Heute bekam ich auf eine gänzlich unbekannte E-Mail Adresse eine Mail von der ZDF-Sendung Wiso. Der Inhalt hat mich doch ein wenig überrascht.

Hallo, Eigentümer der E-Mailadresse 1234567890@0987654321.com

Sie erhalten diese Mail von uns, weil wir auf einen datenschutzrechtlich problematischen Sachverhalt aufmerksam gemacht wurden, der Ihre E-Mail-Adresse betrifft.

Ihre E-Mail-Adresse und das Passwort *2345678** (Zu Ihrer Sicherheit wurde das Passwort gekürzt) befinden sich nach unseren Recherchen auf einem im Internet frei zugänglichen, in China beheimateten Server.

Die Daten scheinen aus einem Datendiebstahl zu stammen, die Datendiebe haben versucht, sich mit Hilfe dieser Kombination aus Mail-Adresse und Passwort Zugang zu Online-Bezahldiensten zu verschaffen.

Die Daten selbst stammen nach ersten Erkenntnissen aus einer Datenbank, die nichts mit Finanzdienstleistungen zu tun hat und bei der Sie sich in der Vergangenheit einmal angemeldet haben.

Möglicherweise nutzen Sie diese Kombination aus E-Mail-Adresse und Passwort für weitere Internet-Dienste, etwa für Ihren Mail-Account, zum Anmelden bei Online-Shops oder auf anderen Webseiten. In diesem Fall raten wir Ihnen dringend, auf jeder einzelnen dieser Seiten Ihr Passwort unverzüglich zu ändern, bevor irgendjemand aus dem Vorhandensein dieser Daten im Internet einen Vorteil ziehen kann.

Hinweise zur Verwendung von Passwörtern und für die sichere Passworterstellung erhalten Sie untenstehend.

Diese Mail geht zurück auf Recherchen der ZDF-Sendung WISO, die am Montag den 8. September ausführlich über diesen Datendiebstahl berichten wird. Informationen erhalten Sie spätestens dann auch unter http://www.wiso.de/  Bitte beachten Sie, dass wir keine Einzelfallberatung durchführen können - E-Mails an diese Versandadresse werden nicht beantwortet.

Wir werden die uns vorliegenden Daten nach Ausstrahlung des Beitrags löschen, Sie erhalten keine weitere Mail von uns an diese Adresse (es sei denn, Sie haben sich bei einem ZDF-Informationsdienst angemeldet.) Wir informieren das vom Datendiebstahl betroffene Unternehmen sowie die entsprechende für den Datenschutz zuständige Behörde von dem Vorfall. Allerdings haben wir keinen Einfluss darauf, die auf einem chinesischen Webserver liegenden Daten zu löschen.

Um über die Brisanz des Datendiebstahls qualifiziert berichten zu können bittet Sie die WISO-Redaktion, an einer kurzen Umfrage zum Datendiebstahl teilzunehmen, selbstverständlich anonym (Beachten Sie die Hinweise am Ende der Mail).
Ihre Angaben können dabei helfen, dass die Zuschauer der Sendung für Probleme rund um die Datensicherheit im Internet sensibilisiert werden.
http://vote.wiso.zdf.de/

Mit freundlichen Grüßen

Zweites Deutsches Fernsehen / Redaktion WISO

Hier die Tipps zu einem sicheren Umgang mit Passwörtern, entnommen der Webseite http://www.bsi-fuer-buerger.de/ mit freundlicher Genehmigung des Bundesamtes für Sicherheit in der Informationstechnik.

1. Ein gutes Passwort
… sieht so aus: Es sollte mindesttens acht Zeichen lang sein. Tabu sind allerdings Namen von Familienmitgliedern, des Haustieres, des besten Freundes, des Lieblingsstars usw. Und wenn möglich sollte es nicht in Wörterbüchern vorkommen. Zusätzlich sollte es auch Sonderzeichen (?!%…?) und Ziffern enthalten. Dabei sollten allzu gängige Varianten vermieden werden, also nicht 1234abcd usw. Einfache Ziffern am Ende des Passwortes anhängen oder eines der üblichen Sonderzeichen $, !, ?, #, am Anfang oder Ende eines ansonsten simplen Passwortes ist auch nicht empfehlenswert.

Aber wie merkt man sich ein solches Passwort? Auch dafür gibt es Tricks. Eine beliebte Methode funktioniert so: Man denkt sich einen Satz aus und benutzt von jedem Wort nur den 1. Buchstaben (oder nur den 2. oder letzten, etc.). Anschließend verwandelt man bestimmte Buchstaben in Zahlen oder Sonderzeichen.
Hier ein Beispiel:
“Morgens stehe ich auf und putze meine Zähne.” Nur die 1. Buchstaben: “MsiaupmZ”. “i” sieht aus wie “1″, “&” ersetzt das “und”: “Ms1a&pmZ”.
Auf diese Weise hat man sich eine gute “Eselsbrücke” gebaut. Natürlich gibt es viele andere Tricks und Methoden, die genauso gut funktionieren.

2. Passwörter regelmäßig ändern
Jedes Passwort sollte in regelmäßigen Zeitabständen geändert werden. Viele Programme erinnern Sie automatisch daran, wenn Sie das Passwort z. B. schon ein halbes Jahr benutzen. Diese Aufforderung nicht gleich wegklicken - sondern ihr am besten gleich nachkommen! Natürlich ist es da schwer, sich alle Passwörter zu merken. Womit wir beim nächsten Punkt sind.

3. Passwörter nicht notieren
Auch wenn es bei selten genutzen Zugangsdaten schwerfällt - grundsätzlich sollten Sie sich Passwörter nicht aufschreiben.

4. Keine einheitlichen Passwörter verwenden
Problematisch ist die Gewohnheit, einheitliche Passwörter für viele verschiedene Zwecke bzw. Zugänge (Accounts) zu verwenden. Denn gerät das Passwort einer einzelnen Anwendung in falsche Hände, so hat der Angreifer freie Bahn für Ihre übrigen Anwendungen. Das können z. B. die Mailbox oder alle Informationen auf dem PC sein.

5. Voreingestellte Passwörter ändern
Bei vielen Softwareprodukten werden bei der Installation (bzw. im Auslieferungszustand) in den Accounts leere Passwörter oder allgemein bekannte Passwörter verwendet. Hacker wissen das: Bei einem Angriff probieren sie zunächst aus, ob vergessen wurde, diese Accounts mit neuen Passwörtern zu versehen. Deshalb ist es ratsam, in den Handbüchern nachzulesen, ob solche Accounts vorhanden sind und wenn ja, diese unbedingt mit individuellen Passwörtern abzusichern.

6. Bildschirmschoner mit Kennwort sichern
Bei den gängigen Betriebssystemen haben Sie die Möglichkeit, Tastatur und Bildschirm nach einer gewissen Wartezeit zu sperren. Die Entsperrung erfolgt erst nach Eingabe eines korrekten Passwortes. Diese Möglichkeit gibt es nicht umsonst. Deshalb: Nutzen Sie sie! Ohne Passwortsicherung können unbefugte Dritte sonst bei vorübergehender Abwesenheit des rechtmäßigen Benutzers Zugang zu dessen PC erlangen. Natürlich ist es ziemlich störend, wenn die Sperre schon nach weniger Zeit erfolgt. Unsere Empfehlung: 5 Minuten nach der letzten Benutzereingabe. Zusätzlich gibt es die Möglichkeit, die Sperre im Bedarfsfall auch sofort zu aktivieren (z.B. bei einigen Windows-Betriebssystemen: Strg+Alt+Entf drücken).

Hinweise zu unserer Umfrage:
Die Teilnahme erfolgt anonym, persönliche Daten werden durch das Webformular nicht erhoben. Aus technischen Gründen protokollieren Webserver allerdings, von welchen IP-Adressen aus das Formular aufgerufen wurde - das Erstellen dieser Logdateien lässt sich nicht unterbinden. Diese Daten werden allerdings nicht zusammen mit den Umfrageergebnissen protokolliert, eine Rückverfolgung der Daten wäre nur sehr aufwendig möglich. Wer seine Anonymität beim Besuch von Webseiten wie dieser Umfrage umfassender gewahrt sehen möchte, der kann die folgenden Web-Anonymisierer nutzen. Für diese Dienste und deren Nutzung übernimmt das ZDF keine Haftung:

http://www.megaproxy.com/freesurf/
http://anonymouse.org/anonwww.html
http://www.anonymsurfen.com/surfen.htm

Offensichtlich bin ich auch nicht der einzige wie dieser Thread im “TweakPC Hardware Forum” und dieser Blogeintrag vermuten lässt. Es fällt in diesem Zusammenhang häufig der Name eines Unternehmens, bei dem ich mich vor gut 2 1/1 1/2 Jahren mal wegen einer Onlinebewerbung registriert habe. Ich bin mal gespannt wie es weitergeht.

Nachtrag, 22.16 Uhr: Nun ist ja offenbar recht schnell der mutmaßliche Übeltäter bekannt geworden. Der Grund dafür dürfte sein, dass die meisten “Opfer” sich dort mit einer E-Mail Adresse beworben haben, die sie ansonsten eher geheim halten.

Nachtrag, 22.40 Uhr: Laut einem offiziellen Beitrag auf der ZDF-Website wurden insgesammt 56.000 E-Mails und Passwörter geklaut.

Nachtrag, 23.01 Uhr: So langsam werden es mehr.

Nachtrag, 04.09.2008, 00.12 Uhr: Anscheinend haben diejenigen Betroffenen, die einen PayPal-Account mit der gleichen E-Mail Adresse haben, Probleme mit Hackversuchen gehabt.

Nachtrag, 04.09.2008, 13.25 Uhr: Mittlerweile berichten Heise.de und Golem davon. Das betreffende Unternehmen hat den Datenverlust wohl auch mittlerweile eingeräumt und Strafanzeige gegen Unbekannt erteilt. Es betrifft wohl tatsächlich nur diese Bewerberdatenbank. Die Betroffenen sollen angeschrieben werden.

Nachtrag, 04.09.2008, 19.12 Uhr: Die offizielle Pressemitteilung zum Vorfall findet man hier. Auf teltarif.de ist noch zu lesen, dass die Passwörter, aufgrund des veralteten Systems, im Klartext gespeichert wurden. Laut einem Unternehmenssprecher sei die Verschlüsselung “bei dieser Art von Angriff eh geknackt worden.” Das ist auch eine interessante Theorie. Ich  gehe aber mal stark davon aus, dass das “Knacken” der Passwörter wenn einfach nur MD5 benutzt wird bei 56.000 Datensätzen einiges an Zeit und Rechenleistung in Anspruch nimmt. Die Funktion kostet ja schließlich nichts extra. Einfach md5(’$passwort’); und gut is

Im Prizip kann man sich doch beim ZDF für die nette E-Mail bedanken. So wurden vielleicht einige Leute wachgerüttelt, es wurden viele Kennwörter geändert und so wurden eine Menge Menschen vor Schaden bewahrt. Ein bisschen Werbung muss natürlich auch sein. Deine Daten wurden geklaut. Du willst wissen wer es war? Guck unsere Sendung!!

Nachtrag, 05.09.2008, 15.00 Uhr: Ich habe gestern um 21.50 Uhr eine E-Mail von PwC bezüglich des Datenklaus bekommen. Der Vollständigkeit halber werde ich sie hier auch veröffentlichen.

Sehr geehrte Damen und Herren,

aus aktuellem Anlass möchten wir Sie darüber informieren, dass unbekannte
Daten-Hacker einen Angriff auf eine externe Servicedatenbank für
Jobsuchende durchgeführt haben. PricewaterhouseCoopers (PwC) hat diese von
einem externen Serviceprovider betriebene Internet-Seite genutzt, um
Kandidaten die Bewerbung bei PwC zu ermöglichen. Leider müssen wir Ihnen
mitteilen, dass Ihre Daten von diesem rechtswidrigen Angriff auf unsere
Systeme betroffen sein könnten.

Wir bedauern diesen Vorfall außerordentlich und haben inzwischen
umfangreiche Maßnahmen ergriffen. PwC hat sofort reagiert und den Zugang
zum System stillgelegt, so dass kein weiterer Zugriff auf die Datenbank
möglich ist. Selbstverständlich haben wir unverzüglich die
Staatsanwaltschaft eingeschaltet und Strafanzeige gegen die bislang
unbekannten Daten-Hacker gestellt.

Aus Sicherheitsgründen empfehlen wir Ihnen, Ihre Zugangsdaten und
insbesondere Ihr Passwort auf allen von Ihnen genutzten Webseiten
unverzüglich zu ändern. Unmittelbar eingeleitete Stichproben-Untersuchungen
legen die Vermutung nahe, dass die Hacker die gestohlenen Adressen vor
allem für Spam-Mails missbrauchen. Darüber hinaus sind E-Mail-Adressen und
Passwörter neben Daten aus den Beständen anderer Unternehmen auf einem
chinesischen Server aufgetaucht. Bewerbungsunterlagen sind nach unseren
Erkenntnissen nicht offen im Internet einsehbar.

Für Ihre Bewerbungsunterlagen bedeutet das: Wenn Sie Änderungen an Ihren
Unterlagen vornehmen möchten, informieren Sie uns bitte auf dem
postalischen Weg oder per E-Mail.

(…)

Auf Wunsch löschen wir natürlich auch Ihre Daten in der Datenbank. Bitte
teilen Sie uns dazu zum Zwecke der vollständigen Identifizierung Ihrer
Person Ihren Namen und das Geburtsdatum mit, um Verwechslungen
auszuschließen. Wenn Sie eine Bestätigung der Löschung erhalten möchten,
benötigen wir auch Ihre E-Mail-Adresse. Gerne schicken wir Ihnen auch die
Bestätigung der Löschung per Fax oder per Post zu.

Für weitere Fragen steht Ihnen gerne unsere Hotline zur Verfügung. Diese
erreichen Sie telefonisch unter 069/9585-2941. Selbstverständlich werden
wir Sie über das weitere Vorgehen informieren.

(…)

Tags: auf, datenmissbrauch, datenschutz, e-mail, email, hinweis, wiso, zdf

Dieser Eintrag wurde am Mittwoch, September 3rd, 2008 um 21.55 Uhr in die Kategorie(n) Kurioses & Fun, Technik eingetragen. Die können die Kommentare zu diesem Beitrag mit RSS 2.0 verfolgen, Sie können einen Kommentar hinterlassen oder einen Trackback von Ihrer Seite setzen.