News BSI: 16 Millionen gestohlene Identitäten entdeckt

[JuggernautX]

.....
Wenn ich Daten haben will gehe ich zu einen Adresshändler. Derzeitiger Kurs für Name, Adresse, Mailadresse, 89 Cent pro Datensatz wenn die Daten verifiziert sind. Wenn ich will kann ich jetzt sofort 20.000.000 Datensätze nur für Deutschland kaufen, gar kein Problem. Wenn ich ein wenig mehr zahle mit allen anderen wichtigen Daten wie Telefonnummer, Kontonummer usw. Das ist kein Schattenhändler oder was illegales. Nein, das ist ein offizieller Datenhändler hier im Ort, übrigens einer der größten Deutschlands. Das Geschäft ist völlig legal.

Warum sagst Du nicht welcher Händler das ist?

Das ist vollkommen legal wenn ein Händler meine Daten GEGEN meinen Willen und wissen veräußert?

 

[Nekuan]

Warum sagst Du nicht welcher Händler das ist?

Das ist vollkommen legal wenn ein Händler meine Daten GEGEN meinen Willen und wissen veräußert?

Da du quasi überall wo du deine Daten angibst mit erlaubst, dass genau das passiert..

 

[DarkTaur]

Leute bitte fallt nicht darauf rein und verwendet auf keinen Fall die BSI Seite!

ändert einfach eure Passwörter und dann hat sich das alles schon erledigt! Anstatt dass ihr denen jetzt eure Mail Adresse gebt...

Dann hat man aber wohl viel zu tun... Bei heise gabe es ein Nachrichten-Update und es ist doch wohl so, dass es nicht um die Mailaccounts geht sondern um die Zugänge zu anderen Online-Diensten welche als Anmeldename die Mailadresse verwenden und das machen ja die meisten...

 

[Creeed]

Warum sagst Du nicht welcher Händler das ist?

Das ist vollkommen legal wenn ein Händler meine Daten GEGEN meinen Willen und wissen veräußert?

Gegen deinen Willen? Mal AGB durchgelesen? Eventuell auch die als du dich hier angemeldet hast? Oder die von den Webshops bei denen du bestellst? Oder auch die auf der Rückseite des Kassenbons wenn du mit Karte im Supermarkt bezahlst? Oder die von der Punktekarte die du eventuell benutzt? Software AGB oder EULA mal ganz durchgelesen? Handyvertrag? Versicherungsvertrag?

Es gibt so viele Stellen wo du deine Zustimmung gibst, glaub mir wenn man was über dich wissen will weiß man es und dafür muss kein dummer NSA Spruch herhalten.

Benutz einfach mal Google: Achtung deren AGB stimmst du mit Benutzung zu.
https://www.google.de/search?q=adre...ozilla:de:official&client=firefox-a&gws_rd=cr

 

[Hei$enberg]

Wie sehen denn diese "Empfehlungen zu erforderlichen Schutzmaßnahmen" aus?

'Bitte ändern sie ihr Passwort und installieren sie folgendes Antivirenprogramm...'?

 

[CEO84]

Ich dachte schon das BSI kommt wie immer zu spät und meint damit die NSA. Mit jeder weiteren Prüfung über das BSI gehen weitere Identitäten verloren.

 

[[ChAoZ]]

Ich verstehe es nicht ganz.
Sollte ich betroffen sein so wird es mit per Mail mitgeteilt, aber auch das gestohlene PW?

Kann ja sein dass man mit einer E-Mail Adresse auf zig Portalen registriert ist aber unterschiedliche PWs...

 

[run_for_fun]

Creed, da du dich scheinbar auskennst, was hast du an deinem Rechner gemacht, nachdem du heute festgestellt hast, das du Teil eines Botnetz bist/warst ?

 

[PhilS1984]

Hi leute,

Habe die ganzen Seiten nun gelesen.
Verstehe ich das richtig, dass wenn ich nicht auf dieser bsi Seite meine Mails abgleichen will einfach alle Passwörter ändern sollte?

Nutze halt für manche Shops die gleichen Passwörter. Aber kein Passwort von Facebook oder Shops gleicht dem der Email Hoster.

MfG.

PS: Virenschutzprogramm Avira meldet ebenfalls keinen Fund. Mache da jede Woche nen komplett Scan.

 

[areiland]

Wenn ich mir so manche Kommentare so ansehe, dann könnte ich auf die Idee kommen dass der eine oder andere den Abgleich deswegen scheut weil er die möglichen Konsequenzen einer zurückgehenden E-Mail fürchtet. Tatsächlich kann nicht mehr passieren, als dass man vom BSI (sozusagen amtlich) bestätigt bekommt, dass der eigene Rechner Teil eines Botnetzes ist oder war. Jeder gibt seine E-Mail Adressen teilweise hundertfach auf allen möglichen (nichtstaatlichen) Webseiten preis, fürchtet sich aber davor sie einem automatisierten Prozess des Abgleichs mit einer Liste von kompromittierten Adressen zu überlassen. Dazu dann auch noch die überparanoide Angst davor, dass die abgeglichene Adresse mit einer flüchtigen IP Adresse in Bezug gesetzt werden könnte.

@Phils1984
Zumindest die Passwörter ändern, das wäre eine angemessene Reaktion auf eine solche mögliche Bedrohung. Schon die Fülle der kompromittierten E-Mail Adressen lässt die Wahrscheinlichkeit steigen, dass die eigene betroffen sein könnte.

Kein Virenscanner, er kann noch so gut bewertet sein, wird Dir hundertprozentige Sicherheit geben können. Einmal infiziert durch einen Zero-Day Exploit wird Dir Avira in hundert Jahren noch ein sauberes System vorgaukeln. Die einzig ernstzunehmende Scanmethode ist der Scan mit einer Offline CD. Deshalb wäre der Adressenabgleich eine sehr gute Massnahme um zumindest einschätzen zu können, ob es auf dem Rechner eine möglicherweise bisher nicht erkannte und aktive Bedrohung gibt.

 

[MaxDaten]

Ich halte diese News und die nicht sehr kritische Bewertung seitens CB ebenfalls für sehr bedenkenswert. Welche Sicherheiten sind denn hinterlegt, dass hier nicht eine Datenbank mit e-Mail-Adressen, welche eine "Identität" überhaupt repräsentieren, erst aufgebaut wird? Was würde ich machen, wenn ich so etwas wollte?

- Angst schüren
- eine als verbreitet vertrauensvoll propagierte Instanz (BSI) darstellen oder benutzen
- die leider ziemlich "einfach" denkende Masse einfach nach einem "Check" fragen - eine mit Zufallsmoment ausgelöste Antwort ist ja nur recht und billig


PS: e-Mail-Datenbanken haben die Dienste und jeder sonstige Stakeholder sowieso. Wahrscheinlich auch Techniken, um diesen einen Score zu verpassen, ob die eher Ramsch oder ernsthaft genutzte sind. So eine Abfrage kann solche Scorings bestätigen oder Verbesserungspotential aufzeigen...

So und was soll das BSI mit E-Mails? Meinst dass das BSI dir gerne Spam schicken will oder die E-Mails-Adressen verkauft? Besonders weil E-Mail Adressen ohne verknüpfte Identität wenig wert sind. Am wertvollsten sind E-Mail Adressen von denen man möglichst viel über den Besitzer weiß (Stichwort Social Engineering und personalisierte Spam).

Also man kann schon davon Ausgehen, dass das BSI hier keine bösen Absichten hegt. Aber war klar, dass durch den NSA Skandal nun jeder daher kommt und seine obskuren Theorien loswerden muss, absolut fahrlässig an falschen Stellen Ängste zu schüren.

Zusatz: Wenn das BSI eng mit der NSA zusammenarbeiten würde, die Befürchtung könnte man ja haben, dann hätten sie es für sich behalten, dass sie Daten in Botnetzen gefunden wurden. Denn so können Geheimbehörden viel günstiger und gefahrloser E-Mail Accounts überwachen, ohne dritte zu involvieren.

 

[Creeed]

Creed, da du dich scheinbar auskennst, was hast du an deinem Rechner gemacht, nachdem du heute festgestellt hast, das du Teil eines Botnetz bist/warst ?

Da nur ein Müllaccount betroffen war und kein anderer habe ich gar nichts getan. Wenn ich irgendwann wieder bei einem Shop bei dem ich einen Account habe mit der Mailadresse bestelle ändere ich das Passwort auf eins aus dem Generator. Ich mach mich da nicht verrückt. Bei der Mailadresse ahnte ich sogar dass sie kompromittiert war, sie war bei der Geschichte mit Mindfactory und zwei anderen ähnlich gelagerten Fällen betroffen. Da das Passwort dort zwar überall gleich ist aber sich trotzdem vom Mailaccount unterscheidet ist die Sache halb so wild. Außerdem ist die Kuh schon ersoffen, vom Eis bekommt man sie nicht mehr und Panik schieben bringt jetzt erst recht nichts mehr. Adresse, Kontodaten usw. haben sie schon. Aber das sind öffentliche Informationen mit denen sie wenig bis gar nichts anfangen können.

Zum Glück ist bei mir Firma von Privat netzwerktechnisch getrennt, ich könnte es mir nicht leisten dass Daten von Firmenkunden in irgendeiner Form kompromittiert wären. Selbst beim kleinsten Verdacht wird da radikal gehandelt.

Wären hingegen alle Accounts eines Hoster oder sogar alle meine Accounts betroffen gewesen wäre die Reaktion eine andere. Dann wäre Putzen der Profile angesagt bis hin zur Neuinstallation. Ich werde aber trotzdem beim nächsten Reboot des Rechners in drei bis vier Wochen einmal ein Scannertool von einer CD laufen lassen. Nur zur Sicherheit.

 

[Prodigy78]

nur mal so rausgepickt

Wenn eine Adresse nicht betroffen ist fände ich es besser, wenn die trotzdem eine Mail mit entsprechender Benachrichtigung senden würden.
So weiß ich jetzt nicht ob meine Anfrage verschluckt wurde oder ob ich nicht zu den "Glücklichen" gehöre.

Dem stimm ich zu. Eventuell wird die Antwortemail auch von einem Spamfilter aussortiert und derjenige denkt, ok, mich betrifft es nicht. Wenn dann keine Email kommt wüsste man, dass eine Email fehlt. Etwas zu bestätigen ist doch im Grunde nie falsch und vor allem immer eindeutig! Und da sollen Fachprofies arbeiten?

Weil bei den betroffenen E-Mails ja eben nicht sichergestellt ist, dass auch die "Opfer" die E-Mail lesen, bevor sie der Bot z.B. automatisch löscht.

ja und? Es sollte wenn dann ja zusätzlich an alle diese Emailadressen eine Info gehen, denn ich will gar nicht wissen, an wie vielen Betroffenen diese Nachricht einfach wieder vorbeigeht bzw. wie viele sie sehen aber den Test auf der Seite gar nicht wahrnehmen. Denn das alle den Test "manuell" machen ist genauso wenig sichergestellt! Ist so meiner Meinung nach erstmal ungenügend wie hier vorgegangen wird. Das keine Emails generell an betroffene Adressen gesendet wird, schürrt doch auch zudem diese Bedenken, wie es hier einige äußern, ob man dort seine Emailadresse eingeben sollte. Ich glaube die Erfolgschancen, wenn zusätzlich Warnemails gesendet werden würden, wären doch wesentlich besser, oder!?

Was ich glaube ist ja nicht wichtig. Die Möglichkeit besteht und somit wäre eine reine Rund E-Mail als Information nichts auf das man sich verlassen könnte.

Wenn Bots auf infizierten Rechnern wirklich solche Warnemails löschen könnten, dann wäre der manuelle Test genauso unnütz, da nichtbetroffene ja keine Email erhalten... merkst du was?!

Bin auch gepannt was da noch für Infos kommen und hoffe, dass es mehr Informationen geben wird, wie und durch welche Seiten das Botnetz aufgebaut wurde. Infizierte Systeme sollten natürlich schnellstmöglich erkannt und unschädlich gemacht werden.

 

[Creeed]

Es sollte wenn dann ja zusätzlich an alle diese Emailadressen eine Info gehen, denn ich will gar nicht wissen, an wie vielen Betroffenen diese Nachricht einfach wieder vorbeigeht bzw. wie viele sie sehen aber den Test auf der Seite gar nicht wahrnehmen.

Das Problem ist ganz einfach dass es nicht erlaubt ist. Davon mal ganz abgesehen, wer reagiert auf eine Mail vom BSI in der steht dass der Account eventuell kompromittiert ist und man seine Zugangsdaten ändern soll? Die Foren bei heise und hier würden überquellen vor Empörten was denen nicht alles einfällt plus dem üblichen Gebashe weil es von einer Regierungsbehörde kommt. Von dummen Sprüchen über Bundestrojaner bis hin zu NSA Gehirnfurz ist ja hier schon alles vorhanden.

 

[wilbad]

ich frag mich ja wie man ein 16 Mille Botnet irgendwo hosted ohne großartig aufzufallen^^
Da muss doch mehr im Spiel sein...

Keine meiner Emails dabei, dafür die meiner Mutter

 

[areiland]

@wilbad
Wer sagt denn das es der Datenbestand eines einzigen Botnetzes ist?

 

[Creeed]

16 Millionen Datensätze ist für ein Bot Netz nicht wirklich viel. Wenn wir Mariposa nehmen, das größte bisher bekannte Bot Netz, das hat 13 Millionen Rechner infiziert. Bei Configer geht man von bis zu 9 Millionen Teilnehmern aus. Das sind nur die bekannten Netze. Gehostet werden muss da nicht viel, höchstens ein paar Control Server die den Zombies sagen was zu tun ist inklusive einem Fallback falls die Server Hopps genommen werden. Der Rest verteilt sich quasi von alleine.

Nicht falsch verstehen, es geht hier bisher um Daten die das Botnet abgefischt hat. Nicht um Teilnehmer an ihm.

Gnarf, man sollte vorm posten seine Listen lesen.

Das größte geknackte Botnet ist BredoLab gewesen. 30 Millionen infizierte Rechner. Aber Größe ist ncht alles, wie so oft im Leben. BredoLab verschickte 3,6 Milliarden Spam Mails am Tag. Rustock schaffte hingegen mit 1,7 Millionen Zombies über 44 Milliarden. Credo sogar 60 Milliarden.

 

[Metis]

3 von 3 Adressen clean. Puh! Nicht mal meine 15 Jahre alte Müll-Adresse ist dem BSI bekannt.
Bin ich jetzt „gut“ in IT Security, hatte ich einfach nur Glück oder ist mein Rechner „richtig“ kompromittiert?

Nach all den Leuten, die hier Mails bekamen wurde mir schon ganz anders. Ich hoffe Euch passiert nichts Schlimmes!

 

[Violinho]

Ich habe jetzt die Bestätigung bekommen, dass auch eine meiner E-Mail Adressen betroffen ist. Habe aber gleich 4 Mails vom BSI bekommen. Heißt dass meine verknüpfte E-Mailadresse wurde bei 4 Einträgen gefunden. Also 4 verschiedene Log Ins? Gibt es noch jemanden der mehrere E-Mails bekommen hat?

 

[areiland]

Möglich wäre es.