Wie Angreifer online Konten hacken und wie Sie sich schützen können

Die Leute sprechen davon, dass ihre Online-Konten „gehackt“ werden, aber wie genau geschieht dieses Hacken? Die Realität ist, dass Konten auf relativ einfache Weise gehackt werden – Angreifer verwenden keine schwarze Magie.

Wissen ist Macht. Wenn Sie wissen, wie Konten tatsächlich kompromittiert werden, können Sie Ihre Konten schützen und verhindern, dass Ihre Passwörter von vornherein „gehackt“ werden.

Wiederverwendung von Passwörtern, insbesondere von durchgesickerten Passwörtern

Viele Menschen – vielleicht sogar die meisten – verwenden Passwörter für verschiedene Konten wieder. Einige Leute verwenden möglicherweise sogar dasselbe Passwort für jedes Konto, das sie verwenden. Das ist extrem unsicher. Bei vielen Websites – sogar großen, bekannten wie LinkedIn und eHarmony – sind in den letzten Jahren die Passwortdatenbanken durchgesickert. Datenbanken mit durchgesickerten Passwörtern sowie Benutzernamen und E-Mail-Adressen sind online leicht zugänglich. Angreifer können diese Kombinationen aus E-Mail-Adresse, Benutzername und Kennwörtern auf anderen Websites ausprobieren und sich Zugriff auf viele Konten verschaffen.

Die Wiederverwendung eines Passworts für Ihr E-Mail-Konto birgt ein noch größeres Risiko, da Ihr E-Mail-Konto verwendet werden könnte, um alle Ihre anderen Passwörter zurückzusetzen, wenn ein Angreifer Zugriff darauf erhält.

Egal wie gut Sie Ihre Passwörter schützen können, Sie können nicht kontrollieren, wie gut die von Ihnen genutzten Dienste Ihre Passwörter schützen. Wenn Sie Passwörter wiederverwenden und ein Unternehmen ausrutscht, sind alle Ihre Konten gefährdet. Sie sollten überall unterschiedliche Passwörter verwenden – ein Passwort-Manager kann dabei helfen.

Keylogger

Keylogger sind bösartige Software, die im Hintergrund ausgeführt werden kann und jeden Tastendruck protokolliert. Sie werden häufig verwendet, um sensible Daten wie Kreditkartennummern, Online-Banking-Passwörter und andere Kontodaten zu erfassen. Diese Daten senden sie dann über das Internet an einen Angreifer.

Solche Malware kann über Exploits ankommen. Wenn Sie beispielsweise eine veraltete Java-Version verwenden, wie dies bei den meisten Computern im Internet der Fall ist, können Sie über ein Java-Applet auf einer Webseite kompromittiert werden. Sie können jedoch auch in anderer Software getarnt ankommen. Sie können beispielsweise ein Drittanbieter-Tool für ein Online-Spiel herunterladen. Das Tool ist möglicherweise bösartig, erfasst Ihr Spielpasswort und sendet es über das Internet an den Angreifer.

Verwenden Sie ein anständiges Antivirenprogramm, halten Sie Ihre Software auf dem neuesten Stand und vermeiden Sie es, nicht vertrauenswürdige Software herunterzuladen.

Soziale Entwicklung

Angreifer verwenden auch häufig Social-Engineering-Tricks, um auf Ihre Konten zuzugreifen. Phishing ist eine allgemein bekannte Form des Social Engineering – im Wesentlichen gibt sich der Angreifer als jemand aus und fragt nach Ihrem Passwort. Einige Benutzer geben ihre Passwörter bereitwillig weiter. Hier einige Beispiele für Social Engineering:

• Sie erhalten eine E-Mail, die angeblich von Ihrer Bank stammt und Sie an a gefälschte Bank-Website mit einer sehr ähnlich aussehenden URL und bittet Sie, Ihr Passwort einzugeben.
• Sie erhalten auf Facebook oder einer anderen sozialen Website eine Nachricht von einem Benutzer, der behauptet, ein offizielles Facebook-Konto zu sein, in der Sie aufgefordert werden, Ihr Passwort zu senden, um sich zu authentifizieren.
• Sie besuchen eine Website, die Ihnen etwas Wertvolles verspricht, wie zum Beispiel kostenlose Spiele bei Steam oder kostenloses Gold in World of Warcraft. Um diese gefälschte Belohnung zu erhalten, benötigt die Website Ihren Benutzernamen und Ihr Passwort für den Dienst.

Seien Sie vorsichtig, wem Sie Ihr Passwort geben – klicken Sie nicht auf Links in E-Mails und gehen Sie nicht auf die Website Ihrer Bank, geben Sie Ihr Passwort nicht an jemanden weiter, der Sie kontaktiert und darum bittet, und geben Sie Ihre Kontodaten nicht an Unglaubwürdige weiter Websites, insbesondere solche, die zu schön erscheinen, um wahr zu sein.

Beantwortung von Sicherheitsfragen

Passwörter können oft durch die Beantwortung von Sicherheitsfragen zurückgesetzt werden. Sicherheitsfragen sind im Allgemeinen unglaublich schwach – oft Dinge wie „Wo bist du geboren?“, „Auf welcher High School bist du?“ und „Wie war der Mädchenname deiner Mutter?“. Es ist oft sehr einfach, diese Informationen auf öffentlich zugänglichen sozialen Netzwerkseiten zu finden, und die meisten normalen Leute würden Ihnen sagen, auf welche High School sie gegangen sind, wenn sie gefragt werden. Mit diesen leicht zu beschaffenden Informationen können Angreifer häufig Passwörter zurücksetzen und Zugriff auf Konten erhalten.

Idealerweise sollten Sie Sicherheitsfragen mit Antworten verwenden, die nicht leicht zu finden oder zu erraten sind. Websites sollten auch verhindern, dass Benutzer Zugriff auf ein Konto erhalten, nur weil sie die Antworten auf einige Sicherheitsfragen kennen, und manche tun es – aber manche immer noch nicht.

E-Mail-Konto und Passwort zurücksetzen

Wenn ein Angreifer eine der oben genannten Methoden verwendet, um Zugriff auf Ihre E-Mail-Konten zu erhalten, sind Sie in größeren Schwierigkeiten. Ihr E-Mail-Konto fungiert im Allgemeinen als Ihr Hauptkonto im Internet. Alle anderen von Ihnen verwendeten Konten sind damit verknüpft, und jeder mit Zugriff auf das E-Mail-Konto könnte damit Ihre Passwörter auf einer beliebigen Anzahl von Websites zurücksetzen, auf denen Sie sich mit der E-Mail-Adresse registriert haben.

Aus diesem Grund sollten Sie Ihr E-Mail-Konto so gut wie möglich sichern. Es ist besonders wichtig, ein eindeutiges Passwort dafür zu verwenden und es sorgfältig zu schützen.

Was ist das Passwort „Hacking“ nicht?

Die meisten Leute stellen sich wahrscheinlich vor, dass Angreifer jedes einzelne mögliche Passwort versuchen, um sich bei ihrem Online-Konto anzumelden. Dies geschieht nicht. Wenn Sie versuchen würden, sich in das Online-Konto einer anderen Person einzuloggen und weiterhin Passwörter zu erraten, würden Sie verlangsamt und daran gehindert, mehr als eine Handvoll Passwörter auszuprobieren.

Wenn ein Angreifer in der Lage war, nur durch das Erraten von Passwörtern in ein Online-Konto einzudringen, war es wahrscheinlich, dass das Passwort etwas Offensichtliches war, das bei den ersten Versuchen erraten werden konnte, wie zum Beispiel „Passwort“ oder der Name des Haustieres der Person.

Angreifer könnten solche Brute-Force-Methoden nur dann anwenden, wenn sie lokalen Zugriff auf Ihre Daten haben. Nehmen wir beispielsweise an, Sie speichern eine verschlüsselte Datei in Ihrem Dropbox-Konto und Angreifer haben sich Zugriff darauf verschafft und die verschlüsselte Datei heruntergeladen. Sie könnten dann versuchen, die Verschlüsselung mit Brute-Force zu erzwingen, indem sie im Wesentlichen jede einzelne Passwortkombination ausprobieren, bis eine funktioniert.

Personen, die sagen, dass ihre Konten „gehackt“ wurden, sind wahrscheinlich der Wiederverwendung von Passwörtern, der Installation eines Keyloggers oder der Weitergabe ihrer Zugangsdaten an einen Angreifer nach Social-Engineering-Tricks schuldig. Sie können auch durch leicht zu erratende Sicherheitsfragen kompromittiert worden sein.

Wenn Sie die richtigen Sicherheitsvorkehrungen treffen, wird es nicht einfach sein, Ihre Konten zu „hacken“. Auch die Verwendung der Zwei-Faktor-Authentifizierung kann helfen – ein Angreifer benötigt mehr als nur Ihr Passwort, um einzudringen.

Bildnachweis: Robbert van der Steeg auf Flickr, asenat auf Flickr