Welche Gefahr besteht?
Das Wichtigste vorweg: dienstliche Mailadressen des Bistums und der Caritas, die über Lotus Notes abgerufen werden bzw. andere von der Internetredaktion verwaltete Mailadressen sind hiervon nicht betroffen.
Im Prinzip kann jedoch jeder betroffen sein, der ein Email-Konto bei einem öffentlichen Emailprovider hat. Sind die Benutzerdaten (Mailadresse und Passwort) bekannt, können Dritte sich genau wie der rechtmäßige Nutzer in das entsprechende Email-Postfach einloggen und auf sämtliche Emails, deren Inhalte und Anhänge zugreifen. Weiterhin kann der Eindringling natürlich auch unter dieser Mailadresse Mails versenden und auf die Kontaktdaten der im Adressbuch hinterlegten Personen zugreifen.
Werden über solche Mailkonten dienstliche und gar personenbezogene Daten ausgetauscht, hat hiermit auch die Verletzung der geltenden Datenschutzbestimmungen unter Umständen schwerwiegende Konsequenzen (vgl. E-Versand "Dienstanweisung zur Benutzung dienstlicher E-Mail-Adressen" vom 22.01.2014).
Auch die persönlichen Konsequenzen für den vom Identitätsdiebstahl Betroffenen reichen unter Umständen weit über das Ausspähen und unberechtigte Nutzen des Mailkontos hinaus: viele Personen nutzen, meist aus Bequemlichkeit, ihre Emailadresse mit identischem Passwort auch noch als Login für andere Internetdienste wie Shops (z.B. Amazon, Ebay), Soziale Netzwerke (z.B. Facebook), Bezahlsysteme (z.B. PayPal), Zugänge zu Versicherungen und Behörden sowie anderes mehr.
Was tun?
Prüfen Sie möglichst schnell, ob von Ihnen verwendete Emailadressen vom aktuell bekannt gewordenen Identitätsdiebstahl betroffen sind und informieren Sie sich eingehend darüber, was Sie im Fall der Fälle dringend tun sollten.
Hierfür haben wir Ihnen einige nützliche Links zusammen gestellt:
- Pressemitteilung des BSI vom 21.01.2014
- Heise online: Mehrere Millionen Internet-Konten durch Botnetze geknackt
- Web.de Digitale Welt: Experten warnen vor Verbrechen im Netz
- BSI-Sicherheitstest
Zuletzt noch ein Tipp zum Umgang mit Passwörtern
Dass Passwörter möglichst so beschaffen sein sollen, dass sie nicht einfach zu erraten sind, ist eigentlich eine Binsenweisheit.
Verwendet man stattdessen komplexe Kennungen, besteht leicht die Gefahr, sich diese entweder selbst nicht merken zu können, oder aber diese an Stellen zu notieren, die deren Schutzfunktion ad absurdum führen (am Monitor, unter der Tastatur, ...).
Dies führt oftmals dazu, dass man sich zwar nach allen Regeln der Kunst (keine Namen, Begriffe oder sonstige Wörter, Einflechten von Ziffern und Sonderzeichen, mehr als 8 Zeichen, ...) ein komplexes Passwort konstruiert, dieses dann aber an vielen Stellen parallel einsetzt. Denn Hand auf's Herz: wer kann sich schon mehr als 5 komplexe, sinnfreie Passwörter angemessener Länge (z.B. A8Js*aHS-K) merken?
Wie der aktuelle Fall zeigt bedeutet die mehrfache Verwendung ein- und desselben Passworts jedoch eine große Gefahr; wird dieses in einem Zusammenhang bekannt, versuchen Kriminelle systematisch auch andere gängige Accounts damit durch.
Was also tun? Konstruieren Sie sich ein komplexes "Kern-" Passwort von z.B. 6-8 Zeichen Länge. Verwenden Sie dieses stets als Stamm für ein konkretes Login und ergänzen es um 2-3 zweck- bzw. anlassbezogene Zeichen, die Sie sich im jeweiligen Zusammenhang gut merken können.
Wie können Sie sich das komplexe, scheinbar sinnfreie Kern-Passwort merken? Ganz einfach: geben Sie ihm einen Sinn! So kann z.B. aus dem Satz "Am 8. Januar scheint die Sonne am Himmel" durch Verwendung der Anfangsbuchstaben bzw. geeigneter Symbolik das Kennwort "A8Js*aH" (der Stern symbolisiert hier z.B. "die Sonne")
Der Account für den frei erfundenen Onlineshop "Schön-Kauf" könnte also z.B. "A8Js*aHS-K" lauten, die Anmeldung beim erdachten Mailprovider "Flitzmail" hingegen "A8Js*aHFm".
Zugegeben: auch diese Taktik garantiert keine 100-prozentige Sicherheit; aber einen angemessenen und verantwortungsbewussten Kompromiss zwischen Sicherheit und Bequemlichkeit stellt sie allemal dar!
