Abo
  • Services:

Hold Security: Milliarden geklauter Passwörter entdeckt

Ein US-Unternehmen hat nach eigenen Angaben Milliarden Passwörter gefunden, die von russischen Hackern erbeutet worden sind. Für zunächst 120 US-Dollar sollten besorgte Anwender erfahren können, ob ihres dabei ist.

Artikel veröffentlicht am ,
Hold Security hat eine Datenbank mit Milliarden gestohlenen Zugangsdaten entdeckt.
Hold Security hat eine Datenbank mit Milliarden gestohlenen Zugangsdaten entdeckt. (Bild: Andreas Donath/Golem.de)

Hold Security hat nach eigenen Angaben eine Gruppe russischer Datendiebe ausgemacht, die eine Datenbank mit mehr als einer Milliarde gestohlenen Benutzernamen und Passwörtern pflegt. Gleichzeitig bot Hold Security einen neuen Dienst an: Gegen einen Obolus von 120 US-Dollar im Monat sollten besorgte Anwender erfahren, ob ihr Name in der Datenbank auftaucht. Nachdem Journalisten nachfragten, nahm das Unternehmen das Angebot wieder aus dem Netz.

Stellenmarkt
  1. Bosch Gruppe, Köln
  2. Lidl Dienstleistung GmbH & Co. KG, Neckarsulm

Die Meldung über die neu entdeckte Datenbank brachte die New York Times. Laut Hold-Security-CEO Alex Holden entdeckte sein Unternehmen die Datenbank bei russischen Datendieben, die in einer Kleinstadt in Russland beheimatet sind. Die Daten sollen von über 420.000 Webseiten erbeutet worden sein, darunter auch von namhaften. Hold Security will die Namen der Webseiten nicht bekanntmachen, sie aber informieren. Einige Webseiten seien nach wie vor angreifbar, sagte das renommierte Sicherheitsunternehmen.

Gutachten bestätigt Echtheit

Laut unabhängigen Experten, die von der New York Times mit der Begutachtung der Daten beauftragt wurden, sei die gefundene Datenbank authentisch. Die dort gesammelten 4,5 Milliarden Datensätze seien unter anderem von Botnets ausfindig gemacht worden, die nach SQL-Injection-Schwachstellen auf Webseiten gesucht haben. Die Botnets hätten die Webseiten markiert und die Datendiebe seien später zurückgekommen, um die Datenbanken auszulesen. Insgesamt hätten sie mehr als 4,5 Milliarden Datensätze erbeutet. Bislang seien die Daten für Spammails und Twitter-Nachrichten genutzt worden.

Hold Security hat nach eigenen Angaben die Datensätze gefiltert und beispielsweise Dubletten entfernt. Dabei konnten sie 1,2 Milliarden einmalige Datensätze extrahieren. Seine Firma wolle Anwendern eine Möglichkeit bieten, zu prüfen, ob ihre Zugangsdaten in der Datenbank enthalten sind, sagte Holden der New York Times.

Kostenpflichtige Sicherheitsprüfung

Fast zeitgleich mit der Erscheinung des Artikels auf der Webseite der New Yorks Times präsentierte das Sicherheitsunternehmen einen neuen kostenpflichtigen Dienst: Für monatlich 120 US-Dollar könnten Kunden überprüfen lassen, ob sie Opfer der Cybervor-Attacke geworden sind, wie Hold Security den Angriff nennt. So lautete zunächst das Angebot auf der Webseite. Nachdem das Wall Street Journal nachfragte, war der Dienst nicht mehr verfügbar.

Zu Forbes sagte das Unternehmen später, der Dienst solle 120 US-Dollar im Jahr oder 10 US-Dollar monatlich kosten. Der Obolus sei symbolisch zu sehen, schrieb Holden per E-Mail. Es würden ja auch Kosten für sein Unternehmen entstehen.

Das Hasso Plattner Institut sowie das Bundesamt für Sicherheit in der Informationstechnik bieten ähnliche Dienste kostenlos an.

Nachtrag vom 6. August 2014, 15:45 Uhr

Das BSI will in Zusammenarbeit mit deutschen und US-Behörden möglichst bald erfahren, ob Identitäten deutscher Benutzer in der Datenbank gelistet sind. Das sei mit hoher Wahrscheinlichkeit der Fall, so das BSI und kritisiert, dass es derzeit für Privatanwender keine Möglichkeit gebe festzustellen, "ob sie von dem Vorfall betroffen sind."



Anzeige
Top-Angebote
  1. ab 294€ lieferbar
  2. (u. a. Window Silver für 99,90€ + Versand)
  3. 87,99€ + Versand (Vergleichspreis ca. 101€ + Versand)
  4. (u. a. Nokia 8 Sirocco für 349€ und HTC U12 Life Dual-SIM für 199€)

Ork 07. Aug 2014

Naja, das mit den Ziffern ist an Geldautomaten noch verständlich :) Aber die...

Ork 07. Aug 2014

Bei Brute-Force interessiert mich die Zahl an sich nicht, da probier ich alles durch. Zu...

stmartin 07. Aug 2014

Warum wurde denn die Abfrage bei Hasso-Plattner-Institut (https://sec.hpi.uni-potsdam.de...

UristMcMiner 07. Aug 2014

Der lieber Herr Müller hat bestimmt einen SHA-2 mit Muskatnuss ;)

Herr Ahlers 07. Aug 2014

Mich beschäftigt die Frage wie es so eine "News" bis in die Nachrichten der Öffentlich...


Folgen Sie uns
       


Dirt Rally 2.0 - Fazit

Brettern auf der Gerade, Zittern in der Kurve - wir haben Dirt Rally 2.0 getestet.

Dirt Rally 2.0 - Fazit Video aufrufen
Metro Exodus im Technik-Test: Richtiges Raytracing rockt
Metro Exodus im Technik-Test
Richtiges Raytracing rockt

Die Implementierung von DirectX Raytracing in Metro Exodus überzeugt uns: Zwar ist der Fps-Verlust hoch, die globale Beleuchtung wirkt aber deutlich realistischer und stimmungsvoller als die Raster-Version.
Ein Test von Marc Sauter

  1. Turing-Grafikkarten Nvidias Geforce 1660/1650 erscheint im März
  2. Grafikkarte Chip der Geforce GTX 1660 Ti ist überraschend groß
  3. Deep Learning Supersampling Nvidia will DLSS-Kantenglättung verbessern

Marsrover Opportunity: Mission erfolgreich abgeschlossen
Marsrover Opportunity
Mission erfolgreich abgeschlossen

15 Jahre nach der Landung auf dem Mars erklärt die Nasa das Ende der Mission des Marsrovers Opportunity. Ein Rückblick auf das Ende der Mission und die Messinstrumente, denen wir viele neue Erkenntnisse über den Mars zu verdanken haben.
Von Frank Wunderlich-Pfeiffer

  1. Mars Insight Nasa hofft auf Langeweile auf dem Mars
  2. Astronomie Flüssiges Wasser auf dem Mars war Messfehler
  3. Mars Die Nasa gibt den Rover nicht auf

Digitaler Hausfriedensbruch: Bund warnt vor Verschärfung der Hackerparagrafen
Digitaler Hausfriedensbruch
Bund warnt vor Verschärfung der Hackerparagrafen

Ein Jahr Haft für das unbefugte Einschalten eines smarten Fernsehers? Unions-Politiker aus den Bundesländern überbieten sich gerade mit Forderungen, die Strafen für Hacker zu erhöhen und den Ermittlern mehr Befugnisse zu erteilen. Doch da will die Bundesregierung nicht mitmachen.
Von Friedhelm Greis

  1. Runc Sicherheitslücke ermöglicht Übernahme von Container-Host
  2. Security Metasploit 5.0 verbessert Datenbank und Automatisierungs-API
  3. Datenbank Fehler in SQLite ermöglichte Codeausführung

    •  /