BSI-Sicherheitstest: So prüfen Sie, ob Ihr Passwort geklaut wurde

Die Deutsche Telekom informiert seit Montag rund 87.000 betroffene Kunden, dass sie Opfer eines Identitätsdiebstahls geworden sind. Vergangenen Donnerstag war der bislang größte Fall von Datendiebstahl in Deutschland bekannt geworden. Ermittler konnten 18 Millionen E-Mail-Adressen samt Passwörtern sicherstellen, deren Login-Daten bereits aktiv missbraucht werden sollen. Die Telekom teilt den betroffenen Kunden auch mit, wie sie vorgehen müssen, um ihren Rechner von Schadsoftware zu befreien und wie sie neue sichere Passwörter erstellen können.

Die Daten der Nutzer wurden nicht von den Servern der Provider gestohlen. Vielmehr geht das Bundesamt für Sicherheit in der Informationstechnik (BSI) davon aus, dass sich die Online-Kriminellen verschiedener anderer Quellen bedient haben, um an die Zugangsdaten zu gelangen. Vermutlich wurde ein Teil der Daten direkt von den Rechnern von Internetnutzern gestohlen, zu denen sich die Angreifer Zugriff via Schadsoftware wie Viren und Trojaner verschafft haben können.

Bei den gefundenen Adressen und Passwörtern könnte es sich sowohl um Zugangsdaten zu E-Mail-Konten als auch um Zugangsdaten zu anderen Online-Accounts wie Online-Shops, Internet-Foren oder sozialen Netzwerken handeln. Mit den E-Mail-Adressen und den zugehörigen Passwörtern versuchen Kriminelle mithilfe eines Botnetzes, sich in E-Mail-Accounts einzuloggen und diese für den Versand von Spam-Mails zu missbrauchen. Das Botnetz ist noch in Betrieb, die gestohlenen Identitäten werden aktiv ausgenutzt. Betroffene sollten daher ihre Rechner bereinigen und Passwörter ändern.

Telekom informiert 87.000 Kunden

Die Deutsche Telekom informiert rund 87.000 ihrer Kunden über den Identitätsdiebstahl. Da Warnungsmails inzwischen ebenfalls von Kriminellen gefälscht werden, hat die Telekom eine Sicherung eingebaut: Kunden, die am Montag eine Mail des so genannten Abuse-Teams der Deutschen Telekom erhalten, erkennen die Echtheit der Mail unter anderem an einem Echtheitszertifikat.

Die Deutsche Telekom verschickt die entsprechenden Mails DKIM signiert (DomainKeys Identified Mail). Dies ist im E-Mail Center an einem blauen Häkchen zu erkennen. Wer auf das Häkchen klickt, sieht den Text "Geprüfte E-Mail …" (siehe nebenstehendes Bild).

Online-Sicherheitstest des BSI

Neben der Deutschen Telekom informieren auch Freenet, gmx.de, Kabel Deutschland, Vodafone und web.de ihre von dem Diebstahl betroffenen Kunden. Internetnutzer, die ein E-Mail-Konto bei einem anderen Dienstleister haben oder einen eigenen Webserver betreiben, sollen über den vom BSI bereitgestellten Sicherheitstest unter überprüfen, ob sie von dem erneuten Identitätsdiebstahl betroffen sind.

Der neue Datensatz wurde in den seit Januar bestehenden Sicherheitstest eingepflegt. Die eingegebene Adresse wird in einem technischen Verfahren vom BSI mit den Daten abgeglichen, die die Staatsanwaltschaft Verden (Aller) zur Verfügung gestellt hat. Ist die Adresse und damit auch die digitale Identität des Nutzers betroffen, so erhält dieser eine entsprechende Information per E-Mail an die angegebene Adresse. Ist die eingegebene E-Mail-Adresse nicht betroffen, so erhält der Nutzer keine Benachrichtigung.

Was alle Internet-Nutzer jetzt beachten sollten

Damit ein möglicher Datenklau möglichst folgenlos bleibt, erklären wir in zehn Schritten, wie sich Internetnutzer vor dem Schlimmsten schützen und künftige Attacken vermeiden können.

1. Virenscanner laufen lassen

Ein aktuelles Virenschutzprogramm begrenzt das Infektionsrisiko mit Schadsoftware. Dieser Schutz darf auch bei Smartphones nicht fehlen, speziell bei offenen Systemen wie Android. Zusätzlich sollte sowohl das Betriebssystem des PC als auch die verwendete Software immer auf dem aktuellen Stand sein.

2. Vorsicht bei ungewöhnlichen E-Mails

Vorsicht bei E-Mails, in denen nach persönlichen Informationen oder Kennwörtern gefragt wird. Hier besteht die Gefahr, dass sich Kriminelle Zugangsdaten verschaffen wollen.

3. Passwörter wechseln

Bei verdächtigen Nachrichten keinesfalls Anhänge öffnen oder auf Download-Links klicken. Es empfiehlt sich immer, direkt auf die Internetseite des Vertragspartners zu gehen und sich dort einzuloggen. Nicht zuletzt sind komplexe Passwörter ein guter Schutz. Am besten wechseln Sie Ihre Passwörter regelmäßig.

4. Zufällig Zeichen wählen

Das sichere Passwort sollte nicht als sinnvolles Wort erkannt werden können. Wählen Sie einfach einen für Sie leicht zu merkenden Satz und bilden Sie aus den Anfangsbuchstaben ein neues Wort. Ergänzen Sie den Satz durch Zahlen und Sonderzeichen. Beispiel: Meine Mutter kauft jeden Samstag 16 Eier auf dem Markt – MMkjS16EadM! Als Untergrenze für ein sicheres Passwort empfehlen Experten acht – möglichst zufällige – Zeichen, es kann aber auch deutlich länger sein. Je komplexer und länger ein Passwort ist, desto besser.

5. Mehrere Passwörter verwenden

Verwenden Sie für unterschiedliche Zugänge unterschiedliche Passwörter.

6. Passwort-Wechsel alle drei Monate

Ändern Sie wichtige Passwörter in regelmäßigen Abständen, um den Schutz vor Datendiebstahl zu erhöhen. Empfehlung: etwa alle drei Monate.

7. Passwörter merken

Bewahren Sie Ihre Passwörter nur an sicheren Plätzen auf, zu denen nur Sie Zugang haben. Der beste Ort dafür ist natürlich Ihr Kopf. Der schlechteste ist wohl Ihr Browser. Verwenden Sie lieber eine Passwort-Safe-Software wie Passwort Safe, KeePass, LastPass oder 1Password. Eine solche Software kann auch sichere Passwörter generieren.

8. Nach der Passwort-Änderung

Denken Sie daran, dass Ihnen viele Webanwendungen Start- oder zurückgesetzte Passwörter per E-Mail zusenden. Wenn ein Angreifer Ihr E-Mail-Konto übernimmt, hat er automatisch Zugriff darauf. Schützen Sie daher auch Ihr E-Mail-Passwort besonders gut und ändern Sie Passwörter, die Sie per E-Mail erhalten haben, immer sofort.

9. Rechner säubern

Wer den Eindruck hat, sich einen Trojaner eingefangen zu haben, sollte den Rechner oder das Smartphone so schnell wie möglich von dem Schadprogramm befreien. Das Anti-Botnet Beratungszentrum bietet unter www.botfrei.de eine Reihe kostenloser Software dafür an.

10. Kontoauszüge kontrollieren

Seien Sie aufmerksam und prüfen Sie Rechnungen genau auf Auffälligkeiten und ob unerlaubt Beträge von Ihrem Konto abgebucht wurden.