Nicht jede E-Mail-Warnung des Bundesamts für Sicherheit in der Informationstechnik lässt auf einen geknackten Online-Zugang schließen. Laut BSI könnte der Datenberg "fiktive" Adressen enthalten, und die sogar mehrfach.

Die Anfang der Woche in den Blickpunkt der Öffentlichkeit gerückte Datensammlung des BSI enthält offenbar eine Menge Datenmüll. Die behördliche E-Mail mit der entsprechenden Warnung ist bei diversen von der iX-Redaktion eingerichteten Freemailer-Adressen eingegangen, die lediglich dem Einsammeln von Spam dienen, darunter bei web.de und freenet.

Nicht geschützt

Von einem Identitätsdiebstahl kann in diesen Fällen keine Rede sein, denn die iX setzt die Spamfallen rein passiv ein und niemals als Benutzernamen für Online-Dienste. Bereits nach einer Handvoll Stichproben lagen mehrere positive Ergebnisse vor. Außerdem trafen etliche E-Mails ein, die offenbar von unbekannten Dritten auf der Test-Webseite des BSI ausgelöst worden waren. Manche Accounts erhielten sogar mehrere E-Mails innerhalb weniger Minuten. Wie ein weiterer Test mit dem Kommandozeilen-Werkzeug wget ergab, ist die BSI-Webseite zudem offenbar nicht gegen automatisierte Abfragen geschützt.

Ein Identitätsdiebstahl in großem Ausmaß stünde zu befürchten, wenn zum Beispiel Kundendaten direkt bei den betreffenden Mail-Providern abgegriffen werden. Doch das hält das BSI selbst für unwahrscheinlich: "Nach den uns vorliegenden Informationen gibt es bisher keinen Anhaltspunkt dafür, dass Nutzerdaten direkt bei Providern ausspioniert wurden. Da die E-Mail-Adresse [...]@web.de gleich mehrfach in den gefundenen Daten vorkommt, liegt [...] eher die Vermutung nahe, dass die Adresse von verschiedenen Nutzern als "fiktive" Adresse bei der Registrierung für einen Onlinedienst eingegeben wurde."
Von den Empfängern der mehr als 1,3 Millionen E-Mails, die laut BSI bis zum gestrigen Donnerstagnachmittag versendet worden waren, nimmt das BSI an, "dass sie in aller Regel ihre eigene, also eine tatsächlich genutzte Mailadresse eingeben haben". Auch die Spamfallen im BSI-Datenbestand sind jedoch tatsächlich im Einsatz, stehen aber keineswegs für einen Identitätsdiebstahl.

Grobe Schätzung

Die Vermutung der iX, dass die Daten zum großen Teil frei erfunden sind, weist die Behörde jedoch zurück. Dennoch erscheint die Zahl von 16 Millionen gestohlenen "Identitäten" als sehr grobe Schätzung des BSI, solange es nicht offenlegt, über welche Art von Daten es verfügt und auf welche Weise die Adressensammlung zustande kam. Sie könnte zum Beispiel Datensätze von Brute-Force-Angriffen enthalten, mit denen die Täter massenhaft Username-Passwort-Kombinationen ausprobieren, die aber zum größten Teil ungültig sind.

Konkretere Anhaltspunkte erhalten auch die zahllosen Empfänger der Warn-Mails nicht. Es heißt lediglich: "Die von Ihnen angegebene E-Mail-Adresse ... wurde zusammen mit dem Kennwort eines mit dieser E-Mail-Adresse verknüpften Online-Kontos von kriminellen Botnetzbetreibern gespeichert. Dieses Konto verwenden Sie möglicherweise bei einem Sozialen Netzwerk, einem Online-Shop, einem E-Mail-Dienst, beim Online-Banking oder einem anderen Internet-Dienst."
Die BSI-Warnung kann vielmehr als Musterbeispiel herhalten, wie eine sicherheitsrelevante E-Mail eben nicht beschaffen sein sollte. So beginnt sie mit einer unpersönlichen Anrede, erklärt die Abkürzung "BSI" nicht und enthält kein Impressum. Ein Sicherheitscode im Betreff, der mit dem auf der Test-Seite ausgebenen übereinstimmt, soll die Empfänger vor gefälschten E-Mails schützen. Doch wer den Code nach längerer Wartezeit vergessen oder die Aktion gar nicht selbst ausgelöst hat, könnte eine vermeintliche BSI-Mail dennoch öffnen und eventuell auf schädliche Inhalte oder Links hereinfallen. Sinnvoller als der Umweg über eine fälschbare E-Mail wäre es, die Prüfung komplett auf der Webseite stattfinden zu lassen.

Chance für Trittbrettfahrer

Besonders heikel erscheint die Aufforderung, ein GPG-Zertifikat von der Webseite herunterzuladen, um die Authentizität der E-Mail prüfen. Es scheint nur eine Frage der Zeit, dass Trittbrettfahrer mit nachgemachten Mails und Webseiten aufspringen, die die Neugierde der Empfänger dafür ausnutzen, Malware zu verbreiten. Wer auf Sicherheit Wert legt, sollte sein Virenschutzprogramm ohnehin aktuell halten und seine Passwörter gelegentlich ändern – auch ohne eine Webseite von zweifelhaftem Nutzen zu besuchen.

Quelle: heise.de

Nach dem millionenfachen Identitätsklau, den das Bundesamt für Sicherheit in der Informationstechnik (BSI) öffentlich gemacht hat, hat der Innenminister der Behörde mehr Geld zugesagt. Außerdem verteidigte er die Verschiebung der EU-Datenschutzreform.

Bundesinnenminister Thomas de Maizière (CDU) hat mehr Geld und Personal für das Bundesamt für Sicherheit in der Informationstechnik (BSI) zugesagt. Für eine Verbesserung des Datenschutzes sei das aber nicht genug. Man müsse auch mit der Wirtschaft besprechen, wie kritische Infrastrukturen geschützt werden können, sagte de Maizière im Inforadio des RBB am Freitag. "Wir brauchen rechtliche Regeln, wir brauchen technischen Schutz, eine Mauer."

Das BSI hatte Anfang der Woche für Aufsehen gesorgt, als es öffentlich machte, im Besitz von 16 Millionen geklauten E-Mail-/Passwort-Kombinationen zu sein. Besorgte Nutzer konnten dann auf einer eigens eingerichteten Seite überprüfen, ob sie davon betroffen sind. Doch unter der Last der Anfragen brachen die Server teilweise zusammen und auch sonst gab die Behörde bei dem lange geplanten Vorgehen keine wirklich gute Figur ab.

Zu den neuen Gesetzen, die de Maiziere zum Schutz von Daten nun forderte, gehören seiner Meinung nach auch die Datenschutzregeln in Europa. Aber auf eine EU-Datenschutzreform werden sich die EU-Staaten vor der Europawahl im Mai nicht mehr einigen. "Gründlichkeit geht vor Schnelligkeit", begründete er die langen Verhandlungen. "Wir reden über eine Datenschutzverordnung, die dann in Deutschland unmittelbar geltendes Recht werden würde." Das müsse wohl bedacht sein. "Wir wollen nicht, dass über eine europäische Regelung unser hohes Datenschutzniveau abgesenkt wird." Dem stehen jedoch Berichte entgegen, das deutsche Innenministerium würde versuchen, die Reform aufzuweichen und zu verzögern. (mit Material von dpa)

Quelle: heise.de