. Dann liegt eine Datenpanne vor.

Die DSGVO definiert personenbezogene Daten als alle Informationen über eine identifizierte oder identifizierbare Person: einen Namen, eine E-Mail-Adresse, eine Telefonnummer, eine Adresse, aber auch eine Kundennummer, die Sie einer Person zuordnen können. Eine Datenpanne (in der DSGVO: eine Verletzung des Schutzes personenbezogener Daten, Artikel 4 Nummer 12) ist eine Verletzung der Sicherheit, die versehentlich oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt.

Eine Datenpanne muss kein Hack sein. Auch dies kann eine Datenpanne sein:

• eine E-Mail mit einer Kundenliste an den falschen Empfänger;
• ein gestohlener oder verlorener Laptop ohne Verschlüsselung;
• ein Freigabelink zu einem Ordner mit Lebensläufen, der öffentlich im Internet steht;
• ein übernommenes Postfach, in dem Rechnungen mit Namen und Adressen liegen;
• Dateien, die durch Ransomware verschlüsselt wurden und von denen Sie kein Backup haben (Vernichtung und Verlust).

Zu einer Datenpanne gehören Pflichten: Sie erfassen jede Datenpanne in einem internen Verzeichnis der Datenpannen, Sie melden sie innerhalb von 72 Stunden bei der zuständigen Datenschutzaufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen, und bei hohem Risiko informieren Sie auch die betroffenen Personen selbst. Wie das genau funktioniert, lernen Sie in Lektion 8.2. Wichtig ist für jetzt, dass Sie eine Accountübernahme nicht nur als „unser Problem“ betrachten: Oft betrifft es auch die Menschen, von denen Sie Daten haben.

Was mit geleakten Daten geschieht

Geleakte Daten verschwinden nicht. Sie werden kopiert, zusammengeführt und weiterverkauft. Dadurch hat ein Leck Folgen, die lange nachwirken:

• Wiederverwendung: Passwörter landen in Combo-Listen für Credential Stuffing.
• Besseres Phishing: Mit Ihrem Namen, Ihren Kunden und Ihrer letzten Bestellung erstellt ein Betrüger eine überzeugende E-Mail. Ein Kunde, der eine Woche nach einem Leck bei Ihrem Onlineshop eine „Zahlungserinnerung“ von Ihnen erhält, zahlt schneller.
• Identitätsbetrug: Mit genug Daten über eine Person kann ein Betrüger Konten eröffnen oder sich als diese Person ausgeben.
• Erpressung: „Zahlen Sie, oder wir erzählen Ihren Kunden, dass ihre Daten bei Ihnen geleakt wurden“ (Lektion 1.3).

Deshalb ist weniger aufbewahren auch eine Sicherheitsmaßnahme. Daten, die Sie nicht haben, können auch nicht lecken.

Zusammenfassung

• Bei einer Accountübernahme meldet sich ein Angreifer einfach an; das Postfach ist das wichtigste Konto, weil Sie damit andere Passwörter zurücksetzen.
• Credential Stuffing probiert geleakte Kombinationen aus E-Mail-Adresse und Passwort aus Combo-Listen automatisch bei anderen Diensten aus; einzigartige Passwörter und 2FA halten es auf.
• Infostealer stehlen Passwörter und Sitzungscookies aus dem Browser; mit einem gestohlenen Cookie kann ein Angreifer manche 2FA umgehen, deshalb beenden Sie nach einer Infektion alle Sitzungen.
• Eine Datenpanne ist jede Verletzung der Sicherheit personenbezogener Daten, auch eine falsch versendete E-Mail oder ein verlorener Laptop.
• Geleakte Daten werden für neue Angriffe wiederverwendet; weniger aufbewahren bedeutet weniger Risiko.

Quiz

Aufgabe

Aufgabe A1.4: Ein Leck, welche Konten sind in Gefahr? Sie erhalten eine Übersicht der Konten eines kleinen Unternehmens: welches Passwort (bezeichnet als W1, W2 und so weiter, niemals ein echtes Passwort) zu welchem Dienst gehört und ob Zwei-Faktor-Authentifizierung aktiviert ist. Danach wird ein Dienst geleakt. Geben Sie an, welche Konten unmittelbar in Gefahr sind, in welcher Reihenfolge Sie sie absichern und ob eine Datenpanne vorliegt. Das Programm prüft Ihre Antworten und erklärt sie.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
• Have I Been Pwned (selbst prüfen, ob Ihre E-Mail-Adresse in einem bekannten Leck vorkommt): https://haveibeenpwned.com
• OWASP, Credential Stuffing (Englisch): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (Englisch): https://attack.mitre.org/techniques/T1539/
• DSGVO (Verordnung (EU) 2016/679), amtlicher Text: https://eur-lex.europa.eu/eli/reg/2016/679/oj