Rund 2,2 Milliarden E-Mail-Adressen – mehr als 900 Gigabyte an Daten – umfasst die sogenannte „Collection #1–#5“. Die gehackten Daten sind seit Anfang des Jahres frei im Netz für jedermann zum Download verfügbar. So weit, so bekannt. Unbekannt war bisher das Ausmaß, in dem politische Apparat Österreichs davon betroffen ist.
Knapp 7.800 E-Mail-Adressen und deren Passwörter von Mitarbeitern der öffentlichen Hand finden sich in den Dateien. Am stärksten betroffen sind Polizei, Finanzministerium und das Land Steiermark. Das ist das Ergebnis einer Recherche von Addendum in Kooperation mit SRF Data, der Datenjournalismus-Einheit des Schweizer Radios und Fernsehen.
Neben dem Verwaltungs- und Sicherheitsapparat tauchen auch hunderte Mail-Adressen von Politikern bzw. Parteimitarbeitern mit ihren sensiblen Benutzerdaten auf. Namentlich finden sich sieben Minister mit aktuellen bzw. ehemaligen Mailadressen plus Passwörter im Datenleck wieder. Die Passwortstärke fällt dabei unterschiedlich aus, von eher einfachen Kombinationen bis hin zu ausgefeilteren Kennwörtern.
Reporter Moritz Moser hat Nationalratsabgeordnete mit ihren Passwörtern konfrontiert. Einer von ihnen verwendete das Passwort „seilseil“.
Inklusive der Regierungsriege sind rund 350 Politiker und Parteimitarbeiter in der „Collection #1–#5“ enthalten. Die Grünen und die Sozialdemokraten zählen zu den Parteien mit den meisten betroffenen Personen.
Dass über berufliche E-Mail-Adressen auch privat Dienste wie Dropbox oder LinkedIn, über die unter anderem die Daten gehackt wurden, genutzt werden, ist als kritisch einzustufen. Gefährlich wäre es vor allem dann, wenn Betroffene das gleiche Passwort von anderen Diensten auch für ihre beruflichen Zugänge verwenden würden und diese nicht oder selten wechseln. Das sollte über die IT-Sicherheitsrichtlinien und -vorkehrungen verhindert werden. Wie streng diese ausgelegt und vor allem in die Tat umgesetzt werden, hängt von der jeweiligen Institution und Stelle ab.
Die geleakten Mailadressen öffnen freilich auch Tür und Tor für Erpressungen: Wenn etwa Opfer des Datenlecks per Mail kontaktiert werden, weil man kompromittierendes Material über sie gesammelt habe, und zur Untermauerung der Behauptung das Passwort angeführt wird. „Bei diesen Fällen wird mittlerweile mit psychologischen Tricks vorgegangen, sie sind wesentlich ausgefeilter als in vergangenen Jahren“, sagte Vinzenz Kriegs-Au, Sprecher des Bundeskriminalamts. Die Zahl der Anzeigen im Bereich der Internetkriminalität im Allgemeinen steigt seit Jahren. Der Bereich der Erpressung im Speziellen hat im Vorjahr so stark zugelegt (+72 Prozent), dass das Bundeskriminalamt eine Arbeitsgruppe zur Bekämpfung des Phänomens eingerichtet hat.
Neben den Accountdetails von Mitarbeiten des öffentlichen Dienstes sind 3,3 Millionen weitere Österreicher in der Sammlung enthalten. Ob Sie selbst betroffen sind, können Sie über eine Abfrage beim Hasso-Plattner-Institut erfahren. Angeraten ist das vor allem dann, wenn Sie die Dienste Dropbox, Adobe, LinkedIn oder Yahoo verwenden oder verwendet haben – alle vier Plattformen hatten Sicherheitslücken, die ausgenutzt wurden.
Schützen können Sie sich, indem Sie für jeden verwendeten Dienst ein eigenes, zufällig generiertes Passwort verwenden. Dann wird bei einem Datenleck zwar Ihr Passwort veröffentlicht, aber Angreifer können damit nicht auch noch auf andere Dienste zugreifen. Üblicherweise versuchen Kriminelle die erbeuteten Kontoinformationen automatisiert zu nutzen. Sie nutzen also ein Programm, um sich gleichzeitig mit Millionen Accounts auf Plattformen einzuloggen. Bei den wenigen, die erfolgreich waren, erfolgt eine Kontoübernahme – private Informationen wie Kreditkarteninformationen, Dateien oder Textnachrichten könnten gestohlen werden.
Weil das Merken von potenziell dutzenden, zufällig generierten Passwörtern wenig praktikabel ist, empfiehlt sich das Verwenden eines Passwortmanagers (etwa Lastpass oder 1Passwort).
Methodik
Für die Analyse wurden nur Benutzerkonten, deren Passwörter in Leaks öffentlich einsehbar sind, betrachtet. Passwörter in nicht lesbarer Form wurden nicht betrachtet. Die öffentlich einsehbaren Passwörter stammen meist aus Sicherheitslecks bei Anbietern, die Passwörter unverschlüsselt oder schwach (mittels schwacher Hashfunktion) verschlüsselt speicherten. In letzterem Fall können Passwörter mittels Brute-Force-Angriff (durchprobieren) lesbar gemacht werden – kurze Passwörter sind für solche Angriffe anfälliger.
Timo Grossenbacher von SRF Data hat Addendum alle .at-Adressen zur Verfügung gestellt und vor diesem Schritt ein umfassendes Skript zur Datenverarbeitung erarbeitet. Zur verwendeten Methodik hat er einen englischsprachigen Blogpost verfasst.
Die Dateien mit den gestohlenen Nutzerdaten sind über eine einfache Google-Suche aufzufinden. Nach einem Blogbeitrag des Sicherheitsforschers Troy Hunt – er betreibt die Plattform haveibeenpwnd.com – haben Medien über die Sammlung berichtet.
Weil die E-Mail-Adressen auch an Aktivisten vergeben werden, gäbe es unterschiedliche Informationsebenen, die eine Hierarchie nachbilden. Damit wäre das System nicht über alle Accounts im gleichen Maße für Attacken anfällig.
Die Stellungnahme erreichte Addendum über das Bundesministerium für Digitalisierung und Wirtschaftsstandort. Dieses ist verantwortlich für die Verwaltung der @gv.at-Adressen.
Nutzer müssen ihre Identität zusätzlich zum Passwort mittels einer zweiten Komponente bestätigen. So muss beispielsweise beim Online-Banking bei Überweisungen zusätzlich zum Login-Passwort ein an das Mobiltelefon gesendeter PIN angegeben werden.
– wenn etwa Mitarbeiter des Innenministeriums von unterwegs mit ihren Kollegen Daten über das interne BMI-IT-System teilen möchten –
Gerald Gartner 
Markus „Fin“ Hametner 
Luisa Fohn 
Moritz Moser 
