+43 699 / 18199463
office@itexperst.at

LinkedIn 2012 Zugangsdaten-Hack – Eine Fortsetzung

LinkedIn, das größte professionelle Netzwerk der Welt mit über 400 Mio. Mitgliedern wurde 2012 Opfer einer Cyberattacke. Laut damaligen Meldungen wurden geschätzte 6,5 Mio. Zugangsdaten zu Mitgliederkonten gestohlen. Doch die Fachwelt kritisierte das Unternehmen schon damals heftig.

Zum einen seien die Sicherheitsvorkehrungen überaus schwach dimensioniert gewesen und zum anderen sei der Vorfall vom Unternehmen nie richtig aufgearbeitet worden. LinkedIn hat in der Tat stets nur sehr vage zu dem tatsächlichen Umfang und den Gründen des Passwortlecks Stellung genommen. Doch nun muss sich das Unternehmen wieder dem gleichen Fall stellen, der wie sich aktuell herausstellt, noch viel brisanter ist, als damals bekannt gegeben wurde.

Ein unbekannter Hacker mit dem Pseudonym Peace ist nach eigenen Angaben im Besitz von weit mehr als die damals bekannt gegebene Menge an gestohlenen LinkedIn Zugangsdaten. Er bietet im illegalen Untergrund-Marktplatz The Real Deal derzeit etwa 117 Mio. E-Mail-Adressen und die dazugehörigen Zugangsdaten zum Kauf an. LinkedIn räumte daraufhin ein, dass 2012 tatsächlich 117 Mio. Nutzerdaten gestohlen wurden, und bestätigte die Echtheit der angebotenen Datensätze.

Peace und LeakedSource, eine Suchmaschine für gehackte Daten behaupten dagegen, dass in Wirklichkeit 167 Mio. Kontendaten erbeutet wurden.
Sowohl Millionen LinkedIn-Nutzer und auch LinkedIn selbst, haben es generell nicht so richtig ernst genommen mit der Passwortsicherheit. Zwar hatte LinkedIn seine Passwörter gesichert, jedoch lediglich als einfacher Hash mit einem SHA1 Algorithmus. Ohne Salt, einer Serie beliebiger Ziffern am Ende der Hashes, ist ein Knacken der Passwörter ein relativ einfaches Spielfeld für Hacker. Mitarbeiter von LeakedSource sprachen sogar davon, 90 % der LinkedIn Passwörter innerhalb von 72 Stunden geknackt zu haben. 2012 hatte LinkedIn außerdem nur die mutmaßlich betroffenen Mitglieder aufgefordert, ihre Passwörter zu ändern. Die übrige Mitgliederschar wurde damals aber nicht benachrichtigt. Danach hatte das Unternehmen sogar Salt zu allen Nutzerpasswörtern hinzugefügt.

Allerdings half das nur jenen Mitgliedern, die ihre Passwörter tatsächlich auch geändert hatten.

Hacker sind heute in der Lage Computer zu bauen, die zig Millionen möglicher Passwort-Hashes pro Sekunde für jeden entsprechenden Benutzernamen oder E-Mail-Adresse berechnen können und somit das Prinzip des Hashens aushebeln. Mit dem Hinzufügen von Salt, wird der Berechnungsvorgang für die Kriminellen jedoch wesentlich aufwändiger und somit eher unlukrativ.

Der verantwortliche Vorstand für Informationssicherheit bei LinkedIn, Cory Scott, gab nun bekannt, dass nach den aktuellen Ereignissen bereits alle Mitglieder aufgefordert wurden, ihre Passwörter zu ändern – am besten mit einer Zweifaktorauthentifizierung sowie starken Passwörtern. Letztere, wichtige Informationen, waren leider nur für wenige Leser in seinem Blogpost zu lesen. Offiziell zwingt LinkedIn nun seine Nutzer die Passwörter bei der Anmeldung zu ändern, gibt aber gleichzeitig keine weiteren Tipps zur sicheren Passworterstellung. Laut Scott seien inzwischen auch erfolgreiche gerichtliche Schritte gegen LeakedSource eingeleitet worden, die LinkedIn Daten von ihrer Plattform zu entfernen. LeakedSource wies allerdings in einem Kommentar darauf hin, dass sie selbst zu keinem Zeitpunkt Datensätze zum Verkauf angeboten hätten.

Was nun aber auch ans Tageslicht kommt, ist, dass LinkedIn-Nutzer generell seit Jahren wohl recht unbekümmert mit ihren Passwörtern umgehen. LeakedSource konnte herausfinden, dass 2,2 Mio. der 117 Mio. gestohlenen Passwörter auf eine Sammlung von 50 simplen Passwortkombinationen beruhten. Das am häufigsten verwendete Passwort dabei war 123456 – es wurde unglaubliche 753.000 Mal verwendet. Aber auch andere Kennwörter wie, Linkedin, passwort oder 123456789 kamen jeweils mehr als 100.000 Mal zur Verwendung.

Der Vorfall zeigt auch, dass selbst Daten, die bereits vor langer Zeit gestohlen wurden, für Hacker selbst nach Jahren noch wertvolle Beute sein können. Insbesondere auch aufgrund des Umstands, dass Passwörter womöglich immer noch Gültigkeit haben, weil sie nie geändert wurden. Wertvoll sind sie zusätzlich auch noch deshalb, da viele Anwender immer noch den Fehler begehen, die gleiche Kombination von Anmeldedaten und Passwort für mehrere Zugänge zu verwenden. Damit kann sich das Problem des LinkedIn Datenlecks sehr schnell sehr viel weiter ausbreiten.

Artikel von motherboard.vice.com, 18.05.2016: Another Day, Another Hack: 117 Million LinkedIn Emails And Passwords
Artikel von zdnet.com, 20.05.2016: LinkedIn panics, legal threats fly into hacker search engine inbox
Artikel von krebsonsecurity.com, 18.05.2016: As Scope of 2012 Breach Expands, LinkedIn to Again Reset Passwords for Some Users

Durch die weitere Nutzung der Seite stimmst du der Verwendung von Cookies zu. Weitere Informationen

Die Cookie-Einstellungen auf dieser Website sind auf "Cookies zulassen" eingestellt, um das beste Surferlebnis zu ermöglichen. Wenn du diese Website ohne Änderung der Cookie-Einstellungen verwendest oder auf "Akzeptieren" klickst, erklärst du sich damit einverstanden.

Schließen