Benutzerkonten vor Account-Diebstahl schützen Wirksame Schutzmaßnahmen gegen Account Takeover

Anbieter zum Thema

Vogel IT-Akademie

sysob IT-Distribution GmbH & Co. KG

Mimecast Germany GmbH

Specops Software GmbH

Die Benutzung digitaler Online-Dienste prägt unseren Alltag. Das Spektrum reicht von E-Mail, Sozialen Netzwerken und Online-Shops über Versorger, Versicherer und Krankenkassen bis hin zu beruflichen Diensten. Entsprechend attraktiv sind Zugangsdaten für kriminelle Angreifer, um damit bestehende Benutzerkonten zu übernehmen (engl. Account-Takeover).

Angreifer entwickeln kontinuierlich neue Ideen, um an die vertraulichen Zugangsdaten zu Online-Diensten zu gelangen. Diese lassen sich in zwei Kategorien aufteilen: einerseits können die Zugangsdaten direkt beim Online-Dienst selbst gestohlen werden, andererseits verwenden Angreifer Methoden, um die Zugangsdaten bei den Benutzern zu erbeuten. Werden Zugangsdaten beim Online-Dienst entwendet, dann konnten die Angreifer meist im Vorfeld vorhandene Sicherheitslücken der technischen Infrastruktur des Online-Dienstes erkennen und auszunutzen, um Zugriff auf sensible Systembereiche zu erlangen und in der Folge Teile der Benutzerdatenbank zu kopieren. Parallel dazu versuchen Angreifer Zugangsdaten bei den Benutzern selbst zu entwenden. Hierfür wird spezialisierte Schadsoftware eingesetzt, welche die auf einem infizierten Gerät eingegebenen Zugangsdaten, also E-Mail-Adressen und Passwörter aufzeichnet und den Angreifern zusendet. Alternativ nutzen Angreifer Methoden des Social Engineering wie z.B. Phishing-Mails, um Zugangsdaten zu erbeuten. Beispielsweise werden regelmäßig E-Mails versendet, in denen ein anderer Absender vorgetäuscht wird, den der Empfänger der Phishing-Mail möglichst gut kennt. Ziel einer solchen E-Mail ist, den Empfänger dazu zu bewegen eine in der E-Mail genannte gezielt präparierte Website aufzurufen und dort seine Zugangsdaten für diesen Dienst einzugeben.

Dimension der Bedrohung durch Account Takeover

Einmal gestohlene Zugangsdaten werden in einschlägigen Foren im Internet veröffentlicht, getauscht oder verkauft und gelangen so in die Hände vieler Angreifer. So entsteht ein erhebliches Risiko der missbräuchlichen Nutzung von Benutzerzugängen zu Online-Diensten, mit dem oft umfangreiche finanzielle Schäden für Benutzer und Dienstbetreiber bzw. Unternehmen verbunden sind. Deutlich verstärkt wird dieses Risiko durch den typischen Umgang von Benutzern mit ihren Zugangsdaten, insbesondere die Mehrfachverwendung von Passwörtern für unterschiedliche Online-Dienste. Einmal in den Händen Krimineller, sind so direkt die Zugänge zu mehreren Diensten betroffen. Studien zeigen, dass durchschnittlich 51 Prozent der Dienstbenutzer gleiche Passwörter für mehrere Online-Dienste verwenden. Und tatsächlich spielen entwendete Zugangsdaten von Unternehmensmitarbeitern auch bei nahezu allen bekannt gewordenen großen IT-Sicherheitsvorfällen der letzten Jahre eine Rolle, wie z.B. bei dem Angriff auf die amerikanische Colonial Pipeline in 2021. Für den Bereich eCommerce zeigen Erhebungen, dass 97 Prozent der Online-Unternehmen bereits Opfer von Betrug geworden sind, dass der durchschnittliche finanzielle Schaden eines einzelnen Account-Takeover-Angriffs bei 500,- bis 950,- Euro liegt, dass etwa jede vierte Online-Bestellung im Bereich „Trending Products“ betrügerisch ist, und dass der deutsche Online-Handel durch Online-Betrug jedes Jahr 2,5 Milliarden Euro verliert.

Wie kann einfach wirksamer Schutz erreicht werden?

Vor dem Hintergrund der Bedrohung durch Account-Takeover mittels gestohlener Zugangsdaten hat sich ein interdisziplinäres Team aus IT-Sicherheitsforschern, Datenschützern, Juristen, Psychologen und Online-Dienstanbietern in dem mehrjährigen Forschungsprojekt EIDI mit der Entwicklung von Konzepten zum Schutz gegen diese Bedrohungen beschäftigt. Zunächst konnten intelligente Verfahren entwickelt werden, die kontinuierlich und weitgehend automatisiert Foren für kriminellen Austausch und Handel gestohlener Zugangsdaten aufklären und analysieren und den Forschern so Zugriff auf die Daten verschaffen, die in nachgelagerten Verarbeitungsschritten datenschutzkonform analysiert und zum Schutz gegen Account-Takeover weiterverarbeitet werden können. Mit diesen Verfahren wurden bereits mehr als 25 Milliarden gestohlene Zugangsdatensätze erfasst. Die Schutz- und Warnmechanismen gegen diese Bedrohungen wurden u.a. hinsichtlich ihrer Wirksamkeit untersucht und weiterentwickelt und können dahingehend unterschieden werden, ob die betroffenen Benutzer auf der einen Seite oder die beteiligten Online-Dienst-Anbieter auf der anderen Seite aktiv werden müssen.

Zur ersten Kategorie gehören sogenannte Leakchecker-Prüfdienste wie haveibeenpwned oder der HPI Leak Checker sowie der im EIDI-Projekt entwickelte Leak Checker der Uni Bonn, die es jedem Nutzer individuell erlauben zu überprüfen, ob dem jeweiligen Leak-Checker-Prüfdienst dem Nutzer zuzuordnende Zugangsdaten bekannt sind. Allerdings erreichen diese Prüfdienste nur für einen kleinen Teil der betroffenen Benutzer einen wirksamen Schutz, nämlich nur für die, die vorsorglich und regelmäßig diese Dienste benutzen. Ein umfassender Schutz kann erreicht werden, wenn Online-Dienstanbieter entsprechende Überprüfungen für Ihre Benutzer durchführen, in der Regel sowohl für Kunden als auch für Mitarbeiter. Diese datenschutzkonformen Schutzmechanismen wurden vom EIDI-Projektteam konzipiert und erprobt.

Das ausgegründete Startup Identeco bietet diese einfach integrierbaren Dienstleistungen zum Schutz von Mitarbeiter- und Kundenkonten für Unternehmenskunden an. Der unmittelbare Nutzen wurde mit mehreren Millionen geschützten Benutzerkonten bereits eindrucksvoll belegt. Mit einem Partner aus dem Bereich eCommerce, mit mehr als 10 Millionen Kunden, wurde in einem Test eine Überprüfung mit einer Million gestohlener Zugangsdatensätze durchgeführt, die ca. 40.000 Übereinstimmungen bei Email-Adressen und ca. 4.500 vollständige gültige Zugangsdatensätze offenbarte. Eine missbräuchliche Nutzung ist damit leicht verhindert. Ein weiterer Test wurde mit einem sozialen Netzwerk mit mehr als 15 Millionen Nutzern durchgeführt: die Überprüfung von 5 Milliarden gestohlener Zugangsdatensätze lieferte valide Zugangsdaten zu 1,4 Millionen Nutzerkonten. Die Umsetzung von Schutzmaßnahmen für die betroffenen Benutzerkonten ging mit einem drastischen Rückgang des Aufkommens an Spam-Nachrichten und der Beschwerden darüber innerhalb des sozialen Netzwerks einher.

Über den Autor: Prof. Dr. Michael Meier ist Inhaber des Lehrstuhls für IT-Sicherheit am Institut für Informatik der Universität Bonn und Leiter der Abteilung Cyber Security bei Fraunhofer FKIE. Seine Forschungsinteressen liegen im Bereich der angewandten Aspekte von IT-Sicherheit mit dem Schwerpunkt auf datenschutzkonformer Angriffsanalyse sowie -erkennung. Er ist Mitgründer des Security-Startups Identeco.

Auf der ISX2022 IT-Security Conference hält Prof. Dr. Michael Meier am 22. Juni in Hamburg eine Keynote! Jetzt noch schnell anmelden um dabei sein zu können!

(ID:48414050)