Unsichere Provider: Anwender hilflos gegen milliardenfachen Passwort-Diebstahl - scinexx | Das Wissensmagazin
Anzeige
Anzeige

Gesellschaft für Informatik e.V.

Unsichere Provider: Anwender hilflos gegen milliardenfachen Passwort-Diebstahl

Der milliardenfache Diebstahl von Benutzerkennungen im Internet hat die Öffentlichkeit aufgeschreckt und eine Diskussion über Verantwortung entfacht. Da sich der Benutzer von einem derartigen Diebstahl nicht schützen kann, müssen hier die Betreiber von Servern und Webseiten in die Verantwortung genommen werden.

Unzureichend geschützte Server und Webseiten bieten vielfältige Angriffsmöglichkeiten und Einfalltore: Hacker brauchen nur zu prüfen, ob und welche Sicherheitslücken auf den Servern und Webseiten existieren. Ausgenutzt werden für Angriffe:

• nicht-gepatchte Sicherheitslücken und

• insbesondere die noch nicht erkannten Sicherheitslücken (Zero-Day-Vulnerabilities)

Kundendaten einfach lesbar

Bei einem Angriff über diese Sicherheitslücken können alle bei den Providern gespeicherten Kundendaten wie Passwörter, Adressen, Kontoinformationen etc. einfach ausgelesen werden.

Anzeige

Ein – häufig empfohlener – Passwortwechsel ist indes so lange kontraproduktiv, wie die ausgenutzten Sicherheitslücken der Server und Webseiten nicht gepatcht sind – die Passwörter können jederzeit erneut ausgelesen werden. Bekannte Sicherheitslücken können jederzeit in Datenbanken eingesehen und die Diebstahl-Angriffe nachgestellt werden.

Um Server und Webseiten zu schützen, müssen die Sicherheitslücken nach einem Security Testing Process (mit anschließendem Patchen) geschlossen werden. Erst dann sind sie gegen Angriffe und damit auch gegen Passwort-Diebstahl geschützt.

Betreiber investieren zu wenig

Hartmut Pohl, Sprecher des Präsidiumsarbeitskreises Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI): „Eine Verantwortungszuweisung allein an die Anwender ist bei allen Datendiebstählen völlig falsch. Die Betreiber von Servern und Webseiten wissen, dass sie seit Jahren viel zu wenig in Sicherheit investieren. Allerdings kann es Sicherheit nicht kostenlos geben, hier müssen Anbieter investieren, um vertrauenswürdige Server und Webseiten anzubieten.“

Bei diesen Sicherheitsmaßnahmen gegen den aktuell diskutierten Identitätsdiebstahl und generell gegen Datendiebstahl seien also allein die Provider in der Pflicht. Hier könne der Anwender nichts beitragen, so Pohl.

Ausdrücklich weist der Arbeitskreis aber auf die vielen anderen Angriffe hin, gegen die sich der Anwender selbst schützen kann: durch Nutzung eines möglichst langen, nicht aus dem persönlichen Bereich stammenden, ‚künstlichen‘ Passworts (alphabetische Zeichen, Ziffern, Sonderzeichen), das auch angemessen häufig gewechselt wird. Darüber hinaus muss von Provider-Seite die 2-Faktor-Authentifizierung angeboten und vom Anwender genutzt werden. Stand der Technik ist die Verschlüsselung aller wichtigen Daten – auf jeden Fall der Passwörter; diese Erfordernis ist seit dem Sony Play Station Hack im April 2011 weltweit bekannt.

(Gesellschaft für Informatik e.V., 12.08.2014 – AKR)

Anzeige

In den Schlagzeilen

Diaschauen zum Thema

Dossiers zum Thema

Alan Turing - Genialer Computerpionier und tragischer Held

News des Tages

Wassermoleküle

Wasser: Doch keine zwei Varianten?

Fördert Salz Allergien?

Bücher zum Thema

Die berechnete Welt - Leben unter dem Einfluss von Algorithmen Von Nora S. Stampfl

50 Schlüsselideen Digitale Kultur - Tom Chatfield und Carl Freytag

Das informative Universum - Das neue Weltbild der Physik von Hans Chr. von Baeyer

Die Wunder maschine - Die unendliche Geschichte der Daten- verarbeitung von Herbert Matis

Top-Clicks der Woche

Anzeige
Anzeige