Wichtige Hinweise zur Sicherheit Ihrer Passwörter

Ende letzter Woche haben Sicherheitsforscher eine Liste von 773 Millionen gehackten Online-Accounts bekannt gegeben. Unter den Daten haben sich auch Accounts mit Bezug zur TU Chemnitz befunden. Mit diesem Blog-Artikel möchten wir Sie über die Details und die Ihrerseits notwendigen Maßnahmen informieren.

Was ist passiert?

Hin und wieder kommt es vor, dass Online-Systeme wie Web-Shops, Kundenportale, Cloud-Dienstleister, Konferenzverwaltungsportale etc. gehackt werden. Häufig werden dabei Nutzerzugänge erbeutet. Diese bestehen aus einem Account-Namen und einem Passwort. Diese Daten werden unter Kriminellen im sogenannten Darknet gehandelt.

Im Januar 2019 wurde IT-Sicherheitsforschern ein Datensatz, bestehend aus 773 Millionen Nutzerzugängen, zugespielt. Dieser Datensatz wurde Ende letzter Woche veröffentlicht, um Betroffene informieren zu können.

Was wurde veröffentlicht?

Es wurden zwei Listen veröffentlicht:

eine Liste von Passwörtern der gehackten Zugänge: Die Passwörter sind anonymisiert (gehasht), um Missbrauch zu verhindern. Es besteht jedoch die Möglichkeit zu überprüfen, ob ein bestimmtes Passwort in der Liste auftaucht.
eine Liste von betroffenen Account-Namen: Hierbei handelt es sich um E-Mail-Adressen. Die Liste ist nicht öffentlich. Alle E-Mail-Adressen, die auf „tu-chemnitz.de“ enden, wurden der TU Chemnitz bereitgestellt.

Was wurde nicht veröffentlicht?

Eine Zuordnung von E-Mail-Adressen und Passwörtern wurde nicht veröffentlicht. Das Missbrauchsrisiko für diesen Fall wäre zu hoch. Es ist aber sehr wahrscheinlich, dass Kriminelle im Besitz der Ursprungsdaten sind, also über gültige Kombinationen aus E-Mail-Adresse und Passwort verfügen.

Welcher Schaden kann mir oder der TU Chemnitz entstehen, wenn ich betroffen bin?

Auch wenn die gestohlenen Zugangsdaten nicht aus der TU Chemnitz stammen, besteht dennoch ein Risiko für Sie und die TU Chemnitz. Wurden aus Gewohnheit dieselben Passwörter für verschiedene Accounts genutzt, sind alle diese Accounts nicht mehr sicher. Dies kann im Zweifel zu folgenden Schäden führen:

Übernahme Ihres URZ-Accounts an der TU Chemnitz:
- Angreifer können dann Ihre E-Mails, persönliche Daten und Forschungsdaten einsehen, auf die Sie Zugriff haben.
- Angreifer können alle Accounts übernehmen, die mit ihrem E-Mail-Postfach verknüpft sind. Dies funktioniert, da das Zurücksetzen eines Zugangspassworts meist über eine Bestätigungs-E-Mail durchgeführt wird.
- Angreifer können in Ihrem Namen Spam-E-Mails in die gesamte Welt versenden.
Es können auch Schäden für die TU Chemnitz als Institution entstehen:
- Werden z. B. in Ihrem Namen Spam-E-Mails versendet, verweigern viele Mail-Server die Annahme von E-Mails aus der TU Chemnitz. Diese Mail-Dienste empfangen dann keine Mails mehr aus der TU Chemnitz. Davon sind alle Nutzer der TU Chemnitz betroffen. Diese Gefahr ist keineswegs abstrakt, sondern erst vergangenen Monat eingetreten.

Welche Maßnahmen wurden an der TU Chemnitz eingeleitet?

Nutzer, deren Passwort in der veröffentlichten Passwortliste enthalten war, werden durch das Rechenzentrum angeschrieben und zum Wechsel ihres Passworts aufgefordert.

Nutzer, deren Account-Name in der Veröffentlichung enthalten war, werden durch das Rechenzentrum angeschrieben und erhalten lediglich Sicherheitshinweise.

Bin ich betroffen?

Wenn Sie betroffen waren, erhalten Sie eine Hinweismail des Rechenzentrums. Diese Mail enthält eine persönliche Anrede und ist kryptografisch per S/MIME signiert. Sie können sich die Echtheit auch durch persönliche Rückfrage beim URZ-Nutzerservice bestätigen lassen.

Sie können eine Überprüfung Ihrer E-Mail-Adresse auch selbst durchführen. Geben Sie unter https://haveibeenpwned.com/ die E-Mail-Adressen ein, die Sie benutzen. Sie erhalten dann eine Information, ob Ihr Account in einem gestohlenen Datensatz auftaucht oder nicht. Von der Eingabe Ihrer Passwörter auf dieser Webseite raten wir jedoch ab. Geben Sie Ihr URZ-Passwort generell nur auf Anmeldeseiten der TU Chemnitz ein.

Was kann ich tun?

Wenn Sie betroffen sind:

Ändern Sie Ihr Passwort über das IdM-Portal (https://idm.hrz.tu-chemnitz.de/user/view/).
Wählen Sie ein Passwort, das sich nicht erraten lässt. Es sollte aus Groß- und Kleinbuchstaben sowieso Ziffern und ggf. Sonderzeichen bestehen.
Bitte überlegen Sie gründlich, ob und wo Sie dieses oder ein ähnliches Passwort als Zugangskennungen verwendet haben, z. B. bei Online-Banking-Portalen, bei Online-Shops etc. Sollte dies zutreffen, ändern Sie das Passwort unbedingt auch dort. Wählen Sie ein anderes Passwort als das URZ-Passwort.
Wenn Sie sich unsicher sind, wo Sie ähnliche Passwörter verwendet haben, ändern Sie diese vorsorglich.

Ich habe keine Information erhalten, dass ich betroffen bin. Ich muss also nichts weiter tun, oder?

Das kann man so nicht sagen. Wir empfehlen Ihnen, Ihre E-Mail-Adresse in jedem Fall bei https://haveibeenpwned.com/ zu überprüfen. Das Rechenzentrum hat nur den Datensatz des jüngsten Vorfalls ausgewertet. Es ist aber durchaus möglich, dass einer Ihrer Online-Zugänge bereits früher entwendet wurde. In diesem Fall haben Sie von uns keinen Hinweis erhalten. Eine Änderung Ihres Passworts wäre dann aber in jedem Fall angebracht.