„Die meisten Passwörter sind zu leicht zu erraten“

Der Datendiebstahl von fast 1000 Politikern in Deutschland ist nicht nur ein Problem der IT-Sicherheit. Die Schwachstellen sind häufig die Nutzer selbst. Sie gehen zu sorglos mit ihren Daten um. Zwei Informatik-Doktoranden der Hochschule Coburg erklären, wie man sich vor Datenklau schützen kann.

Wie kommen Hacker an private Daten?

Markus Ring: Der einfachste Weg ist, das Passwort eines Accounts herauszufinden und sich so Zugriff auf weitere Accounts und Daten zu verschaffen.

Sarah Wunderlich: Viele Menschen nutzen ihre Passwörter für mehrere Programme. Wenn man das Passwort des E-Mail-Kontos herausbekommt, kann man sich damit häufig auch bei Facebook anmelden.

Wie hackt man denn ein Passwort?

Sarah Wunderlich: Das geht zum Beispiel über die Brute-Force-Methode (Anm.d.Red.: engl.: rohe Gewalt). Das heißt, man probiert einfach ganz viele Passwörter aus. Es gibt Listen mit Passwörtern, die häufig verwendet werden. Leider sind die meisten Passwörter nicht sehr ungewöhnlich. Auch Phishing wird genutzt. Die Hacker geben sich als technischer Support des E-Mail-Anbieters aus, weisen auf ein technisches Problem hin und fragen die Nutzer nach ihren persönlichen Zugangsdaten.

Die Passwörter werden also gar nicht auf technischem Weg geknackt?

Markus Ring: Meistens sind es tatsächlich Fehler der Nutzer. Die Passwörter sind zu leicht zu erraten. Wenn jemand ständig Bilder seiner Katze postet, kann es gut sein, dass der Name der Katze auch als Passwort verwendet wird.

Worauf sollte man achten, wenn man seine privaten Daten schützen will?

Sarah Wunderlich: Auch wenn es banal klingt, erstmal sollte man komplizierte Passwörter vergeben. Und: Unterschiedliche Passwörter für unterschiedliche Accounts nutzen.

Markus Ring: Es gibt außerdem die Zwei-Faktor-Authentisierung. Dann braucht man nicht nur ein Passwort, um sich einzuloggen, sondern noch einen Code, den man aufs Handy geschickt bekommt. Das macht es für Hacker schwerer. Wenn sie ein Passwort geknackt haben, bräuchten sie zusätzlich noch den Zugriff aufs Handy. Und natürlich sollte man regelmäßig Updates machen, um sich gegen technische Sicherheitslücken zu schützen.  

Viele Menschen nutzen Apps auf ihrem Smartphone. Inwiefern stellen die eine Sicherheitslücke da?

Markus Ring: Apps sind eine gute Möglichkeit, um Daten zu stehlen. Viele dieser Anwendungen sind kostenlos. Ich muss mir bewusst sein, dass ich zwar kein Geld dafür bezahle, aber vermutlich Daten von mir ausgewertet werden. Die Programme wollen häufig Zugriff auf andere Anwendungen im Telefon. Zum Beispiel die Kontakte, das Mikrofon oder Dateiordner.

Sarah Wunderlich: Jeder sollte sich überlegen, warum man eine App nutzt und welche Berechtigungen diese wirklich braucht, um ihre Aufgabe zu erfüllen.

Markus Ring: Auf vielen Geräten kann man solche Berechtigungen mittlerweile detailliert einstellen.

Warum versuchen Hacker Daten zu klauen?

Markus Ring: Da gibt es viele Motive. Einerseits die technische Herausforderung, andererseits kann man Geld mit den Daten verdienen oder jemanden durch Veröffentlichen der privaten Informationen bloßstellen.

Sarah Wunderlich: Wenn es keinen Spionage-Hintergrund hat, machen viele Hacker das einfach, weil sie es können. Es ist nicht so schwer. Vor allem, weil man Passwörter, die schon gehackt wurden zum Teil auch kaufen kann.

Zeigen Hacker aber nicht auch Schwachstellen auf?

Markus Ring: Ja, das sind sogenannte White-Hats. Die suchen gezielt nach Fehlern und veröffentlichen diese. Teilweise werden diese auch dafür bezahlt bzw. belohnt.

Warum kommt es überhaupt zu Sicherheitslücken?

Sarah Wunderlich: Die Strukturen von größeren Programmen sind teilweise sehr komplex. Das technisch abzusichern, ist eine große Herausforderung. Aus Zeitgründen wird oft nicht auf die IT-Sicherheit geachtet. Die Software muss fertig werden, da wird nicht genug auf Sicherheitslücken getestet. Später kommen neue Anforderungen hinzu und so ist wieder keine Zeit, die Fehler zu beheben.

Markus Ring: Die IT-Sicherheit verursacht in den Augen vieler erstmal nur Kosten und keinen zusätzlichen Nutzen.

Auch Unternehmen sind ein Ziel für Hacker. Sie arbeiten an Lösungen, um Angriffe besser abzuwehren. Wie genau funktioniert das?

Markus Ring: In jedem Netzwerk erzeugt das Normalverhalten der Nutzer so genannte Ereignisströme. Die Mitarbeiter öffnen E-Mails, bearbeiten und speichern Dateien, nutzen Computer-Programme. Durch genaues Beobachten dieser Ströme, lassen sich Rückschlüsse auf untypische Ereignisse ziehen. Ereignisse, die auf eine Sicherheitslücke oder einen Hackerangriff hindeuten.

Sarah Wunderlich: Hat ein Mitarbeiter z.B. ein Programm aus dem Internet heruntergeladen, das versucht einen Angriff zu starten, erzeugt das ungewöhnliche Anfragen, die wir im System erkennen und entsprechend darauf reagieren können.

Markus Ring und Sarah Wunderlich arbeiten als wissenschaftliche Mitarbeiter an der Hochschule Coburg. Beide promovieren im Bereich Data Mining mit Anwendungsgebiet IT-Sicherheit und haben Informatik in Coburg studiert.