BSI warnt: Rund 16 Millionen Benutzerkonten durch Botnetze kompromittiert

Strafverfolger haben die Kombinationen aus E-Mail-Adresse und Passwort bei einer Botnetz-Analyse entdeckt. Die Anmeldedaten stammen offenbar von E-Mail-Konten, Onlineshops, Sozialen Netzen und anderen Internetdiensten. Auf einer BSI-Webseite können Nutzer überprüfen, ob sie betroffen sind.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf einen Fall von großflächigem Identitätsdiebstahl hingewiesen. Der Behörde zufolge wurden bei einer Analyse von Botnetzen durch Forschungseinrichtungen und Strafverfolgungsbehörden rund 16 Millionen kompromittierte Benutzerkonten entdeckt. Sie bestehen in der Regel aus einem Benutzernamen in Form einer E-Mail-Adresse und einem Passwort. Die Anmeldedaten stammen offenbar von E-Mail- und anderen Internetdiensten, Onlineshops oder Sozialen Netzen.

Die kompromittierten E-Mail-Adressen wurden dem BSI nach eigenen Angaben übergeben, „damit Betroffene informiert werden und erforderliche Schutzmaßnahmen treffen können“. Auf einer von der Behörde eingerichteten Webseite lässt sich überprüfen, ob man selbst von dem Identitätsdiebstahl betroffen ist. (Offenbar aufgrund des großen Ansturms scheint der Server derzeit allerdings überlastet zu sein.)

Auf der BSI-Seite lässt sich überprüfen, ob die eigene E-Mail-Adresse kompromittiert wurde (Screenshot: ZDNet.de).Auf der BSI-Seite lässt sich überprüfen, ob die eigene E-Mail-Adresse kompromittiert wurde (Screenshot: ZDNet.de).

Zur Prüfung müssen Internetnutzer unter www.sicherheitstest.bsi.de nur ihre E-Mail-Adresse angeben. Diese wird dann in einem technischen Verfahren vom BSI mit den Daten aus den Botnetzen abgeglichen. Ist die Adresse und damit auch die digitale Identität des Nutzers betroffen, erhält dieser eine entsprechende Information per E-Mail an die angegebene Adresse. Diese Antwort-Mail enthält auch Empfehlungen zu erforderlichen Schutzmaßnahmen. Ist die eingegebene E-Mail-Adresse nicht betroffen, erhält der Nutzer keine Benachrichtigung.

Das BSI empfiehlt Betroffenen, in jedem Fall zwei Maßnahmen zu ergreifen. Erstens sollten sie ihren Rechner mit einem Virenschutzprogramm auf Befall mit Schadsoftware überprüfen. Zweitens sollten sie alle Passwörter ändern, die sie zur Anmeldung bei Sozialen Netzen, Onlineshops, E-Mail-Konten und anderen Online-Diensten verwenden.

Das gilt auch für Passwörter, die nicht in Verbindung mit der kompromittierten E-Mail-Adresse als Log-in genutzt werden. Denn falls der Rechner mit einer Schadsoftware infiziert ist, kann diese neben den in den Botnetzen aufgetrauchten Benutzerkennungen auch andere Zugangsdaten ausgespäht haben. Hinweise zur Nutzung sicherer Passwörter gibt das BSI auf seiner Website.

Identitätsdiebstahl ist dem Bundesamt zufolge eines der größten Risiken bei der Internetnutzung. Cyberkriminelle stehlen die digitalen Identitäten von Anwendern, um in deren Namen aufzutreten, E-Mails zu versenden, auf fremde Kosten online einzukaufen oder sich auf andere Weise zu bereichern oder den Betroffenen zu schaden. Meist schleusen die Angreifer eine Schadsoftware auf dem Rechner ihres Opfers ein, die etwa Tastatureingaben und Anmeldevorgänge protokolliert oder Transaktionen direkt manipuliert. Die aufgezeichneten Daten werden dann vom Nutzer unbemerkt an von den Angreifern präparierte Rechner gesendet („Dropzones“) und anschließend von dort heruntergeladen.

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: BSI, Datendiebstahl, E-Mail, Secure-IT

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

15 Kommentare zu BSI warnt: Rund 16 Millionen Benutzerkonten durch Botnetze kompromittiert

Kommentar hinzufügen
  • Am 21. Januar 2014 um 17:32 von coke

    … wie lange muss man, so man denn betroffen ist, auf seine E-Mail warten? Sekunden? Minuten? Stunden?

    • Am 21. Januar 2014 um 18:57 von Ruth Roettges

      Wie lange man warten muss, sagt das BSI nicht, wohl aber, dass es keine Mail gibt, falls man nicht betroffen ist. Und so bleibt einfach der fade Nachgeschmack, dass hier noch jemand eMail-Adressen sammelt. Schön ist nämlich: man kann die Prüfung nacheinander für verschiedene Mail-Adressen laufen lassen. Bleibt die Session die gleiche, lassen sich die verschiedenen Adressen ein und derselben Person zuordnen. NSA lässt grüßen! Ähemm – sorry: dabei wollte ich doch keine Verschwörungstheorien mehr in die Welt setzen, weil die sich viel zu oft bewahrheiten.

      • Am 22. Januar 2014 um 8:19 von serra.avatar

        na wenn ihr solche Paranoia habt dann nutzt das einfach nicht!

        Solltet ihr da dann doch betroffen sein, wird der Schaden sicher höher sein als die Kenntnis einer eMail Adresse die eh zu 100000te gehandelt werden …

  • Am 21. Januar 2014 um 21:49 von Judas Ischias

    Den Verdacht mit dem E-Mail-Adressen sammeln hatte ich merkwürdigerweise auch sofort. Ich weiß jetzt nicht ob man überhaupt noch Zugriff auf’s Konto hätte? Wäre bei „feindlicher Übernahme“ nicht schon längst mein Passwort geändert? Oder ist es „praktischer“ für denjenigen mich weiter in mein Konto zu lassen und immer mal zu schauen was bei mir passiert?

    • Am 21. Januar 2014 um 23:19 von Sabine Hinz

      Tja, eine kleine Unterhaltungs-Taktik unserer Bundesregierung, um Mißtrauen zu schüren, Ängste ? Hab vorsichtshalber nur eine mailadresse eingegeben …

  • Am 22. Januar 2014 um 0:26 von petter

    Hier bittet einer ,
    sicher stellvertretend für Tausende , um Gnaaade :

    Wendet vielleicht doch ab & zu
    30 hundertstel Sekunde auf ,
    für e i n e n Strich : wenn Ihr z. B.

    Videoupload

    schreibt ,

    geht das , b i t t e , auch so ? :

    Video-upload

    So ‚ will ‚ das Wort in unseren Kopf –
    das wußtet Ihr doch auch !

    Man dankt !! _ Petter _ n98765ff@tonline.de

  • Am 22. Januar 2014 um 1:00 von Matthias Minx

    mhh… hat sich eigentlich schon mal jemand den GPG-Key angeguckt, den die auf der webseite (sicherheitstest.bsi.de) angeben (KeyID: 0x0795CC4F)? is sehr interessant, dass der schon am 9.12.2013 erstellt wurde… warum kommt das erst so spät in die Presse?

  • Am 22. Januar 2014 um 8:21 von Ina Weber

    Ich fürchte eine absolute Sicherheit gibt es nicht – wie oft
    sollte man sein Kennwort ändern?

  • Am 22. Januar 2014 um 9:31 von Gerhard Schlöter

    Ganoven mindestens 5 Jahre einsperren

  • Am 22. Januar 2014 um 16:45 von Judas Ischias

    @Petter,
    wenn man schon verbessert, dann richtig verbessern. EINE 30….und nicht 30…
    Deswegen vermeide ich dieses Thema, denn man kann sich schnell selbst darin verfangen, es sei denn, dass es Mac-Harry betrifft, der ja die Kommentare mit Siri schreibt. Weil da schon mal Sätze verstümmelt oder aus dem Zusammenhang gerissen wurden. Und Square Zero, ein + ziehe ich wieder ab, da dieser Schreibfehler nicht bemerkt wurde.

    • Am 22. Januar 2014 um 17:20 von Square Zero

      Och, da sind noch mehr drin, z. B. „bittet Einer“. Einer ist in diesem Fall das Subjekt. „Video-Upload“, Upload ist immer noch ein Substantiv. Und noch mehr. Ich fand nur, das reichte schon als kleiner Seitenhieb.

      • Am 22. Januar 2014 um 18:40 von Judas Ischias

        Stimmt, mir war die „nackte“ 30 so in’s Auge gesprungen, dass mir der „falsche einer“ gar nicht aufgefallen ist. Also gebe ich hiermit das + wieder zurück.;))

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *