BSI: Mehrere Millionen E-Mail-Konten durch Botnetze geknackt

[kolja]

So, der Server ist wohl wieder benutzbar
und ich habe mal meine 399 Emailadressen da durchgejagt.

Bis jetzt ist nur auf eine Adresse geantwortet worden,
und zwar die spam@....de.

Was mich nur sehr wundert ist, das diese Mail eine reine Weiterleitung ist.
Es gibt kein Passwort, das man knacken könnte...

Hier mal der Text der Mail:

Sehr geehrte Dame, sehr geehrter Herr,

Sie haben diese E-Mail erhalten, weil die E-Mail-Adresse spam@xxx.de auf der Webseite www.sicherheitstest.bsi.de eingegeben und überprüft wurde.

Die von Ihnen angegebene E-Mail-Adresse spam@xxx.de wurde zusammen mit dem Kennwort eines mit dieser E-Mail-Adresse verknüpften Online-Kontos von kriminellen Botnetzbetreibern gespeichert. Dieses Konto verwenden Sie möglicherweise bei einem Sozialen Netzwerk, einem Online-Shop, einem E-Mail-Dienst, beim Online-Banking oder einem anderen Internet-Dienst.

Um diesen Missbrauch zukünftig zu verhindern, empfiehlt das BSI die folgenden Schritte:

1. Überprüfen Sie Ihren eigenen Rechner sowie weitere Rechner, mit denen Sie ins Internet gehen, mittels eines gängigen Virenschutzprogramms auf Befall mit Schadsoftware.

2. Ändern Sie alle Passwörter, die Sie zur Anmeldung bei Online-Diensten nutzen.

3. Lesen Sie die weiteren Informationen hierzu unter www.sicherheitstest.bsi.de.

Diese E-Mail ist vom BSI signiert. Wie Sie die Signatur überprüfen können erfahren Sie auch unter www.sicherheitstest.bsi.de.

Mit freundlichen Grüßen
Ihr BSI-Sicherheitstest-Team

Was mich noch mehr wundert,
ich habe diese Mail 5 mal bekommen.
Und ja immer für diese Adresse.
Jetzt werde ich schon vom BSI zugespammt:facepalm:

 

[wuttki]

Bei bisher auch noch keine Rückmeldung das ich betroffen bin.

Was mich mal interessieren würde, bei denen die angeblich betroffen sind, wie die Passwörter aufgebaut sind.
Einfache zum merken oder wild zusammen gestellte PW.

 

[Alteshaus21]

Hab wohl Glück gehabt

 

[moronoxyd]

Was hat das denn mit Spam zu tun? Spam sind unerwünschte Mails. Ich glaube nicht, daß sich jemand über die Info beschweren würde.

Du kannst nicht davon ausgehen, daß alle 16 Mio. Emailbesitzer über so eine Email erfreut wären.
Z.B. enthält die Liste ja offensichtlich nicht nur Emails von Deutschen. Menschen, die kein Deutsch sprechen, würden mit der Email nicht viel anfangen können.

Was bringt mir die Erkenntnis, daß die Emailadresse eines anderen betroffen ist?

Wenn du Interesse hast, an die Daten einer bestimmten Person heranzukommen, wüßtest du dann, daß diese Daten im Umlauf sind und könntest gezielt danach suchen. (Die Daten, die die BSI erhalten hat, werden ja sicher nicht die einzige Kopie gewesen sein.)

 

[tomstein]

so, es scheint bei mir Entwarnung zu geben - bislang bekam ich keine Mail vom BSI...lediglich den vierstelligen(!!!) Code zu Beginn der Anfrage:huh:

LG
tomstein

 

[moronoxyd]

.lediglich den vierstelligen(!!!) Code zu Beginn der Anfrage:huh:

Der Code ist dazu da, sicherzustellen, daß eine eventuell eingehende Email tatsächlich die angeforderte Email vom BSI ist und nicht von Trittbrettfahrern versandt wurde, die die Situation ausnutzen und sich als BSI ausgeben.

 

[tomstein]

Der Code ist dazu da, sicherzustellen, daß eine eventuell eingehende Email tatsächlich die angeforderte Email vom BSI ist und nicht von Trittbrettfahrern versandt wurde, die die Situation ausnutzen und sich als BSI ausgeben.

ist logisch! Da ich bin ich aber froh, keine Post vom BSI erhalten zu haben

 

[mccs]

Und wer garantiert, dass die BSI-Seite nicht gehackt wurde? Oder dass die BSI sich einen Trick einfallen hat lassen, um günstig und massenweise Email-Adressen zu sammeln? Warum soll ich unbedingt dem Staat vertrauen, der Vorratsspeicherung will und die NSA nicht im Zaum halten kann? Und warum erfährt man nichts über die Vorgehensweise der Bot-Netze und die entdeckten Lücken?
fragt sich unschlüssig
mccs

 

[tomstein]

Auf jeden Fall verlangt die Sache eine umfassende Aufklärung..wo bleiben denn die Reaktionen von Chip und C`t?

 

[deeptrancer]

ich verstehe hier die Aufregung nicht: wer dem BSI oder "dem Staat" nicht trauen möchte, der lässt die Abfrage halt sein.

Ist doch eigentlich recht einfach, keiner wird zur Eingabe seiner eMail-Adresse gezwungen.

 

[moronoxyd]

Und wer garantiert, dass die BSI-Seite nicht gehackt wurde? Oder dass die BSI sich einen Trick einfallen hat lassen, um günstig und massenweise Email-Adressen zu sammeln?

Dazu, daß das BSI bei Interesse einfachere Wege hätte, um an viel mehr Daten zu kommen, wurde weiter oben schon was geschrieben. (Aber warum Beiträge lesen, wenn man statt dessen polemisieren kann?)
Wäre das BSI gehackt worden, wüssten wir das inzwischen. Bei dem starken Medienecho wäre den Verantwortlichen im BSI schon aufgefallen, daß dieser Aufruf gar nicht von Ihnen selbst kommen.

Warum soll ich unbedingt dem Staat vertrauen, der Vorratsspeicherung will und die NSA nicht im Zaum halten kann?

Niemand zwingt dich, deine Email-Adresse auf der Webseite des BSI ainzugeben.
Das ist ein Service, den sie anbieten. Es gibt keine Pflicht, ihn zu nutzen.

Aber wenn du jetzt allen staatlichen Organen aus Prinzip mißtraust, stellt sich die Frage, warum du nicht auswanderst?
In einem Staat, in dem ich niemandem traue, würde ich nicht leben wollen.

Und warum erfährt man nichts über die Vorgehensweise der Bot-Netze und die entdeckten Lücken?

Vielleicht, weil die zuständigen Stellen noch ermitteln?

 

[Mornsgrans]

...
Nachdem das BSI den Datenklau am gestrigen Dienstag öffentlich gemacht hat, sind Hange zufolge mehr als 8,5 Millionen Anfragen bearbeitet worden. Davon seien 750.000 von Betroffenen gekommen, die über den Diebstahl ihrer Daten informiert wurden, ...

...
So seien die Benutzernamen und die Passwörter über einen Zeitraum von mehreren Jahren gesammelt worden, weswegen davon auszugehen sei, dass nicht mehr alle aktuell sind. Zu jedem abgegriffenen Benutzernamen liege auch ein Passwort im Klartext vor. Betroffen sind deswegen alle Formen von Online-Konten, bei denen eine E-Mail-Adresse als Benutzername verwendet wird, da sich die Täter mit den Daten dort einloggen können...

Quelle:
http://www.heise.de/security/meldun...-millionenfachem-Identitaetsklau-2093423.html



Thread nach "Mitteilungen" verschoben, damit er auch im Portal sichtbar ist.