RESISTO IT GmbH veröffentlicht Sicherheitslücke im System der T-COM

Archivmeldung vom 06.04.2009

Bitte beachten Sie, dass die Meldung den Stand der Dinge zum Zeitpunkt ihrer Veröffentlichung am 06.04.2009 wiedergibt. Eventuelle in der Zwischenzeit veränderte Sachverhalte bleiben daher unberücksichtigt.

Freigeschaltet durch Thorsten Schmitt

Durch eine sehr simple Sicherheitslücke ist davon auszugehen, dass die gesamte Liste der Haupt-eMailadressen der T-Online-Kunden in die Hände von unbefugten Dritten (Spam-Versender und Datenhändler) gelangt ist.

Das Sicherheitsteam von RESISTO hat das Auslesen dieser Daten unter Aufsicht von neutralen Sicherheitsexperten unter Beweis stellen können und möglicherweise sind viele Millionen Kunden von diesem neuen Datenleck betroffen.

Neben T-Online sind auch die die Anbieter GMX und Web.de von dieser Lücke betroffen, jedoch mit mehr technischen Aufwand, da die Systeme der United Internet AG einen anderen Aufbau als der der Telekom haben. Mit einem größeren Zeitrahmen ist es jedoch auch hier möglich quasi die gesamte eMail-Liste runterzuladen.

Das Sicherheitsteam der RESISTO macht sich die geforderte Bequemlichkeit der Kunden zu Nutze und lässt entweder - wie bei der Telekom - die Mailnamen aufgrund des alphanumerischen Aufbaus der eMail-Adresse hochzählen oder fragt die Datenbanken der anderen Anbieter mittels so genanntem Brute-Force-Angriff ab. Laut dem Geschäftsführer der RESISTO, Tobias Huch, reichen bei T-Online rein rechnerisch 100 Milliarden kurze Server-Anfragen, um alle Hauptadressen aus der Datenbank zu "stehlen". "Bei GMX und Web.de bräuchten wir mit Sicherheit ein paar Tage oder Wochen länger, um einen großen und wertvollen Datenbestand zusammen zu haben, aber wir haben genügend Rechnerpower und eine 1000 MBit/s-Anbindung im Unternehmen, was für eine solche Unternehmung ausreichen dürfte. Professionelle Datendiebe und Spam-Versender haben nach unserem Stand der Erkenntnis sogar noch weit größere Ressourcen, um solch eine Lücke auszunutzen", so Tobias Huch, der schon durch die Aufdeckung des T-Mobile-Datenskandals im Oktober 2008 (Diebstahl von 17 Millionen Kundendaten) bundesweit bekannt wurde.

Die RESISTO informierte Ende der Woche pflichtgemäß den Landesbeauftragten für den Datenschutz in Rheinland-Pfalz.

Unter www.resisto.com stellt das Unternehmen eine kleine kostenlose Software zur Verfügung, mit der laut Herstellerangaben jeder Internetnutzer angeblich überprüfen kann, ob auch seine eMail-Adresse von der Lücke betroffen ist. Außerdem informiert die Software auch über aktuelle Sicherheitslücken von Anbietern.

Quelle: RESISTO IT GmbH