Schlechtes Timing
Nach dem massiven Hackerangriff auf mindestens 500 Millionen Yahoo-Nutzerkonten stellt sich zunehmend die Frage, ab wann der Internetpionier von den Attacken gewusst hat. Der Hack soll bereits 2014 erfolgt sein, Yahoo informierte darüber erst vor wenigen Tagen. Erste Kunden in den USA haben gegen den Konzern nun Klagen eingereicht.
Dieser Artikel ist älter als ein Jahr.
Kunden aus den Bundesstaaten Kalifornien und Illinois werfen dem Internetkonzern vor, nicht genug auf die Datensicherheit geachtet und die Nutzer zu spät informiert zu haben. Yahoo gab am Donnerstag bekannt, dass Ende 2014 ein Hackerangriff beispielloser Dimension erfolgte.
Passwörter, persönliche Daten, Sicherheitsfragen
Womöglich handelte es sich dabei um den größten Datenklau der Geschichte. Es gehe um Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und verschlüsselte Passwörter, teilte das US-Unternehmen am späten Donnerstag mit. Nach derzeitigem Kenntnisstand seien keine Passwörter im Klartext oder Kreditkarten- und Bankkontoinformationen entwendet worden.
Dafür könnten aber sowohl verschlüsselte als auch unverschlüsselte Sicherheitsfragen samt Antworten in die Hände der Angreifer gelangt sein. Solche Fragen etwa nach dem Namen des ersten Haustiers oder der Lieblingsfarbe kommen zum Einsatz, wenn ein Nutzer sein Passwort vergisst. Unter Umständen können sie also genauso viel wert sein wie das Passwort selbst. Außerdem gibt es die Gefahr, dass Nutzer auch bei anderen Diensten die gleichen Kombinationen aus Fragen und Antworten ausgewählt haben.
Wusste Yahoo schon früher Bescheid?
Nach wie vor ist unklar, wann genau das Unternehmen erste Hinweise auf eine Attacke bekam und seit wann es von dem Ausmaß des Diebstahls wusste. Nach Informationen der „Washington Post“ erhielt das Unternehmen Hinweise im Juli. Das „Wall Street Journal“ („WSJ“) berichtete in der Nacht auf Samstag, Yahoo habe bereits Ende 2014 einen Hackerangriff aus Russland entdeckt, bei dem es aber um Daten von 30 bis 40 konkreten Nutzern gegangen sei. Der Konzern habe damals das FBI darüber informiert, hieß es unter Berufung auf eine informierte Person.
Potenziell betroffene Nutzer werden per E-Mail unterrichtet und aufgefordert, ihre Passwörter zu ändern. Die unverschlüsselten Sicherheitsfragen und Antworten würden zurückgesetzt. Yahoo verbessere die Sicherheit der Systeme, zugleich sollten die Nutzer nach verdächtiger Aktivität in ihren Profilen Ausschau halten.
Mitten im Übernahmedeal
Für den Internetkonzern ist der Diebstahl besonders unangenehm, könnte er doch negative Auswirkungen auf den geplanten Verkauf an Verizon haben. Yahoo hatte erst vor zwei Monaten mit dem Telekomkonzern vereinbart, diesem sein Kerngeschäft für 4,8 Milliarden Dollar (4,4 Milliarden Euro) zu verkaufen. Analysten erwarten, dass Verizon den Kaufpreis nun deutlich drücken könnte. Verizon bestätigte bisher lediglich, dass es vor Kurzem von Yahoo über den Datenklau informiert worden sei. „Wir werden beobachten, wie die Untersuchungen laufen.“
Russischer oder chinesischer Geheimdienst im Spiel?
Yahoo vermutet hinter dem Hack einen Angreifer mit staatlichem Hintergrund - so werden in den USA meist Hackergruppen mit Nähe zu russischen oder chinesischen Geheimdiensten bezeichnet. Details oder eine Begründung dazu gab es nicht. Yahoo erklärte auch nicht, wie die Hacker in die Systeme eingedrungen sind.
In den vergangenen Monaten hatte es in den USA mehrere Hackerangriffe gegeben, hinter denen amerikanische Behörden und IT-Sicherheitsexperten Gruppen aus Russland mit Nähe zu Geheimdiensten vermuten. Dazu gehörte die Attacke, bei der interne E-Mails der Demokratischen Partei gestohlen wurden, die später im Internet landeten.
Bereits vor vier Jahren Riesendatendiebstahl
Der Internetkonzern muss sich nun die Frage gefallen lassen, wie sicher die Passwörter verschlüsselt sind und wie viele Profile über die Sicherheitsfragen angreifbar wurden. Nach Informationen des „WSJ“ wurden die Passwörter früher mit dem kryptografischen Algorithmus MD5 verschleiert, der mit modernen Technologien geknackt werden könne.
Jetzt hieß es von Yahoo, ein „überwiegender Großteil“ sei mit dem Verfahren bcrypt verschlüsselt gewesen. Auch bei ihm diskutieren Experten darüber, wie robust es ist. Schon vor vier Jahren waren Yahoo rund 450.000 unverschlüsselte Nutzernamen und Passwörter gestohlen worden.
Links:
