Es ist der Albtraum eines jeden Swifties: Monatelang wartet man darauf, dass „The Eras Tour“ nach Deutschland kommt – und dann werden die Tickets gestohlen. Für einige Fans ist genau das Realität geworden. Der Ticketanbieter Eventim meldete am Montag, dass Daten gestohlen und einige der Tickets weiterverkauft worden seien. Die Zahl liegt im niedrigen zweistelligen Bereich.
Lesen Sie danach mehr Werbung
Lesen Sie danach mehr Werbung
Eventim erläuterte Kunden in einer Stellungnahme auch, wie die Kriminellen an ihre Zugangsdaten kamen: Sie probierten viele Benutzernamen und Passwörter aus, die vermutlich aus großen Datenmengen im Darknet stammten. Mit anderen Worten: Es war nicht nötig, die Plattform zu hacken, um Zugriff auf die Konten zu erhalten. Die Betrüger versuchten ihr Glück mit gestohlenen Daten von anderen Plattformen. Die Betrugsmasche nennt sich Credential Stuffing – und stellt nicht nur für Swifties eine Gefahr dar.
Was ist Credential Stuffing?
Beim sogenannten Credential Stuffing versuchen Cyberkriminelle, sich mit gestohlenen Zugangsdaten Zugang zu vielen anderen Konten gleichzeitig zu verschaffen. Diese Anmeldeinformationen werden häufig in Listen im Dark Web weitergegeben. Sie wurden größtenteils durch frühere Hacks anderer Plattformen gestohlen. Cyberkriminelle gehen davon aus – und leider haben sie oft recht –, dass manche Menschen ein einziges Passwort für verschiedene Portale verwenden.
Lesen Sie danach mehr Werbung
Lesen Sie danach mehr Werbung
Mithilfe dieser Listen versuchen die Kriminellen ihr Glück auf verschiedenen Plattformen und verschaffen sich so immer wieder Zugriff auf Konten. Das Prinzip ist seit langem bekannt. Anfang 2023 wurden durch diese Masche rund 20.000 Konten der Online-Versandapotheke DocMorris komprimiert.
Schützt mich ein sicheres Passwort vor Credential Stuffing?
Nein. Es stimmt, dass ein starkes Passwort Ihr Konto im Allgemeinen besser schützt als gängige und schwache Passwörter wie „Passwort123“ oder „abcdefgh“. Doch wenn Kriminelle durch das Hacken einer Plattform Zugriff auf die Zugangsdaten erhalten, kann das Passwort noch so stark sein: Wenn Sie es für verschiedene Portale verwenden, könnten Hacker damit theoretisch versuchen, Zugriff auf mehrere Ihrer Konten zu erhalten.
Wie schütze ich mich vor Credential Stuffing?
Der beste Schutz vor Credential Stuffing besteht darin, für jedes Konto ein anderes, sicheres Passwort zu verwenden. Dies hat den entscheidenden Vorteil, dass Kriminelle im Falle eines Hacks nur Zugriff auf das gehackte Konto haben. Das ist oft schon schlimm genug, wenn dort sensible Daten, wertvolle Tickets oder Zahlungsinformationen gespeichert sind. Aber zumindest sind auch Ihre anderen Konten nicht betroffen. Obwohl es im Allgemeinen schwieriger ist, sich viele verschiedene sichere Passwörter zu merken, gibt es Strategien, diese sicher aufzuschreiben.
Lesen Sie danach mehr Werbung
Lesen Sie danach mehr Werbung
Zusätzlichen Schutz bietet die Zwei-Faktor-Authentifizierung, mit der Sie zum Anmelden Ihre Identität nachweisen müssen. Dies kann beispielsweise über einen SMS- oder E-Mail-Code erfolgen, der Ihnen beim Anmeldeversuch zugesandt wird. Allerdings nicht alle Internetplattformen bieten diesen zusätzlichen Schutz – Eventim ist das beste Beispiel dafür.
Alternativ können Sie Ihren Kontozugriff von Passwörtern auf Passkeys umstellen – zumindest auf Plattformen, die dies bereits zulassen. Passkeys sind sicherer als Passwörter, da sie nicht bei Online-Diensten gespeichert werden. Sie können also nicht durch einen Hack gestohlen werden. Der Passkey wird beispielsweise in Form Ihres Fingerabdrucks lokal auf Ihrem Gerät gespeichert. Im Onlinedienst, bei dem Sie sich anmelden, ist nur ein Gegenschlüssel gespeichert, mit dem er den Passkey erkennen und das Konto entsperren kann, wenn Sie sich anmelden. Der Gegenschlüssel nützt Hackern jedoch nichts, wenn sie nicht über Ihr Gerät und Ihr Gerät verfügen Fingerabdruck.
Wie kann ich herausfinden, ob meine Zugangsdaten bereits im Darknet gehandelt werden?
Verwenden Sie beispielsweise das Tool „Wurde ich pwned?“ vom australischen Sicherheitsforscher Troy Hunt oder der Identity Leak Checker des Hasso Plattner Institute for Digital Engineering. Wenn Sie dort Ihre E-Mail-Adresse eingeben, prüfen die Dienste, ob Kriminelle Ihre Zugangsdaten bereits gehackt haben. Wenn das der Fall ist, ändern Sie Ihre Passwörter am besten überall – jeweils mit einem eindeutigen und sicheren Passwort. Wenn möglich, können Sie auch eine Zwei-Faktor-Authentifizierung einrichten oder auf Passkeys umsteigen.
Lesen Sie danach mehr Werbung
Lesen Sie danach mehr Werbung
Teure Masche: So erkennen Sie gefälschte Paket-SMS – und wie Sie sich davor schützen
Online-Shopping wird immer beliebter – und Betrüger machen sich das zunutze. Sie geben sich als Paketdienstleister aus und verschicken SMS mit Links, die Schadsoftware auf dem Handy installieren. Wie können sich Handynutzer vor Betrug schützen?
Was soll ich tun, wenn Hacker durch Credential Stuffing Zugriff auf meine Konten erhalten haben?
Je nachdem, wie viele Konten betroffen sind, kann es kompliziert werden: Sie sollten den Kundenservice der jeweiligen Plattform kontaktieren und ihn darüber informieren. Wenn Sie sich noch bei Ihren Konten anmelden können, sollten Sie Ihre Anmeldedaten schnellstmöglich ändern.
Wenn die Kriminellen dies bereits für Sie erledigt und Sie „ausgesperrt“ haben, können Sie versuchen, den Zugriff über die von den jeweiligen Online-Diensten angebotenen Methoden wiederherzustellen. Sollte das nicht klappen, hilft nur der Kundenservice. Es ist wichtig zu beachten, dass jeder Kundendienst unterschiedliche Maßnahmen erfordert, um Ihren Zugang wiederherzustellen. Wenn die Betrüger bereits auf Ihre Kosten Tickets gestohlen oder Einkäufe mit Ihren Zahlungsmethoden getätigt haben, sollten Sie dem Kundenservice den Vorfall erklären – und insbesondere bei größeren Vorfällen eine Anzeige erstatten.