Hack bei Yahoo war größer als bekannt: Alle 3 Milliarden Kontodaten geklaut

2013 wurden vom Webdienstleister Yahoo nicht nur eine Milliarde, sondern alle Kontodaten gestohlen. Ermittler gehen von Verbindungen zur russischen Regierung aus.

Der bislang größte Datendiebstahl: Yahoo-Konten sollten gesichert werden Foto: reuters

NEW YORK dpa/taz | Vom massiven Datenklau bei Yahoo im Jahr 2013 waren alle drei Milliarden Nutzerkonten bei dem Internet-Konzern betroffen. Bisher war von einer Milliarde Accounts die Rede gewesen – und schon damit war es der Daten-Diebstahl mit dem größten Ausmaß. Man habe kürzlich neue Informationen erhalten, die auf mehr Betroffene schließen ließen, teilte der neue Yahoo-Eigentümer, der Telekom-Anbieter Verizon, in der Nacht zum Mittwoch mit.

Unter den gestohlenen Daten seien keine Passwörter im Klartext sowie keine Kreditkarten- oder Kontoinformationen, bekräftigte Verizon. Nach bisherigen Informationen verschafften sich die Angreifer aber Zugriff auf Namen, E-Mail-Adressen, Telefonnummern sowie unkenntlich gemachte Passwörter. Ein Problem ist, dass auch Antworten auf Fragen bei vergessenen Passwörtern betroffen sein könnten, die auch auf anderen Websites vorkommen könnten.

Nach wie vor ist unklar, hinter wie vielen der Accounts zum Zeitpunkt der Attacke noch aktive Nutzer steckten. Die betroffenen Nutzerkonten verteilten sich auf diverse Yahoo-Dienste.

Yahoo hatte im vergangenen Jahr erst einen Hackerangriff im Jahr 2014 eingeräumt, von dem 500 Millionen Nutzerkonten betroffen waren. Kurz darauf wurde die vorherige, größere Attacke von 2013 bekannt. Die Enthüllungen führten dazu, dass der Kaufpreis für Yahoo um 350 Millionen Dollar gesenkt wurde. Verizon zahlte immer noch knapp 4,5 Milliarden Dollar. Die damalige Yahoo-Chefin Marissa Mayer verzichtete auf Bonuszahlungen.

Im Sommer 2016 tauchte die Datenbank wieder auf: Eine Netzsicherheitsfirma InfoArmor stieß auf ein „osteuropäisches Hackerkollektiv“, das 500 Millionen bis eine Milliarde Yahoo-Konten für 300.000 Dollar anbot. Die Firma konnte drei Verkäufe beobachten, zwei Mal an bekannte Spammer und ein weiteres Mal an einen mutmaßlich staatlichen Akteur, da zur Verifizierung die Daten von US-Regierungsmitarbeitern veröffentlicht wurden. Die Hackergruppe soll zuvor auch weitere soziale Netzwerke gehackt haben.

Im März wurden in den USA vier Männer wegen des kleineren Hacks 2014 angeklagt. Zwei der Angeklagten waren Offiziere des russischen Geheimdienstes FSB. Laut Anklageschrift nutzten sie die Daten um US-Regierungsangestellte und -Militärs zu bespitzeln, aber auch Banken und weitere private Firmen. Die New York Times berichtet, dass Ermittler davon ausgehen, dass auch die Angreifer hinter dem größeren Hack 2013 Verbindungen zur russischen Regierung hatten.

Auch wenn der Yahoo-Hack die meisten Betroffenen hat, könnte die jüngste Cyberattacke auf die Wirtschaftsauskunftei Equifax noch schwerwiegendere Folgen haben. Denn bei den dort betroffenen 145,5 Millionen Amerikanern könnte auch die Sozialversicherungsnummer gestohlen worden sein. Mit der kann man sich in den USA bei Vertragsabschlüssen identifizieren.

Wer ein Yahoo-Konto hat, sollte auf jeden Fall dieses auf Missbrauchshinweise prüfen und Passwörter und Sicherheitsfragen verändern. Sofern für andere Websites ähnliche Passwörter genutzt wurden, sollten diese ebenfalls geändert werden.

Comments

[Nico Frank]

Die Wirtschaftsauskunftei Equifax ist sowas wie unsere Schufa. Ich wette 95% der Bürger die bei der Schufa irgendwie gespeichert sind, wollten nur bedingt dort gespeichert sein, also unfreiwillig.

Ich finde die gesetzlichen Vorgaben, schützen die Bürger vor Datenmissbrauch viel zu wenig und Unternehmen die Personendaten speichern, werden viel zu lasch vom Gesetzgeber behandelt. Solche und ähnliche Fälle machen deutlich, wie lasch der Gesetzgeber diese Unternehmen zu Lasten der Bürger behandelt.

[sponor]

"Wer ein Yahoo-Konto hat, sollte dieses kündigen und auch in Zukunft noch verstärkt auf Missbrauchshinweise achten. Sogenannte 'Sicherheitsfragen' sollten generell nicht benutzt werden. Sofern für andere Websites ähnliche Passwörter genutzt wurden, war das unabhänging von diesem Vorfall ein großer Fehler und sollte sofort geändert werden."

Nur so'n kleiner Verbesserungsvorschlag.

PS: Auch Spiegel Online schreibt was von "unkenntlich" gemachten Passwörtern, scheint dieselbe Quelle zu sein. Ist trotzdem problematisch: Die PW wurden "gehasht" und das heißt, dass sie evtl. wieder kenntlich gemacht werden können (in diesem Fall kann fast davon ausgehen -- https://nakedsecurity.sophos.com/2016/12/15/yahoo-breach-ive-closed-my-account-because-it-uses-md5-to-hash-my-password/)