Die Webseite des Bundesamtes für Sicherheit in der Informationstechnik - BSI - brach gestern zusammen, als viele Computernutzer dort feststellen wollten, ob sie auch vom jüngsten, großen Datenklau von 16 Millionen Online-Konten betroffen sind. Kriminellen war es gelungen, E-Mail-Adressen und dazugehörige Passwörter für die diversen Online-Konten zu knacken, gut die Hälfte der betroffenen Konten - Konten, nicht Email-Adressen! - soll aus Deutschland stammen. Stefan Römermann aus unserer Redaktion berichtet, wie man sich als Betroffener verhalten sollte.
Jule Reimer: Wie kamen die Kriminellen an die Daten?
Stefan Römermann: Es geht dabei nicht um einen spektakulären Einbruch oder Hackerangriff bei einer großen Internetfirma - sondern eigentlich um das ganz alltägliche Geschäft der Internet-Kriminellen. Die Daten stammen offenbar von Millionen privater PCs oder Büro-Rechner, die sich irgendwo Schadsoftware eingefangen haben, also einen Virus oder einen Trojaner. Diese Schadsoftware überwacht dann beispielsweise, was ich auf der Tastatur eingebe - und sammelt so die Zugangsdaten für E-Mail-Konten, Online-Shops, für Facebook oder PayPal. Und die ausgespähten Daten - die werden dann über das Internet weiter an die Hintermänner geschickt. Das alles passiert jeden Tag tausendfach. Aber die konkrete Bande, der die Sicherheitsexperten jetzt auf die Spur gekommen sind - die war offenbar sehr erfolgreich und hat tatsächlich Millionen Zugangsdaten ausgespäht.
Reimer: Jeder kann auf der Seite "sicherheitstest.bsi.de" feststellen, ob er betroffen ist. Sie geben dort Ihre E-Mail-Adresse ein und erhalten einen Sicherheitscode zu Notieren. Falls Sie es erwischt hat, schickt das BSI Ihnen eine Benachrichtigungs-E-Mail an die eingegebene Adresse. Warum ist dieser Code so wichtig?
Römermann: Mit diesem Code lässt sich ganz einfach prüfen, ob die Warn-E-Mail auch tatsächlich echt ist und vom BSI kommt. Denn vermutlich werden sehr schnell auch Betrüger auf den Zug aufspringen und SPAM-Mails verschicken. Dann kommen plötzlich Mails nach dem Motto: Achtung, Achtung, ihre Zugangsdaten wurden ausgespäht. Melden sie sich auf dieser Webseite an, um ihr Konto wieder freizuschalten. Gerade wenn so ein Fall durch die Medien geht, fallen Verbraucher eben leider noch viel schneller auf solche Tricks rein - denn es klingt ja im ersten Moment plausibel. Deshalb ist dieser Sicherheitscode so wichtig.
Reimer: Die meisten von uns checken ihre E-Mails über unterschiedliche Computer, zu Hause, im Büro etc. Ist es egal, von woher ich meine Anfrage ans BSI starte?
Römermann: Ja, das ist völlig egal. Die Adresse der Webseite - also "sicherheitstest.bsi.de" führt da vielleicht auch ein wenig in die irre. Denn die Internetseite prüft nicht, ob auf meinem Rechner irgendwie Schadsoftware infiziert ist oder Ähnliches. Sondern sie schaut: Taucht die E-Mail-Adresse, die ich da eingebe, irgendwo in den Dateien auf, die die Forscher bei den Ermittlungen sichergestellt haben. Sprich: Wurden meine Zugangsdaten also von dieser speziellen Bande ausgespäht, oder nicht? Wenn meine E-Mail-Adresse da allerdings auftaucht, dann habe ich tatsächlich ein Problem. Dann muss ich nämlich davon ausgehen, dass einer meiner Computer mit Schadsoftware infiziert ist oder war. Das kann der Rechner im Büro sein, oder der zu Hause, oder auch der Computer von Freunden, bei denen ich vielleicht neulich kurz mal nach E-Mails geschaut habe. Dann sollte ich alle Rechner so schnell wie möglich mit einem aktuellen Anti-Virenprogramm auf Trojaner und andere Schädlinge prüfen oder prüfen lassen. Und die Passwörter aller Online-Dienste, Online-Shops und E-Mail-Accounts ändern, die ich so benutze.
Reimer: Die Empfehlung lautet: Pro Online-Konto - also auch pro Online-Geschäft, Facebook, Skype - immer ein anderes Passwort. Wie soll ich da den Überblick behalten?
Römermann: Tatsächlich nicht ganz einfach: Die Simpelste ist sicher: Ich schreibe das alles auf einen Zettel, den ich dann aber unbedingt sicher verwahren sollte - und nicht offen in der Wohnung rumliegen lassen sollte. Etwas eleganter sind sogenannte Passwort-Safes. Die gibt es kostenlos im Internet und sind so eine Art Datenbank für Passwörter, wo ich dann den größten Teil meiner Zugangsdaten in einer Datei auf dem Computer oder auch auf dem Smartphone abspeichere. Angezeigt bekomme ich die Daten nur, wenn ich das sogenannte "Masterpasswort" eingebe, das besonders sichere Hauptpasswort für die Datei, dass ich dann aber auch wirklich ganz, ganz sicher Verwahren sollte oder besser überhaupt nicht aufschreibe.
