E-Mail-Dienste: IT-Firma deckt Sicherheitslücke auf (Update)

Nach einem Bericht der Mainzer Sicherheitsfirma Resisto IT GmbH ist das E-Mail-System von T-Online von einem Datenleck betroffen. "Durch eine sehr simple Sicherheitslücke ist davon auszugehen, dass die gesamte Liste der Haupt-E-Mailadressen der T-Online-Kunden in die Hände von unbefugten Dritten (Spam-Versender und Datenhändler) gelangt ist", teilt das Unternehmen in einer Pressemitteilung mit. Insgesamt könnten bis zu 14 Millionen T-Online-Kunden betroffen sein. Die Daten wurden von der Resisto IT GmbH unter Aufsicht von neutralen Sicherheitsexperten ausgelesen. Der Landesbeauftragte für den Datenschutz in Rheinland-Pfalz sei über den Vorfall informiert worden.

Inhaltsverzeichnis

1. 1Das Update vom 9. April finden Sie am Ende des Artikels
2. 2Angriff über Web-Schnittstelle
3. 3Kunden können Gefährdung mit Software überprüfen
4. 4Update vom 9.4.2009: BSI sieht keine neue Sicherheitslücke
5. 5"Es gibt keine hundertprozentige Erkennungsmöglichkeit"

Das Update vom 9. April finden Sie am Ende des Artikels

Neben der Telekom weisen dem Bericht zufolge auch die E-Mail-Anbieter GMX und Web.de Sicherheitslücken auf. Bei GMX und Web.de, beides Portale der United Internet AG, sei es aber schwieriger an die Daten zu gelangen, weil die Systeme des Dienstleisters einen anderen Aufbau als die der Telekom hätten. Laut dem Geschäftsführer der Resisto IT GmbH, Tobias Huch, würden bei T-Online 100 Milliarden kurze Server-Anfragen ausreichen, um an alle Hauptadressen aus der Datenbank zu gelangen. Die Sicherheitsfirma habe es geschafft, mit einem Rechner innerhalb eines Tages 40.000 Adressen zu "stehlen".

Angriff über Web-Schnittstelle

"Bei GMX und Web.de bräuchten wir mit Sicherheit ein paar Tage oder Wochen länger, um einen großen und wertvollen Datenbestand zusammen zu haben, aber wir haben genügend Rechnerpower und eine 1.000 MBit/s-Anbindung im Unternehmen, was für eine solche Unternehmung ausreichen dürfte", sagte Huch. Professionelle Datendiebe und Spam-Versender besäßen aber "sogar noch weit größere Ressourcen, um solch eine Lücke auszunutzen".

Bei der Aufdeckung der Sicherheitslücke haben sich die Experten der Resisto IT GmbH die Web-Schnittstellen zunutze gemacht, über die Kunden eine E-Mail-Adresse beantragen. Nach Angaben der Sicherheitsfirma lassen sich über diese Seiten massenhaft Daten generieren. Zur Überprüfung, ob es sich um echte E-Mail-Adressen handelt, wird die Post mit der erdachten Empfänger-Adresse abgeschickt. Erhält der Absender keine Fehlermeldung vom Server des Providers, könnten die Adressen als korrekt gespeichert und für Spam-Angriffe genutzt werden. Die Telekom weiß von dieser Problematik, hat aber dementiert, dass es sich dabei um eine Datenlücke handele. Zum Schutz vor unerwünschter Post habe das Unternehmen entsprechende Spam-Filter eingebaut.

Kunden können Gefährdung mit Software überprüfen

Der Geschäftsführer der Resisto IT GmbH, Tobias Huch, ist in der IT-Szene kein Unbekannter. 2008 war er an der Aufdeckung des Datenskandals bei T-Mobile beteiligt: Insgesamt 17 Millionen Kundendaten sind damals entwendet worden. Auf der Webseite seiner Firma steht eine kostenlose Software zur Verfügung, mit der jeder Internetnutzer überprüfen kann, ob auch seine E-Mail-Adresse von der Lücke betroffen ist.

Update vom 9.4.2009: BSI sieht keine neue Sicherheitslücke

Nach Ansicht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) handelt es sich bei dem vermeintlichen Datenleck um keine neue Sicherheitslücke. Die von der Resisto IT GmbH angewandte Methode, mittels Raten und Durchprobieren an korrekte E-Mail-Adressen zu gelangen, sei "nichts Neues", sagt Frank Felzmann vom BSI gegenüber netzwelt. Es gebe effektivere Wege, an Adressen zu gelangen: So würden Spammer häufig CD- oder DVD-Adress- und Datensammlungen einsetzen. Im Web hinterlassen Nutzer zudem überall Mail-Adressen - auf Kontakt- und Impressumsseiten ebenso wie in Mailinglisten und Newsgruppen. Auch Wörterbuchangriffe, bei denen häufige Vor- und Nachnamen verwendet werden, seien in der Spam-Szene durchaus gängig.

Weitere Informationen

Wie geht's weiter? Zu diesem Thema haben wir eine redaktionelle Übersicht erstellt. Sie finden das Special zu Browser & Mailer hier.