Massenhafter Email-Diebstahl: BSI: So erfahren Nutzer, ob sie vom Datenklau betroffen sind

Von dem in der vergangenen Woche bekannt gewordenen massenhaften E-Mail-Diebstahl sind nach Informationen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) drei Millionen deutsche Nutzer betroffen. Insgesamt seien dem BSI von der Staatsanwaltschaft Verden 21 Millionen E-Mail-Adressen samt Passwörtern zur Verfügung gestellt worden. Nach einer technischen Analyse seien 18 Millionen verblieben, darunter die besagten drei Millionen deutschen Mail-Adressen.

Das BSI erklärte in einer Mitteilung, dass die Inhaber der E-Mail-Adressen in Zusammenarbeit mit den Online-Dienstleistern Deutsche Telekom, Freenet, gmx.de, Kabel Deutschland, Vodafone und web.de informiert würden. Wie schon beim bekannt gewordenen Mail-Diebstahl im Januar soll es wieder einen webbasierten Sicherheitstest geben.

Gestohlene Mail-Accounts werden aktuell weiter missbraucht

Der Vorgang ist im Gegensatz zum Diebstahl im Januar brisanter, da es sich nach Auskunft des BSI um ein aktives sogenanntes Botnetz handelt. Damit versuchen die Kriminellen, sich über die Mail-Accounts einzuloggen, und diese für den Versand von Spam-Mails zu nutzen, aber auch, um Zugänge zu Sozialen Netzwerken, Internetforen und Online-Shops zu bekommen. Das Botnetz ist nach Auskunft des BSI noch aktiv, so dass die gestohlenen Identitäten noch genutzt würden.

"Solche Fälle sind in ihrer Dimension außergewöhnlich“, sagte BSI-Präsident Michael Hange am Mittag auf einer Pressekonferenz in Bonn. „Wir wissen nicht, woher die Daten stammen“, sagte BSI-Experte Dirk Häger. Nun sollen über das Bundeskriminalamt auch andere Länder über die über die gestohlenen Daten informiert werden.

Das BSI wählt ein "zweigeteiltes, datenschutzkonformes Verfahren", um Betroffene ausfindig zu machen. Zum einen hat das BSI den Online-Dienstleistern Deutsche Telekom, Freenet, gmx.de, Kabel Deutschland, Vodafone und web.de den in ihren Bereich fallenden Datensatz zur Verfügung gestellt, damit diese ihre Kunden informieren können. Dieses Verfahren sei datenschutzkonform, und damit könnten rund 70 Prozent der Betroffenen in Deutschland abgedeckt werden.

Für Nutzer anderer Dienstleister oder für diejenigen, die einen eigenen Webserver betreiben, gibt es einen webbasierten Sicherheitstests unter https://www.sicherheitstest.bsi.de. Dabei ist der neue Datensatz in den Sicherheitstest vom Januar eingepflegt worden. Wie schon im Januar bekommen Nutzer, die den Test machen und betroffen sind, an die angegebene Adresse eine Nachricht. Sind sie nicht betroffen, erhalten sie keine.

Weitere Informationen, was Betroffene tun können, um ihren Rechner zu bereinigen, gibt das BSI auf seiner Internetseite.