Vor wenigen Tagen wurde erneut ein riesiger Datensatz mit gestohlenen Benutzerdaten im Internet publik. Über 773 Millionen E-Mail-Adressen und über 21 Millionen Passwörter sollen darin im Klartext veröffentlicht worden sein – und damit den Weg zu sensiblen Daten freigeben.
Und so etwas passiert immer häufiger: Logindaten werden gestohlen und veröffentlicht oder im Darknet gehandelt – zu privaten Accounts ebenso wie zu Firmen-Accounts. Da Unternehmen nicht vollständig sicherstellen können, dass ihre Mitarbeiter sichere und unterschiedliche Passwörter wählen, sollten sie Technologien einsetzen, die Anmeldedaten überwachen und Missbrauchsfälle rechtzeitig erkennen bzw. resultierende Risiken aufdecken. Denn häufig merken Nutzer viel zu spät, dass ihre Konten gehackt wurden und dadurch sensible Daten frei zugänglich werden. Wir verraten Ihnen, wie Sie sich schützen können.
Der jüngste Vorfall: Collection #1
„Collection #1“ – unter diesem Namen wurde ein Datensatz im Netz veröffentlicht, der Unmengen an E-Mail-Adressen und Passwörtern aus vielen einzelnen Datendiebstählen beinhalten soll. Rund 87 Gigabyte groß. In den Daten wird deutlich, aus welchen Quellen die Daten stammen, aber nicht ohne Weiteres, wann der Datendiebstahl stattfand und durch wen.
Wer herausfinden möchte, ob seine Nutzerdaten betroffen sind, kann dies über die Webseite https://haveibeenpwned.com/ von Troy Hunt, IT-Sicherheitsexperte und Microsoft Regional Director in Australien, tun. Wenn eine Adresse bereits bei einem älteren Datendiebstahl betroffen war, wird sie allerdings ebenfalls in den Ergebnissen auftauchen.
Betroffene Nutzer sollten ihr Passwort auf jeden Fall zurücksetzen und ein neues, sicheres Passwort vergeben. Andersfalls können sich andere Zugang zu dem Account verschaffen, die sensiblen Daten missbrauchen und den eigentlichen Nutzer vom Konto aussperren.
Passwortvergabe: Spagat zwischen Komfort und Sicherheit
Beim Thema Passwörter stecken Nutzer in einem Dilemma: Auf der einen Seite sollen die Passwörter sicher sein. Schließlich sind sie der Schlüssel zu sensiblen Daten und sollten daher hohe Sicherheitsanforderungen erfüllen sowie idealerweise für jedes Portal variieren. Andernfalls geben kompromittierte Benutzerdaten den Weg nicht nur zu einem Konto, sondern zu mehreren frei. Auf der anderen Seite müssen Nutzer sich die Passwörter auch einfach merken können. Ansonsten ist es bei der großen Anzahl an Portalen und Plattformen, für die man sich Zugangsdaten merken muss, schwer, den Überblick zu behalten.
Bei der Passwortvergabe sollten folgende Kriterien beachtet werden:
- Mindestens acht Zeichen
- Kombination aus Klein- und Großbuchstaben, Zahlen und Sonderzeichen
- Individuelle Passwörter für jedes Portal
- Regelmäßige Aktualisierung der Passwörter
Dies scheint praktisch unmöglich zu sein. Denn wer kann sich schon so viele, komplexe Passwörter merken? Doch zum Glück gibt es hierfür verschiedene Alternativen, die dem Nutzer helfen:
- Ein Passwort-System kann helfen, sich viele verschiedene Passwörter zu merken: Nutzer müssen sich hierfür ein Standard-Passwort überlegen, das jeweils um einen Bestandteil, der mit dem jeweiligen Portal im Zusammenhang steht, ergänzt wird.
- Die Multifaktor-Authentifizierung erhöht die Sicherheit von Konten deutlich, da neben dem Passwort noch ein weiterer Faktor für den Zugriff erforderlich ist: beispielsweise ein per SMS versendeter Code oder ein biometrisches Merkmal.
- Alternativ können Nutzer auch auf einen seriösen Passwort-Manager wie 1password oder Keepass zurückgreifen, der alle Passwörter sammelt und auch selbst sichere, komplexe Passwörter erstellen kann. Der Nutzer muss sich dann nur noch ein einziges Passwort merken – das für den Passwort-Manager. Dieses sollte dann allerdings sehr, sehr sicher sein!
Was können Unternehmen tun, um die Accounts ihrer Mitarbeiter und ihre sensiblen Daten zu schützen?
Unternehmen sollten Lösungen einsetzen, die die Login-Daten ihrer Mitarbeiter überwachen und im Falle eines Diebstahls oder Bekanntwerdens der Daten umgehend für eine Absicherung der Konten sorgen. Die Lösung SpyCloud macht dies möglich.
SpyCloud gleicht die Benutzerdaten von Mitarbeitern mit Benutzerdaten ab, die im Web und Darknet verbreitet und gehandelt werden. Hierbei greift SpyCloud sowohl auf bekannte, öffentliche Reports zurück als auch auf private und verdeckte Quellen und setzt automatische Scanner sowie menschliche Intelligenz ein.
Sobald SpyCloud eine Übersteinstimmung von Logindaten und gestohlenen Daten feststellt, wird ein Passwort-Reset bei dem betroffenen Account bewirkt – und ebenso bei allen Accounts, die dieselben Nutzerdaten verwenden. Der Nutzer und die IT werden umgehend über den Vorfall informiert und der Nutzer zur Vergabe eines neuen, sicheren Passworts aufgefordert. Hierbei findet ein Abgleich mit der Passwort-Historie statt, sodass bereits verwendete Zugangsdaten nicht noch einmal in ähnlicher Form verwendet werden können. Sensible Unternehmensdaten und Nutzer werden auf diesem Wege verlässlich geschützt und hoher wirtschaftlicher und Imageschaden vom Unternehmen abgewendet.
