Computer-Kriminalität Drei Hacker-Angriffe in einem Jahr – Wie ein Betroffener damit umgeht
Hauptinhalt
20. Dezember 2021, 08:00 Uhr
Marcel Roth berichtet bei MDR SACHSEN-ANHALT über Datenschutz, Start-Ups und über IT-Angriffe. Er ist ein Gastgeber des Podcasts "digital Leben" bei MDR SACHSEN-ANHALT. Roth weiß also, wie Cyberkriminelle und Hacker ticken und worauf man achten muss, um sicher im Internet unterwegs zu sein. Trotzdem wurde er in diesem Jahr drei Mal Opfer von Hacker-Angriffen auf seine Konten online. Hier schreibt er, wie das kam, was er gemacht hat und wie Sie sich schützen können.
Dass ich drei Mal betrogen wurde, habe ich drei Mal sehr unterschiedlich gemerkt. Eine SMS an einem Sonntagmorgen: "Danke, dass Sie unseren Carsharing-Dienst gerade in Hamburg genutzt haben." Ein Anruf im Lockdown: "Herr Roth, haben Sie gerade seit zwei Tagen einen Jaguar als Carsharing-Auto in Amsterdam gemietet?" Und 1.300 Euro, die die Deutsche Bahn von meinem Girokonto abgebucht hat.
Drei Dinge, die mir passiert sind. Drei Dinge, die ärgerlich sind, Zeit gekostet haben, aber auch lehrreich waren.
In allen Fällen haben Kriminelle unter meinem Namen Dienstleistungen erschlichen: Autos angemietet und Bahnfahrten gekauft. Ich habe mehrfach mit allen Unternehmen telefoniert: Solche Vorfälle kommen nicht massenhaft vor, aber ich bin auch nicht der Einzige, dem das passiert ist.
Wozu Kriminelle ein Auto auf meinen Namen mieten oder Fahrkarten kaufen
Sie können zum Beispiel damit in die Front eines Juweliergeschäfts fahren und es ausrauben, ohne dass später Ermittler mit einer Videoaufzeichnung etwas anfangen können – das Nummernschild des Carsharing-Anbieters führt ins Leere. Kriminelle könnten so auch Autorennen fahren oder das Auto nutzen, um illegale Transporte zu verschleiern und ihre Spuren verwischen.
Mit den drei Bahnfahrkarten haben die Kriminellen vermutlich Geld verdient. Wenn insgesamt acht Erwachsene von Köln nach Hamburg, von München nach Hamburg und von Düsseldorf nach Berlin und zurück Bahn fahren, ist das teuer. Die Fahrkarten haben die Kriminellen vermutlich nicht selbst genutzt, sondern an andere über das Internet verkauft: "Super günstig abzugeben!" Selbst wenn sie die Fahrkarten für die Hälfte des Preises verkauft haben, ist das ein ordentlicher Gewinn. Und die Bahnfahrer haben sich vermutlich gefreut, dass die Fahrkarten so günstig waren: Für beide Seiten ein gutes Geschäft – nur nicht für die Deutsche Bahn und mich.
Ich habe das nämlich erst mit einem Blick auf mein Girokonto mitbekommen. Die Kriminellen hatten in meinem Bahn-Konto die E-Mail-Adresse geändert, an die die Fahrkarten verschickt werden.
Was ich getan habe, als ich online betrogen wurde
Ich habe sofort bei den Firmen angerufen. Die beiden Carsharing-Anbieter haben mein Konto erst einmal gesperrt. Außerdem habe ich jeweils eine Anzeige erstattet. Das geht online jederzeit und man erhält auch ein Aktenzeichen. Das wollen die betroffenen Firmen haben. Bei der Lastschrift vom Girokonto ist es ein Klick, um die Lastschrift zurückzubuchen. Wer also alle paar Tage auf sein Girokonto schaut, dem fallen ungewöhnliche Buchungen schnell auf. Beim Bahnfahrkarten-Betrug hätte es mir auch ein paar Tage eher auffallen können: Meine Bahn-App hatte mich nämlich darüber informiert, dass meine Reise losgeht und ich wegen einer Verspätung einen Anschlusszug verpassen werde. Da war ich allerdings nicht lange genug irritiert, um etwas zu unternehmen.
Wie die kriminellen Hacker an meine Zugangsdaten gekommen und vorgegangen sind
Das lässt sich nicht wirklich herausfinden, weil es ein Massengeschäft ist. Ein plausibler Ablauf: Durch sogenannte Datenlecks erbeuten Kriminelle E-Mail-Adressen, Passwörter, Kreditkartendaten, Geburtsdaten und so weiter. Diese Daten nutzen sie selbst oder verkaufen sie an andere Kriminelle. Und mit diesen Daten kann man dann probieren, ob man sich damit auch auf anderen Internetseiten anmelden kann. Das geht automatisiert. Niemand hat mich also auf dem Kieker gehabt und sich an meine Fersen geheftet.
Und Bingo: Bei mir haben die Kriminellen in drei Fällen ins Schwarze getroffen – Benutzername, Passwort und die Internetadresse, mit der man sich einloggen kann. All das haben die Kriminellen vermutlich nicht selbst ausgenutzt, sondern an andere Kriminelle verkauft, zusammen mit Hunderten oder Tausenden solcher Datensätze. Das ist ein Geschäftsmodell.
So prüfen Sie, ob auch von Ihnen Daten in Umlauf sind
Es gibt zwei gute Internetseiten, die solche "Datenlecks" im Blick haben:
- den HPI Identity Leak Checker
- und die Seite Have I Been Pwned?
Dort können Sie Ihre E-Mail-Adresse eintragen und sehen, ob sie in einer solchen "Datensammlung" auftaucht. Falls ja: Ändern Sie bei allen Diensten, bei der Sie mit dieser E-Mails-Adresse registriert sind, Ihr Passwort. Vergeben Sie für jeden dieser Dienste ein eigenes, extra starkes Passwort. Und damit Sie den Überblick behalten, nutzen Sie einen Passwort-Manager. Er erstellt komplizierte Passwörter und speichert die für Sie. Nur das Passwort zum Passwort-Manager müssen Sie dann im Kopf haben. Außerdem sollten Sie bei allen Online-Diensten, bei denen es geht, die Zwei-Faktor-Authentifizierung einschalten. Dann bekommen Sie zum Beispiel eine SMS auf Ihr Handy mit einem Code, den Sie beim Einloggen als zusätzliche Sicherung eingeben müssen.
Was ich falsch gemacht habe
Meine E-Mail-Adresse habe ich seit Ende der 1990er Jahre. Bei der Bahn bin ich auch schon sehr lange dabei. Die Carsharing-Anbieter habe ich getestet. Bei den dreien habe ich offenbar das identische Passwort benutzt. Das Passwort war zwar ein langes, mit Zahlen, Groß- und Kleinbuchstaben, aber weil ich es mehrfach verwendet habe, konnten Kriminelle mich mehrfach betrügen.
Wie ich jetzt das Risiko klein halte, noch einmal betrogen zu werden
Bei der Bahn habe ich natürlich das Passwort geändert. Und wissen Sie was: Ich kenne das Passwort selbst nicht. Ich habe es nämlich automatisch von einem Passwort-Manager erzeugen lassen. Den habe ich als App auf Smartphone und Computer. Die Passwort-Manager-App ist selbst mit einem Passwort gesichert. Nur das allein habe ich jetzt im Kopf.
Außerdem habe ich bei der Bahn (und überall, wo es außerdem möglich war) die Zwei-Faktor-Authentifizierung eingerichtet. Jedes Mal, wenn ich mich auf der Internetseite der Bahn einlogge, werde ich nun nach einem Code gefragt, den ich per SMS oder in einer Authentifizierungsapp bekomme. Die Bahn-App auf dem Handy fragt alle 90 Tage nach einem solchen Code.
Schon immer schütze ich ganz besonders den Zugang zu meinem E-Mail-Konto. Denn das wäre der Super-GAU gewesen: Kriminelle, die Zugang zu meinem E-Mail-Konto hätten, könnten damit auf noch mehr Online-Dienste zugreifen, indem sie dort einfach ein neues Passwort anfordern. Der Link dazu kommt dann per E-Mail in das gehackte E-Mail-Konto.
Hacker, Betrüger, Einbrecher
Apropos ge"hackt": Vielleicht haben Sie gemerkt, dass ich im Text nicht von "Hackern" spreche. Ich finde den Begriff in diesem Zusammenhang verharmlosend. Das sind Kriminelle, Betrüger, Verbrecher. Einen Einbrecher im echten Leben würde niemand einen Tür-Öffner-Experten nennen. In diesem Fall ist es nicht entscheidend, wie jemand etwas tut, sondern was er damit bezweckt: Menschen und Unternehmen zu betrügen und abzuzocken.
MDR (Marcel Roth)
Dieses Thema im Programm: MDR SACHSEN-ANHALT | 20. Dezember 2021 | 08:10 Uhr
August am 20.12.2021
Die Hacker kennen sie besser als sie selbst weil man es mit der Digitalen Freiheit übertreibt und das www. unterschätzt. Oft ist man im Internet ehrlicher als Fremden Menschen gegenüber und stellt Daten hinein die dort überhaupt nichts verloren haben. Die dunkele Macht gegenüber egal wo sie sitzt ob in Rumänien oder auf den Malediven schlägt unerwartet aber Gründlich zu ohne Angst erkannt zu werden oder gar Rechtliche Konsequenzen zu Befürchten.
kleinerfrontkaempfer am 20.12.2021
Mobilphone, Apps, Social Medias, Online banking usw. Alles soviel wie möglich. Weil es cool oder geil ist. Man will ja dabei sein. 24/7.
Geht auch anders =>
So viel wie nötig. Die einfache und bessere alltägliche Organisationsweise.
Peter W. am 20.12.2021
Der Passwort-Manager ist so sicher und vertrauenswürdig, dass man ihm bedenkenlos all seine Passwörter anvertrauen kann? Wurde er dahingehend unabhängig geprüft?
Dabei handelt es sich auch nur um ein Stück Software mit potentiellen Sicherheitslücken und Einfallstoren für Hackerangriffe. Den Hacker freut es, bei erfolgreichem Abgreifen der Daten hat er gleich die gesamte Sammlung an Nutzernamen, Passwörtern und auf welchen Seiten diese funktionieren.
Sicherheit und Bequemlichkeit werden niemals gute Freunde.