Die Staatsanwaltschaft Verden ist auf einen Datensatz von 18 Millionen E-Mail-Adressen samt Passwörtern gestoßen. Betroffen sind alle großen deutschen Provider. Manche Konten werden offenbar aktuell missbraucht.
Berlin - Kriminelle haben erneut in großem Stil Zugangsdaten für E-Mail-Konten entwendet. Es handelt sich dem Vernehmen nach um den größten bislang bekannten Fall von Datendiebstahl in Deutschland. Insgesamt 18 Millionen E-Mail-Adressen mit den zugehörigen Passwörtern haben die Ermittler der Staatsanwaltschaft Verden nach SPIEGEL-Informationen sichergestellt.
Wie viele der Zugangsdaten deutschen Nutzern zuzuordnen sind, ist derzeit noch unklar, weil etliche international verwendete Endungen wie .com haben. Die Behörden gehen derzeit von etwa drei Millionen Betroffenen in der Bundesrepublik aus. Der Fall ist besonders brisant, weil die Daten aktuell sind. Teile davon werden dem Vernehmen nach derzeit für kriminelle Aktivitäten missbraucht, etwa zum Versenden von Spam.
Es handelt sich um den zweiten großen Fall von Cyberkriminalität innerhalb weniger Monate. Bereits im vergangenen Jahr entdeckten vier auf Cyberkriminalität spezialisierte Staatsanwälte aus Verden an der Aller eine Datenbank mit 16 Millionen E-Mail-Adressen und den dazugehörigen Passwörtern. Es war ein Zufallsfund, der monatelange Ermittlungen nach sich zog.
Schwarzmarkt für Zugangsdaten floriert
Im Januar ging das Bundesamt für Sicherheit in der Informationstechnik (BSI) schließlich an die Öffentlichkeit und forderte die Bundesbürger auf, auf einer Seite der Behörde ihre E-Mail-Adresse zu überprüfen. Mehr als 30 Millionen E-Mail-Adressen wurden überprüft; rund 1,6 Millionen von ihnen waren tatsächlich betroffen. Im Gegensatz zu dem aktuellen Fall war damals ein Großteil der Zugangsdaten veraltet und "nicht mehr missbräuchlich nutzbar", wie es heißt.
Nach SPIEGEL-Recherchen hängen die beiden Verfahren zusammen. Der Täterkreis könnte identisch sein, vermuten die Ermittler. Damals führte die Spur der Cyberkriminellen ins Baltikum. Der Fall ist allerdings noch nicht aufgeklärt. Das BSI wollte sich auf Anfrage zu dem neuen Fall zunächst nicht äußern.
Für geknackte Zugangsdaten gibt es einen florierenden Schwarzmarkt, etwa zur Versendung von Spam-Mails. Je nachdem wie umfangreich die Datenpakete sind, können die potentiellen Angreifer auch weit mehr damit anfangen. Sie können etwa in soziale Netzwerke eindringen, auf Kosten ihrer Opfer im Internet einkaufen und Bankkonten plündern.
Von dem neuen Datenklau sind alle großen deutschen E-Mail-Provider und mehrere internationale Anbieter betroffen. Die Staatsanwaltschaft im niedersächsischen Verden bestätigt den Datenfund. Es sei ein "Bestand von rund 18 Millionen E-Mail-Adressen mit zugehörigen Passwörtern" sichergestellt worden, so Sprecher Lutz Gaebel. Ansonsten aber zeigt sich die Behörde sehr zurückhaltend mit Informationen. Weitere Informationen wolle man aus "ermittlungstaktischen Gründen" nicht mitteilen.
Am Abend meldete die Nachrichtenagentur dpa unter Berufung auf das BSI, dort arbeite man mit Hochdruck und in Zusammenarbeit mit Behörden und Providern an einer Lösung, wie und auf welchem Wege betroffene Internetnutzer informiert werden können. Nach Informationen, die dem Fachportal "heise security" vorliegen, hat die Behörde erneut den Auftrag erhalten, die Betroffenen zu informieren. Demnach wolle das BSI aber erst "Anfang nächster Woche" eine entsprechende Mitteilung veröffentlichen.