Vor einer Woche erhielt ich eine E-Mail von notebooksbilliger.de: Man habe einen Einbruch in die eigenen Computersysteme festgestellt. Betroffen seien neben Adress- und Kontaktdaten womöglich auch IBANs. Das eigentliche Leck war wohl schon Mitte Oktober entdeckt worden; Anfang November informierte man wohl einen weiteren Kreis von Kunden.

Gestern dann die nächste E-Mail: Jetzt hatte es Mindfactory getroffen, ebenfalls einen Händler für Computerhardware. Betroffen seien womöglich Kontakt-/Adressdaten, verschlüsselte Passwörter, nicht aber Bank- oder Kreditkartendaten.

Ich habe umgehend die Daten, die bei beiden Diensten hinterlegt sind, geprüft, und meine Passwörter dort geändert.

Warum ich dennoch relativ ruhig schlafen werde: Beide Accounts wurden in dem Bewusstsein erstellt, dass unsere IT fundamental kaputt ist und Unternehmen es auf Dauer nie hinbekommen werden, Daten, die man ihnen gibt, sicher aufzubewahren. Wirksamer Datenschutz setzt daher bei der Datenminimierung an. Diese Daten habe ich in den Accounts (nicht) gefunden:

• Meine Anschrift war als Lieferadresse hinterlegt. Diese lässt sich zwar für Scams nutzen, z.B. zum Identitätsdiebstahl. Hinreichend ist sie allerdings nicht. Noch gründlichere Zeitgenossen als ich können die Hinterlegung dieses Datums wohl durch Hinterlegung einer Packstation anstatt einer Adresse hinterlegen - zumindest bei der DHL geht das.
• Meine E-Mail-Adresse war bereits schon nicht mehr "echt", da ich meine echte E-Mail-Adresse nirgends im Netz hinterlasse. Stattdessen verwende ich konsequent Aliases - Addy.io und den integrierten Alias-Dienst meines E-Mail-Anbieters in Kombination mit Plus-Adressierung - notebooksbilliger z.B. könnte die Adresse mein-alias+notebooksbilliger@anbieter.com bekommen. Dies hilft mir
  • Spam zu unterbinden, der durch Datenlecks entsteht: Wenn ich auf eine Alias-Adresse Spam bekomme, schalte ich den Alias einfach ab, und der Mailmüll geht fortan ins Leere.
  • Datenlecks zu identifizieren: Wenn ich Spam oder scammige Mails bekomme, weiß ich durch die Plus-Adressierung frühzeitig, wer Daten verloren hat. In der Regel passiert der Missbrauch erbeuteter E-Mail-Adressen nämlich automatisiert - und die Bots entfernen die Plus-Adressierung selten, dafür nutzen sie (noch) zu wenige.
• Mein Geburtsdatum war natürlich nicht das echte, da ich online generell nur falsche Geburtsdaten angebe (gern mal den Beginn der Unix-Zeit ;). Anbieter fragen dieses lediglich ab, um festzustellen, ob der Jugendschutz greift (z.B. bei Alkohol) und ob man geschäftsfähig ist. Ist das ein Verstoß gegen die AGB? Womöglich. Aber: Es ist ein "Verbrechen ohne Opfer", und noch dazu ein Verstoß, der praktisch nicht nachweisbar ist.
• Bankdaten waren keine hinterlegt, da ich wo immer möglich per Vorkasse zahle (seriöse Anbieter vorausgesetzt). Auch Zahlungsdienstleister Paypal kann einem Datendiebstahl von Kontodaten schützen (wenngleich man die vielleicht aus anderen Gründen meiden möchte). Auch virtuelle Kreditkarten können wie E-Mail-Aliases vor Datenabfluss schützen - stellt man ein Leck fest, deaktiviert man einfach die virtuelle Karte und die eigenen Zahlungsdaten sind wieder geschützt.
• Hätten die Angreifer Passwörter abgegriffen, wäre das nicht sonderlich problematisch gewesen, selbst wenn sie die angebliche Verschlüsselung des Anbieters gebrochen und das Passwort im Klartext erhalten hätten. Ich verwende durchgängig KeePassXC als Passwortmanager, welches mir für jeden Dienst ein hochkomplexes Passwort generiert. Solche Software hilft dabei, nicht die typischen Fehler zu begeben, die da sind:
  • Passwort-Recycling: Wer ein und dasselbe Passwort für mehrere Dienste verwendet (ebenso wie dieselbe E-Mail-Adresse), macht sich verwundbar für credential stuffing: Die Angreifer probieren einfach sämtliche Dienste mit dieser E-Mail-Passwort-Kombination durch, und dringen so potenziell in gleich meherere Accounts ein.
  • zu einfache Passwörter zu verwenden: Mir ist vor einer Weile auf Umwegen eine Datenbank mit Passwörtern im Klartext in die Hände gefallen (sample size: ~1000). Ich habe diese vor der Vernichtung ausgewertet, um die Passwortpraktiken von Leuten zu erforschen. Ergebnisse:
    • Passwortlänge: Das längste Passwort war 16 Zeichen lang, das kürzeste 8 (mutmaßlich die voreingestellte Mindestlänge). Die durchschnittliche Länge betrug nut 9,9 Zeichen.
    • Passwortkomplexität: Offenbar war voreingestellt, dass Passwörter in Sonderzeichen enthalten mussten. Das führte dazu, dass 65% (!) der Passwörter mit einem Ausrufezeichen endeten. Nur etwa 7% enthielten ein anderes Sonderzeichen. Wirklich pseudorandom waren nur 11% der Passwörter. Der Rest enthielt erkennbare Bestandteile, war also anfällig für dictionary attacks.
• zusätzlicher Tipp von /u/lokalhorst: Wo immer es möglich ist, sollte man überlegen, ob man nicht mit einem Gast-Account bestellt. So wird gar nicht erst ein richtiger Account erstellt, der langfristig gespeichert wird und angreifbar ist. (Die Daten zum Zwecke der Lieferung und Abrechnung liegen zwar auch irgendwo im Unternehmen, womöglich aber nicht in Systemen, die unmittelbar aus dem Internet angreifbar sind.)

Wozu ich das hier schreibe?

• Für euch zur Info: Falls ihr Accounts bei den betroffenen Unternehmen habt, schaut nach, löscht ggf. alte Daten oder Accounts, und seid in den kommenden Wochen und Monaten auf der Hut, was da so in eure Bankauszüge und E-Mails flattert.
• Für euch zur Überprüfung eurer Sicherheitspraktiken: Vielleicht ist im Obigen ja etwas dabei, was ihr noch nicht umgesetzt habt - das wäre dann gleich ein Projekt für den nächsten Di.day. ;)
• Für mich zur Überprüfung meiner Sicherheitspraktiken: Vielleicht fällt euch ja noch etwas ein, was ich künftig besser machen kann.

Bleibt sicher da draußen! :)