Angeblich Millionen Passwörter aufgetaucht: Datenleck bei Linkedin

Nahezu 6,5 Millionen Passwörter von Mitgliedern des Online-Netzwerks Linkedin sind gestohlen worden, berichten Medien. Das Unternehmen bestätigt, dass einzelne Login-Daten echt sind.

Passwörter des Sozialen Netzwerks stehen nur leicht verschlüsselt auf einer Website. Bild: dapd

BERLIN dpa | Beim Online-Netzwerk Linkedin sind Passwörter von Mitgliedern gestohlen worden. Das Ausmaß ist aber auch einen Tag nach Bekanntwerden des Attacke noch unklar. Linkedin bestätigte nach einer stundenlangen Überprüfung nur, dass einige im Internet gefundene Passwörter echt seien, nannte aber keine Zahlen.

Laut Berichten der norwegischen Zeitung Dagens IT und der Blogs „The Next Web“ und „The Verge“ sollen auf einer russischen Webseite nahezu 6,5 Millionen Kennwörter aufgetaucht sein – nicht im Klartext, aber mit etwas Aufwand entzifferbar.

LinkedIn erklärte in einem Blogeintrag, betroffene Nutzer würden per E-Mail informiert, ihre alten Passwörter seien deaktiviert worden. Das Online-Netzwerk hat insgesamt mehr als 150 Millionen Mitglieder. Anders als etwa beim meist privat genutzten Facebook helfen die Profile bei Linkedin bei der Pflege geschäftlicher Kontakte oder der Suche nach einem neuen Arbeitsplatz.

Die im Internet aufgetauchten Passwörter sollen den Berichten zufolge "gehasht" sein – das heißt, sie wurden mit einem Algorithmus unkenntlich gemacht. Es ist jedoch keine echte Verschlüsselung, so dass sie mit etwas Aufwand oft wiederhergestellt werden können.

Die Linkedin-App sendet nach Hause

Der Tag hatte für Linkedin schon unangenehm begonnen. Das Unternehmen musste sich rechtfertigen, nachdem Experten entdeckten, dass die Smartphone-App des Netzwerks großzügig Informationen zu Terminen und Adressbuch von Nutzern auf Server des Netzwerks hochgeladen hatte.

Darunter waren zum Beispiel auch Notizen, die man zu einem Termin angelegt hatte. Diese will LinkedIn künftig aussparen. An sich sei das Überspielen der Daten jedoch notwendig, um die Termine mit Informationen aus dem LinkedIn-Netzwerk zu verknüpfen. Die Daten würden nicht aufgehoben, und man habe die Nutzer stets nach einer Zustimmung für den Zugriff auf ihre Adressbücher gefragt.

Comments

[Andreas]

Hashen ist im Grunde genommen sogar sicherer als Verschlüsselung - denn man kann aus dem Hash eines Passwortes erstmal das Passwort gar nicht mehr rekonstruieren.

Man probiert es einfach durch. Man nimmt ein Wörterbuch und hasht alle Wörter mit dem selben Verfahren wie die Passwörter. Hat ein Wort den gleichen Hash, dann ist es EIN gültiges Passwort.

Der eigentliche Skandal: Diesen Angriff kann man sehr gut erschweren, indem man die Passwörter vor dem Hashen noch mit einer zufälligen Anhang versieht (Salt). Das ist eigentlich eine Grundlage, die seit den 1970ern bekannt ist...