Folge 13 von 13 · Anatomie eines Hacks
14.000 Konten wurden übernommen. Betroffen waren 6,9 Millionen Menschen.
Den Unterschied machte nicht der Angriff. Sondern eine Funktion.
Ab April 2023 probiert jemand auf der Anmeldeseite eines Gentest-Anbieters systematisch Zugangsdaten durch – Kombinationen, die zuvor bei ganz anderen Diensten abgeflossen waren.
- Bei rund 14.000 Konten passt es. Diese Nutzer hatten dasselbe Passwort anderswo verwendet – und keinen zweiten Faktor eingerichtet.
- Aus Sicht des Systems war jede Anmeldung korrekt: richtiger Name, richtiges Passwort, kein Alarm.
- Der Anbieter hatte eine Funktion, über die Nutzer freiwillig ihre Verwandtschaftsbeziehungen einsehbar machen. Damit reichte jedes Konto weit über sich hinaus.
- Am Ende waren Daten von rund 6,9 Millionen Menschen betroffen – etwa das Fünfhundertfache. Aufgefallen ist das erst nach rund fünf Monaten.
Die Folgen
- rund 6,9 Millionen Betroffene – aus 14.000 Konten
- etwa fünf Monate lief das unbemerkt
Warum ich diese Geschichte teile
Weil hier zwei Dinge zusammenkamen, die es in jedem Unternehmen mit Kundenzugang gibt. Ihre Kunden verwenden Passwörter mehrfach – das können Sie nicht ändern. Wie weit ein gekapertes Konto reicht, bestimmen Sie schon. Drei Punkte:
- Gehen Sie davon aus, dass die Passwörter Ihrer Nutzer im Umlauf sind. Nicht „falls“, sondern „welche“. Einen zweiten Faktor anzubieten reicht nicht – für alles wirklich Schützenswerte gehört er verpflichtend.
- Fragen Sie sich, wie weit ein einzelnes Konto reicht. Was sieht ein normaler Nutzer nach dem Anmelden? Wie viele fremde Datensätze? Das ist keine technische Frage, sondern eine Produktentscheidung.
- Viele fehlgeschlagene Anmeldungen sind ein Alarm. Hier lief das monatelang. Wer Anmeldeversuche nicht auswertet, bemerkt das nicht.
Eine Bemerkung zur Reaktion: Der Reflex ist, auf die Nutzer zu zeigen – die haben ja Passwörter wiederverwendet. Das stimmt sogar und hilft trotzdem niemandem. Betroffene wollen wissen, was jetzt geschieht, nicht wer schuld war.
Die gute Nachricht: Beides lässt sich vorher prüfen. Bei einem Penetrationstest melden wir uns auch einmal als ganz normaler Benutzer an – und sehen nach, wie viel von dort aus sichtbar ist.
Ehrliche Frage: Wenn heute ein einzelnes Kundenkonto in fremde Hände fällt – wie viele fremde Datensätze wären von dort aus einsehbar?
Quelle: öffentlich dokumentiert (Credential-Stuffing-Angriff auf 23andMe, 2023; u. a. die Pflichtmitteilung an die US-Börsenaufsicht, BleepingComputer, heise online).