Datenmissbrauch - Email von WISO (ZDF)

Cr1mson

Lt. Junior Grade
Registriert
Nov. 2007
Beiträge
355
Hallo zusammen,
ich bin mir nicht sicher, ob das das richtige Forum ist, aber ich hoffe darauf, dass die Moderatoren dafür sorgen, dass der Thread ins richtige Forum kommt.
Ich bin eben über folgende Email in meinem Postfach gestolpert:


Hallo, Eigentümer der E-Mailadresse xyz@xyz [von mir hier geändert],

Sie erhalten diese Mail von uns, weil wir auf einen datenschutzrechtlich problematischen Sachverhalt aufmerksam gemacht wurden, der Ihre E-Mail-Adresse betrifft.

Ihre E-Mail-Adresse und das Passwort *[von mir hier geändert]* (Zu Ihrer Sicherheit wurde das Passwort gekürzt) befinden sich nach unseren Recherchen auf einem im Internet frei zugänglichen, in China beheimateten Server.

Die Daten scheinen aus einem Datendiebstahl zu stammen, die Datendiebe haben versucht, sich mit Hilfe dieser Kombination aus Mail-Adresse und Passwort Zugang zu Online-Bezahldiensten zu verschaffen.

Die Daten selbst stammen nach ersten Erkenntnissen aus einer Datenbank, die nichts mit Finanzdienstleistungen zu tun hat und bei der Sie sich in der Vergangenheit einmal angemeldet haben.

Möglicherweise nutzen Sie diese Kombination aus E-Mail-Adresse und Passwort für weitere Internet-Dienste, etwa für Ihren Mail-Account, zum Anmelden bei Online-Shops oder auf anderen Webseiten. In diesem Fall raten wir Ihnen dringend, auf jeder einzelnen dieser Seiten Ihr Passwort unverzüglich zu ändern, bevor irgendjemand aus dem Vorhandensein dieser Daten im Internet einen Vorteil ziehen kann.

Hinweise zur Verwendung von Passwörtern und für die sichere Passworterstellung erhalten Sie untenstehend.

Diese Mail geht zurück auf Recherchen der ZDF-Sendung WISO, die am Montag den 8. September ausführlich über diesen Datendiebstahl berichten wird. Informationen erhalten Sie spätestens dann auch unter http://www.wiso.de/ Bitte beachten Sie, dass wir keine Einzelfallberatung durchführen können - E-Mails an diese Versandadresse werden nicht beantwortet.

Wir werden die uns vorliegenden Daten nach Ausstrahlung des Beitrags löschen, Sie erhalten keine weitere Mail von uns an diese Adresse (es sei denn, Sie haben sich bei einem ZDF-Informationsdienst angemeldet.) Wir informieren das vom Datendiebstahl betroffene Unternehmen sowie die entsprechende für den Datenschutz zuständige Behörde von dem Vorfall. Allerdings haben wir keinen Einfluss darauf, die auf einem chinesischen Webserver liegenden Daten zu löschen.

Um über die Brisanz des Datendiebstahls qualifiziert berichten zu können bittet Sie die WISO-Redaktion, an einer kurzen Umfrage zum Datendiebstahl teilzunehmen, selbstverständlich anonym (Beachten Sie die Hinweise am Ende der Mail).
Ihre Angaben können dabei helfen, dass die Zuschauer der Sendung für Probleme rund um die Datensicherheit im Internet sensibilisiert werden.
http://**************/

Mit freundlichen Grüßen

Zweites Deutsches Fernsehen / Redaktion WISO


Hier die Tipps zu einem sicheren Umgang mit Passwörtern, entnommen der Webseite http://www.bsi-fuer-buerger.de/ mit freundlicher Genehmigung des Bundesamtes für Sicherheit in der Informationstechnik.

1. Ein gutes Passwort
... sieht so aus: Es sollte mindesttens acht Zeichen lang sein. Tabu sind allerdings Namen von Familienmitgliedern, des Haustieres, des besten Freundes, des Lieblingsstars usw. Und wenn möglich sollte es nicht in Wörterbüchern vorkommen. Zusätzlich sollte es auch Sonderzeichen (?!%...?) und Ziffern enthalten. Dabei sollten allzu gängige Varianten vermieden werden, also nicht 1234abcd usw. Einfache Ziffern am Ende des Passwortes anhängen oder eines der üblichen Sonderzeichen $, !, ?, #, am Anfang oder Ende eines ansonsten simplen Passwortes ist auch nicht empfehlenswert.

Aber wie merkt man sich ein solches Passwort? Auch dafür gibt es Tricks. Eine beliebte Methode funktioniert so: Man denkt sich einen Satz aus und benutzt von jedem Wort nur den 1. Buchstaben (oder nur den 2. oder letzten, etc.). Anschließend verwandelt man bestimmte Buchstaben in Zahlen oder Sonderzeichen.
Hier ein Beispiel:
"Morgens stehe ich auf und putze meine Zähne." Nur die 1. Buchstaben: "MsiaupmZ". "i" sieht aus wie "1", "&" ersetzt das "und": "Ms1a&pmZ".
Auf diese Weise hat man sich eine gute "Eselsbrücke" gebaut. Natürlich gibt es viele andere Tricks und Methoden, die genauso gut funktionieren.

2. Passwörter regelmäßig ändern
Jedes Passwort sollte in regelmäßigen Zeitabständen geändert werden. Viele Programme erinnern Sie automatisch daran, wenn Sie das Passwort z. B. schon ein halbes Jahr benutzen. Diese Aufforderung nicht gleich wegklicken - sondern ihr am besten gleich nachkommen! Natürlich ist es da schwer, sich alle Passwörter zu merken. Womit wir beim nächsten Punkt sind.

3. Passwörter nicht notieren
Auch wenn es bei selten genutzen Zugangsdaten schwerfällt - grundsätzlich sollten Sie sich Passwörter nicht aufschreiben.

4. Keine einheitlichen Passwörter verwenden
Problematisch ist die Gewohnheit, einheitliche Passwörter für viele verschiedene Zwecke bzw. Zugänge (Accounts) zu verwenden. Denn gerät das Passwort einer einzelnen Anwendung in falsche Hände, so hat der Angreifer freie Bahn für Ihre übrigen Anwendungen. Das können z. B. die Mailbox oder alle Informationen auf dem PC sein.

5. Voreingestellte Passwörter ändern
Bei vielen Softwareprodukten werden bei der Installation (bzw. im Auslieferungszustand) in den Accounts leere Passwörter oder allgemein bekannte Passwörter verwendet. Hacker wissen das: Bei einem Angriff probieren sie zunächst aus, ob vergessen wurde, diese Accounts mit neuen Passwörtern zu versehen. Deshalb ist es ratsam, in den Handbüchern nachzulesen, ob solche Accounts vorhanden sind und wenn ja, diese unbedingt mit individuellen Passwörtern abzusichern.

6. Bildschirmschoner mit Kennwort sichern
Bei den gängigen Betriebssystemen haben Sie die Möglichkeit, Tastatur und Bildschirm nach einer gewissen Wartezeit zu sperren. Die Entsperrung erfolgt erst nach Eingabe eines korrekten Passwortes. Diese Möglichkeit gibt es nicht umsonst. Deshalb: Nutzen Sie sie! Ohne Passwortsicherung können unbefugte Dritte sonst bei vorübergehender Abwesenheit des rechtmäßigen Benutzers Zugang zu dessen PC erlangen. Natürlich ist es ziemlich störend, wenn die Sperre schon nach weniger Zeit erfolgt. Unsere Empfehlung: 5 Minuten nach der letzten Benutzereingabe. Zusätzlich gibt es die Möglichkeit, die Sperre im Bedarfsfall auch sofort zu aktivieren (z.B. bei einigen Windows-Betriebssystemen: Strg+Alt+Entf drücken).


Hinweise zu unserer Umfrage:
Die Teilnahme erfolgt anonym, persönliche Daten werden durch das Webformular nicht erhoben. Aus technischen Gründen protokollieren Webserver allerdings, von welchen IP-Adressen aus das Formular aufgerufen wurde - das Erstellen dieser Logdateien lässt sich nicht unterbinden. Diese Daten werden allerdings nicht zusammen mit den Umfrageergebnissen protokolliert, eine Rückverfolgung der Daten wäre nur sehr aufwendig möglich. Wer seine Anonymität beim Besuch von Webseiten wie dieser Umfrage umfassender gewahrt sehen möchte, der kann die folgenden Web-Anonymisierer nutzen. Für diese Dienste und deren Nutzung übernimmt das ZDF keine Haftung:

http://www.megaproxy.com/freesurf/
http://anonymouse.org/anonwww.html
http://www.anonymsurfen.com/surfen.htm


Die oben unkenntlich gemachte Email stimmt mit meiner Email, die ich für die Berufswelt (Bewerbungen etc.) benutze, überein und auch das dazu generierte Passwort stimmt. Zum Glück habe ich diese Kombination aus Emailadresse und Passwort nur ein einziges Mal verwendet.

Das war bei einer Onlinebewerbung bei einer der 4 großen Wirtschaftsprüfgesellschaften.

Habe soeben auch gegoogelt und folgende Treffer erhalten:

Laut Anschein wurde versucht, mittels dieser Kombi aus Emailadresse und PW in PayPal einzudringen.

Also schaut bitte nach, ob das bei euch der Fall ist.

Hoffe, dass hier auch Fortschritte in Vorgehen etc. gepostet werden.

Dann noch nen schönen Abend
Crimson

EDIT:
EIne weitere Quelle :
http://www.datenschutzbeauftragter-online.de/mail-von-wiso/

EDIT2:
http://www.tobiashieb.de/datenskandal-in-einem-wirtschaftsprufungsunternehmen

EDIT3
http://www.gulli.com/news/datenleck-56-000-passw-rter-2008-09-04/
Für das Leck war demzufolge nicht die Wirtschaftsprüfgesellschaft sondern ein "weltweit agierender Finanzdienstleister ".
 
Zuletzt bearbeitet:
Absolut dreist...
 
Ich habe diese Mail auch erhalten.
Zum GLÜCK benutze ich seit LANGEM ein anderes Passwort für Finanzdienste. Mir ist gerade erstmal das Herz in die Hose gerutscht!
 
So,

nun hat sich also PwC bei mir gemeldet.

PricewaterhouseCoopers@pwc.de schrieb:
Sehr geehrte Damen und Herren,

aus aktuellem Anlass möchten wir Sie darüber informieren, dass unbekannte
Daten-Hacker einen Angriff auf eine externe Servicedatenbank für
Jobsuchende durchgeführt haben. PricewaterhouseCoopers (PwC) hat diese von
einem externen Serviceprovider betriebene Internet-Seite genutzt, um
Kandidaten die Bewerbung bei PwC zu ermöglichen. Leider müssen wir Ihnen
mitteilen, dass Ihre Daten von diesem rechtswidrigen Angriff auf unsere
Systeme betroffen sein könnten.

Wir bedauern diesen Vorfall außerordentlich und haben inzwischen
umfangreiche Maßnahmen ergriffen. PwC hat sofort reagiert und den Zugang
zum System stillgelegt, so dass kein weiterer Zugriff auf die Datenbank
möglich ist. Selbstverständlich haben wir unverzüglich die
Staatsanwaltschaft eingeschaltet und Strafanzeige gegen die bislang
unbekannten Daten-Hacker gestellt.

Aus Sicherheitsgründen empfehlen wir Ihnen, Ihre Zugangsdaten und
insbesondere Ihr Passwort auf allen von Ihnen genutzten Webseiten
unverzüglich zu ändern. Unmittelbar eingeleitete Stichproben-Untersuchungen
legen die Vermutung nahe, dass die Hacker die gestohlenen Adressen vor
allem für Spam-Mails missbrauchen. Darüber hinaus sind E-Mail-Adressen und
Passwörter neben Daten aus den Beständen anderer Unternehmen auf einem
chinesischen Server aufgetaucht. Bewerbungsunterlagen sind nach unseren
Erkenntnissen nicht offen im Internet einsehbar.

Für Ihre Bewerbungsunterlagen bedeutet das: Wenn Sie Änderungen an Ihren
Unterlagen vornehmen möchten, informieren Sie uns bitte auf dem
postalischen Weg oder per E-Mail.

Anschrift: E-Mail:
PricewaterhouseCoopers AG personalmarketing@de.pwc.com
Personalmarketing & Recruiting
Olof-Palme-Straße 35
60439 Frankfurt am Main

Auf Wunsch löschen wir natürlich auch Ihre Daten in der Datenbank. Bitte
teilen Sie uns dazu zum Zwecke der vollständigen Identifizierung Ihrer
Person Ihren Namen und das Geburtsdatum mit, um Verwechslungen
auszuschließen. Wenn Sie eine Bestätigung der Löschung erhalten möchten,
benötigen wir auch Ihre E-Mail-Adresse. Gerne schicken wir Ihnen auch die
Bestätigung der Löschung per Fax oder per Post zu.


Für weitere Fragen steht Ihnen gerne unsere Hotline zur Verfügung. Diese
erreichen Sie telefonisch unter 069/9585-2941. Selbstverständlich werden
wir Sie über das weitere Vorgehen informieren.


Frank Brebeck Burkhard Schütte
Vorstand Personal Chief Information Officer



PricewaterhouseCoopers AG Wirtschaftsprüfungsgesellschaft

Vorsitzender des Aufsichtsrates
WP StB Reiner Dickmann

Vorstandsmitglieder
WP StB Hans Wagener · WP StB Peter Albrecht · WP StB Frank Brebeck · StB Prof. Dr. Dieter Endres
WP StB Ernst-Wilhelm Frings · WP RA Dr. Hans Friedrich Gelhausen · WP StB Werner Hölzl ·
WP StB Prof. Dr. Georg Kämpfer · WP RA StB Dr. Jan Konerding · WP StB Georg Kütter · Dr. Ludger Mansfeld
StB Marius Möller · WP StB Franz Nienborg · WP StB Gert-Michael Raabe
WP StB Martin Scholich · RA StB Christoph Schreiber · WP StB Dr. Norbert Vogelpoth
WP StB Franz Wagner · WP StB Wolfgang Wagner · WP StB Prof. Dr. Norbert Winkeljohann

Sitz: Frankfurt am Main - Amtsgericht Frankfurt am Main HRB 44845

Mitglied von PricewaterhouseCoopers International, einer Company limited by guarantee registriert in England und Wales

Wenigstens sind allem Anschein nach keine Bewerbungsunterlagen (RL Name, Adressen, Telefonnummern etc.)

Denoch werden die Adressen wohl in Zukunft vollgespamt.

Grüße
Cr1mson
 
Nächste Reaktion seitens PwC per Email:

PwC KIT-Programm schrieb:
Lieber [Cr1mson],
vor 2 Tagen kam PwC nach Hinweisen der ZDF-Redaktion Wiso auf die Spur von Daten-Hackern. PwC hat gestern die Öffentlichkeit über einen Datendiebstahl in unserer Bewerberdatenbank informiert. Die KIT-Datenbank ist nicht von diesem Angriff betroffen.

Die KIT-Datenbank liegt auf einer anderen Serverplattform und wird von uns regulär bearbeitet. Ihre eingepflegten Daten sind sicher und waren zu keiner Zeit in Verdacht angegriffen worden zu sein.

Alle Infos zum Hacker-Angriff finden Sie unter www.pwc.de.

Sollten Sie weitere Fragen haben, erreichen Sie uns unter der Telefonnummer **** / *******.

Viele Grüße
N***** *********

Soweit ich mich erinnnern kann, waren die Bewerbungsunterlagen aber eben nicht in der KIT- Datenbank, sondern in der gehackten Datenbank.

Ich erwarte immer noch ein abschließendes Statement, dass die Bewerbungsunterlagen nicht vom Server heruntergeladen wurden.


EDIT:
Nach einem Telefonat mit der PwC-Hotline ist klar geworden, dass PwC nicht mit absoluter SIcherheit sagen kann, dass keine Bewerbungsunterlagen heruntergeladen worden sind.
Es ist also immer noch möglich, dass die Unterlagen nach China gewandert sind.

EDIT2:
Leider brachte die ausgestrahlte Sendung wenig neue Informationen mit sich.
Es ist also immer noch offen, welche Daten abhanden gekommen sind.
 
Zuletzt bearbeitet:
ein grund mehr im internet vorsichtig zu sein und sich nicht in sicherheit zu wiegen.
weiters m.e. ebenso einer gegen onlinedurchsuchungen und diverse absurde ideen. man stelle sich nur vor deren server werden 'geknackt' :o
 
Zurück
Oben