500-Millionen-Hack: Yahoo sparte an der Sicherheit

Marissa Mayer verteilte bei Yahoo kostenfreie iPhones und teures Catering - an der Sicherheit wurde aber offenbar gespart. Außerdem bezweifelt eine Sicherheitsfirma, dass Yahoo wirklich von einem staatlichen Akteur gehackt wurde.

Artikel veröffentlicht am 29. September 2016, 11:20 Uhr, Hauke Gierow

Marissa Mayer soll an der Sicherheit bei Yahoo gespart haben. (Bild: Elijah Nouvelage/Reuters)

Die 500 Millionen aus dem Yahoo-Hack gewonnenen Datensätze sollen bereits dreimal komplett verkauft worden sein, wie die Sicherheitsfirma Infoarmor dem Wall Street Journal sagte. Die Sicherheitsfirma widerspricht auch der Behauptung von Yahoo, dass ein staatlicher Angreifer für den Hack verantwortlich sei - viel wahrscheinlicher sei es, dass Banden aus der organisierten Kriminalität dahinterstehen. Ehemalige Mitarbeiter kritisieren, dass das Unternehmen über Jahre hinweg zu wenig in die Sicherheit investiert habe.

Diese Angreifer sollen vor allem durch finanzielle Anreize motiviert sein und unter dem Namen "Group E" operieren. Die Sicherheitsfirma Infoarmor hat die Informationen detailliert untersucht und offenbar Zugriff auf die Datenbank, zumindest einen Teil davon. Auf Anfrage des Wall Street Journals konnten sie zu mehreren von der Zeitung genannten Accounts Passwörter im Klartext, Geburtsdatum, Telefonnummer und Postleitzahl bereitstellen. Die Passwörter wurden, zumindest teilweise, nur mit MD5 gehasht, einfache Passwörter können daher relativ einfach geknackt werden.

Andrew Komarov von Infoarmor sagte der Zeitung, dass seine Firma keinerlei Hinweise auf staatliche Angreifer entdecken könne: "Ihre Kunden könnten staatlich sein, aber nicht die eigentlichen Hacker". Die Gruppe soll auch für andere große Einbrüche verantwortlich sein, darunter für den LinkedIn- und den Dropbox-Hack.

Ehemalige Mitarbeiter kritisieren Marissa Mayer

Ehemalige Mitarbeiter von Yahoo werfen der Chefin des Unternehmens vor, in den vergangenen Jahren nicht genügend in die Sicherheit der Produkte investiert zu haben, wie die New York Times schreibt. Das soll sich vor allem im Budget niedergeschlagen haben, Mayer habe immer abgelehnt, notwendige Investitionen zu tätigen. Daraufhin sollen zahlreiche Mitarbeiter aus dem Security-Bereich das Unternehmen verlassen haben, der ehemalige Sicherheitschef Alex Stamos zum Beispiel arbeitet seit 2015 bei Facebook. Mayer habe außerdem abgelehnt, die Nutzer um eine Passwortänderung zu bitten, und auch nicht frühzeitig über den Hack informiert.

Der Hack könnte den eigentlich geplanten Verkauf von Yahoos Kerngeschäft an Verizon gefährden. Der ISP hatte im Sommer angekündigt, Teile von Yahoo für rund 4,8 Milliarden US-Dollar kaufen zu wollen.

Vor dem Hintergrund des Hacks ist uns etwas schleierhaft, wieso Yahoo-Mail im Mailprovidertest der Stiftung Warentest eine relativ gute Benotung im Bereich Security bekommen hat.