New York – Vom massiven Datendiebstahl bei Yahoo im Jahr 2013 waren alle drei Milliarden Nutzerkonten bei dem Internet-Konzern betroffen. Bisher war von einer Milliarde Accounts die Rede gewesen – und schon damit war es der Daten-Diebstahl mit dem grössten Ausmass. Man habe kürzlich neue Informationen erhalten, die auf mehr Betroffene schliessen liessen, teilte der neue Yahoo-Eigentümer, der Telekom-Anbieter Verizon, in der Nacht zum Mittwoch mit.
Unter den gestohlenen Daten seien keine Passwörter im Klartext sowie keine Kreditkarten- oder Kontoinformationen, bekräftigte Verizon. Nach bisherigen Informationen verschafften sich die Angreifer aber Zugriff auf Namen, E-Mail-Adressen, Telefonnummern sowie unkenntlich gemachte Passwörter. Ein Problem ist, dass auch Antworten auf Fragen bei vergessenen Passwörtern betroffen sein könnten, die auch auf anderen Websites vorkommen könnten. Yahoo betont, man habe im vergangenen Jahr die unverschlüsselten Antworten bei allen Nutzerkonten zurückgesetzt.
Nach wie vor ist unklar, hinter wie vielen der Accounts zum Zeitpunkt der Attacke noch aktive Nutzer steckten. Die betroffenen Nutzerkonten verteilten sich auf diverse Yahoo-Dienste. Yahoo vermutete hinter der Attacke Hacker mit Verbindung zu staatlichen Stellen, ohne ein Land zu benennen. Meistens werden mit dieser Formulierung Angreifer aus Russland oder China bezeichnet.
Hackerangriff erst 2014 eingeräumt und kleingeredet
Yahoo hatte im vergangenen Jahr erst einen Hackerangriff im Jahr 2014 eingeräumt, von dem 500 Millionen Nutzerkonten betroffen waren. Kurz darauf wurde die vorherige, grössere Attacke von 2013 bekannt. Die Enthüllungen führten dazu, dass der Kaufpreis für Yahoo um 350 Millionen Dollar sank. Verizon zahlte allerdings immer noch knapp 4,5 Milliarden Dollar. Die damalige Yahoo-Chefin Marissa Mayer verzichtete auf Bonuszahlungen. Das grössere Ausmass des Datendiebstahls sei bei der Intergration der Yahoo-Systeme bei Verizon aufgedeckt worden, hiess es.
Gegen Yahoo wurden in den USA bereits einige Dutzend Nutzerklagen wegen des Datenklaus eingereicht. Eine interne Untersuchung ergab, dass die Attacke 2014 zwar entdeckt worden war, die Verantwortlichen aber nicht ihr Ausmass erkannt hätten.
Auch wenn der Yahoo-Hack die meisten Betroffenen hat, könnte die jüngste Cyberattacke auf die Wirtschaftsauskunftei Equifax noch schwerwiegendere Folgen haben. Denn bei den dort betroffenen 145,5 Millionen Amerikanern – über 40 Prozent der US-Bevölkerung – könnte auch die Sozialversicherungsnummer gestohlen worden sein.
Mit ihr kann man sich in den USA bei Vertragsabschlüssen identifizieren. Zudem hatten sich die Angreifer auch Zugang zu Namen, Geburtsdaten und Adressen verschafft. Die Kombination aus diesen vier Informationen kann Betrügern Tür und Tor öffnen, indem sie zum Beispiel Kredite in fremdem Namen aufnehmen.
Nach Angaben des zurückgetretenen Equifax-Chefs Richard Smith geht der Datendiebstahl vor allem auf den Fehler eines einzelnen Mitarbeiters zurück. Durch menschliches Versagen sei im März die Information über eine Sicherheitslücke nicht an die zuständigen Abteilungen weitergeleitet worden, sagte Smith am Dienstag bei einer Anhörung im US-Kongress. Die Schwachstelle sei deshalb offengeblieben. Nach Angaben von Smith versagte aber auch eine Prüfsoftware, die bei einem Scan des Systems im Frühjahr die Sicherheitslücke nicht registrierte. (awp/mc/ps)