Die eigene E-Mail-Adresse ist wahrscheinlich schon seit Jahren im Einsatz. Man hat sich damit bei Shops angemeldet, in Foren registriert, irgendwelche Apps ausprobiert und Accounts angelegt, an die man sich heute teilweise gar nicht mehr erinnert.

Und irgendwann passiert es: Einer dieser Dienste wird gehackt.

Plötzlich tauchen E-Mail-Adressen, Benutzernamen, Telefonnummern, Passwort-Hashes oder im schlimmsten Fall sogar Passwörter irgendwo im Internet auf. Das bedeutet nicht automatisch, dass jemand gerade Zugriff auf den eigenen Account hat. Es bedeutet aber sehr wohl, dass man genauer hinschauen sollte.

Genau dafür gibt es sogenannte Breach- und Leak-Suchdienste. Drei Namen, auf die man dabei früher oder später stößt, sind Have I Been Pwned, DeHashed und Breach.vip.

Allerdings gibt es zwischen diesen Angeboten erhebliche Unterschiede. Und spätestens bei Diensten, die nicht nur anzeigen, dass eine E-Mail-Adresse in einem Leak vorkommt, sondern wesentlich tiefer in geleakte Datensätze schauen können, wird das Thema auch rechtlich interessant.

Deshalb schauen wir uns das Ganze einmal genauer an – ausdrücklich aus Sicht der eigenen IT-Sicherheit.

Was bedeutet eigentlich „pwned“?

Der Ausdruck „pwned“ stammt aus der Internet- und Gaming-Kultur und geht vermutlich auf einen Tippfehler von „owned“ zurück. Sinngemäß bedeutet es so etwas wie „erwischt“, „übernommen“ oder „kompromittiert“.

Wenn eine E-Mail-Adresse also als „pwned“ bezeichnet wird, heißt das zunächst nur, dass diese Adresse in einem bekannten Datenleck aufgetaucht ist.

Und genau hier gibt es ein häufiges Missverständnis:

Ein Treffer bedeutet nicht automatisch, dass dein aktuelles Passwort bekannt ist oder jemand momentan Zugriff auf dein Konto hat.

Vielleicht stammt der Datensatz aus einem zehn Jahre alten Leak. Vielleicht enthielt er nur E-Mail-Adressen und Namen. Vielleicht war das Passwort nur als Hash gespeichert. Vielleicht hast du das Passwort längst geändert.

Ein Treffer ist also zunächst ein Warnsignal. Was dahintersteckt, muss man sich anschließend genauer ansehen.

Was ist überhaupt ein Data Breach?

Ein Data Breach ist vereinfacht gesagt ein Vorfall, bei dem Daten aus einem System ungewollt oder unberechtigt offengelegt werden.

Das kann durch einen erfolgreichen Angriff passieren, aber auch durch Fehlkonfigurationen, offene Datenbanken, kompromittierte Mitarbeiterkonten oder andere Sicherheitsprobleme.

Welche Informationen anschließend im Umlauf sind, unterscheidet sich von Vorfall zu Vorfall erheblich.

Das können zum Beispiel sein:

• E-Mail-Adressen
• Benutzernamen
• Namen
• Telefonnummern
• Adressen
• Geburtsdaten
• IP-Adressen
• Passwort-Hashes
• Passwörter
• weitere Account- oder Profildaten

Und dann gibt es noch eine andere Kategorie: sogenannte Stealer Logs.

Dabei stammen die Daten nicht unbedingt aus einem gehackten Onlinedienst. Infostealer-Malware kann auf einem infizierten Rechner beispielsweise Zugangsinformationen und andere Daten abgreifen. Für die Bewertung eines Treffers macht das einen gewaltigen Unterschied.

1. Have I Been Pwned – für mich die erste Anlaufstelle

Have I Been Pwned, meistens einfach HIBP genannt, ist wahrscheinlich der bekannteste Dienst dieser Art.

Das Projekt wurde vom australischen Security-Experten Troy Hunt gestartet und existiert bereits seit 2013. Die ursprüngliche Idee war angenehm simpel: Eine E-Mail-Adresse eingeben und herausfinden, ob sie in einem bekannten Datenleck aufgetaucht ist.

Genau diese Einfachheit macht HIBP bis heute interessant.

Wie funktioniert die Überprüfung?

Auf der Startseite gibt man seine eigene E-Mail-Adresse in das Suchfeld ein und startet die Abfrage.

Wenn kein bekannter Treffer vorhanden ist, bekommt man entsprechend Entwarnung – jedenfalls bezogen auf den Datenbestand von HIBP.

Gibt es Treffer, zeigt HIBP die bekannten Breaches an und liefert Informationen dazu, beispielsweise welcher Dienst betroffen war und welche Arten von Daten beim jeweiligen Vorfall offengelegt wurden.

Das ist für mich einer der großen Vorteile von HIBP: Ich muss nicht erst irgendwelche kompletten Leak-Datensätze herunterladen oder mich durch fragwürdige Dateien wühlen. Ich bekomme die für meine Sicherheitsbewertung wichtigen Informationen direkt aufbereitet.

Wichtig: Kein Treffer ist keine Sicherheitsgarantie

Das sollte man unbedingt im Hinterkopf behalten.

Nur weil eine E-Mail-Adresse bei HIBP keinen Treffer liefert, bedeutet das nicht, dass diese Adresse garantiert noch nie in irgendeinem Leak enthalten war.

Kein solcher Dienst besitzt zwangsläufig jeden Datensatz, der jemals irgendwo gestohlen, verkauft, veröffentlicht oder privat gehandelt wurde.

Ein negatives Ergebnis bedeutet deshalb eher:

In den vom Dienst erfassten und für diese Abfrage verfügbaren Daten wurde kein entsprechender Treffer gefunden.

Das ist etwas völlig anderes als eine hundertprozentige Sicherheitsgarantie.

Benachrichtigungen bei zukünftigen Leaks

HIBP kann außerdem interessant sein, wenn man nicht ständig selbst nachsehen möchte.

Über die Benachrichtigungsfunktion lässt sich eine eigene E-Mail-Adresse überwachen. Taucht sie später in einem neu aufgenommenen Datenleck auf, kann man darüber informiert werden.

Das gefällt mir persönlich besser als die Variante „Ich schaue vielleicht einmal im Jahr nach, wenn ich gerade daran denke“.

Eigene Domains überwachen

Für Betreiber eigener Domains wird es noch interessanter.

HIBP bietet Funktionen für die Überprüfung von Domains. Dabei wird allerdings nicht einfach irgendeine fremde Domain eingegeben und anschließend die komplette Liste betroffener Adressen ausgegeben.

Der Betreiber verlangt zunächst einen Nachweis darüber, dass man Kontrolle über die betreffende Domain besitzt. Dafür stehen verschiedene Verifizierungsmöglichkeiten zur Verfügung.

Das ist ein wichtiger Unterschied zu Diensten, bei denen sich sehr viel freier nach Informationen suchen lässt.

Gerade für Unternehmen, Vereine oder Betreiber eigener Mailserver kann eine solche Überwachung ausgesprochen sinnvoll sein.

Pwned Passwords – wurde mein Passwort schon einmal gesehen?

Zu HIBP gehört außerdem Pwned Passwords.

Damit lässt sich überprüfen, ob ein Passwort in bekannten kompromittierten Passwortbeständen vorkommt.

Dabei sollte man aber eines verstehen: Die Aussage lautet nicht automatisch „Dieses Passwort wurde zusammen mit deiner E-Mail-Adresse gestohlen“.

Wenn ein Passwort dort gefunden wird, bedeutet das vielmehr, dass genau dieses Passwort bereits in bekannten kompromittierten Datenbeständen vorkam.

Ein solches Passwort würde ich deshalb nicht mehr verwenden.

HIBP stellt für Pwned Passwords außerdem eine API bereit, die so aufgebaut ist, dass für eine Prüfung nicht einfach das komplette Klartext-Passwort an den Dienst übertragen werden muss.

Genau solche Details machen für mich den Unterschied zwischen einem einfachen Leak-Suchfeld und einem durchdachten Security-Dienst aus.

2. DeHashed – wesentlich tiefer im Thema

DeHashed verfolgt einen anderen Ansatz.

Während HIBP bewusst relativ einfach gehalten ist, bezeichnet sich DeHashed selbst als Security- und Intelligence-Plattform. Der Dienst sammelt nach eigenen Angaben sensible Informationen, die im Clear Web und Deep Web verfügbar geworden sind, und macht diese für Recherchen durchsuchbar.

Hier können – abhängig von Datenbestand, Zugang und verfügbaren Funktionen – deutlich mehr Informationen eine Rolle spielen als bei einer einfachen HIBP-Abfrage.

DeHashed nennt unter anderem:

• E-Mail-Adressen
• Benutzernamen
• IP-Adressen
• weitere Daten aus kompromittierten Datensätzen

Der Anbieter weist selbst darauf hin, dass sein Datenbestand auch sensible Informationen einschließlich Passwörtern enthalten kann.

Spätestens hier sollte jedem klar sein: Wir bewegen uns in einer völlig anderen Liga als bei einer einfachen „Ist meine Mailadresse betroffen?“-Abfrage.

Wofür kann DeHashed sinnvoll sein?

Legitime Anwendungsfälle gibt es durchaus.

Ich kann beispielsweise untersuchen, ob eigene Daten in bekannten Datensätzen auftauchen. Ein Unternehmen kann im Rahmen seiner Berechtigungen nach kompromittierten Unternehmensdaten suchen. Auch professionelle Incident-Response-, Threat-Intelligence- und OSINT-Arbeit kann solche Datenquellen verwenden.

DeHashed bietet dafür neben der Suche auch Monitoring-Funktionen und eine API zur Integration in eigene Security-Anwendungen an.

Das macht den Dienst mächtig – und genau deshalb muss man wissen, was man tut.

Mehr Informationen bedeuten auch mehr Verantwortung

Nur weil eine Suchmaschine technisch eine bestimmte Suche ermöglicht, heißt das noch lange nicht, dass jede denkbare Nutzung dieser Funktion automatisch rechtmäßig ist.

Das ist ein Punkt, der bei solchen Diensten gerne vergessen wird.

Die technische Möglichkeit ist keine rechtliche Erlaubnis.

Wenn ein Dienst Informationen über fremde Personen finden kann, sollte man deshalb nicht aus reiner Neugier anfangen, Freunde, Arbeitskollegen, Nachbarn, ehemalige Partner oder irgendwelche anderen Personen zu durchleuchten.

Ich beschränke mich bei solchen Werkzeugen auf meine eigenen Daten beziehungsweise auf Systeme und Daten, für deren Prüfung ich ausdrücklich berechtigt bin.

3. Breach.vip – hier wäre ich deutlich vorsichtiger

Bei Breach.vip sieht die Situation für mich anders aus.

Zum Zeitpunkt meiner Recherche ließ sich die Website nicht zuverlässig automatisiert abrufen; der direkte Zugriff wurde mit HTTP 403 abgewiesen. Gleichzeitig konnte ich keine ausreichend belastbare öffentlich zugängliche Dokumentation finden, mit der sich Betreiber, Datenherkunft, Datenschutz, Funktionsumfang und Umgang mit den vorhandenen Daten in der gleichen Qualität verifizieren lassen wie beispielsweise bei Have I Been Pwned.

Das bedeutet ausdrücklich nicht, dass daraus automatisch etwas Illegales oder Unseriöses folgt.

Es bedeutet lediglich: Ich kann bestimmte Aussagen über diesen Dienst nicht unabhängig genug überprüfen – und dann schreibe ich sie auch nicht als Tatsache hin.

Gerade bei einer Website, auf der möglicherweise mit kompromittierten oder geleakten Daten gearbeitet wird, ist Transparenz für mich ein wichtiges Kriterium.

Ich würde vor der Nutzung deshalb unter anderem prüfen:

• Wer betreibt den Dienst?
• Gibt es nachvollziehbare Nutzungsbedingungen?
• Gibt es eine Datenschutzerklärung?
• Welche Daten werden bei einer Suche übertragen?
• Werden Suchanfragen gespeichert?
• Woher stammen die angezeigten Daten?
• Welche Informationen werden tatsächlich ausgegeben?
• Welche Möglichkeiten zur Löschung oder zum Widerspruch gibt es?

Und noch etwas: Ich würde auf einer unbekannten Breach-Seite niemals leichtfertig ein aktuell verwendetes Passwort im Klartext eingeben.

Nur weil eine Website verspricht, ein Passwort auf Leaks zu überprüfen, muss man ihr dieses Passwort nicht zwangsläufig anvertrauen.

Die drei Dienste im Vergleich

Dienst	Schwerpunkt	Detailgrad	Typischer sinnvoller Einsatz
Have I Been Pwned	Bekannte Datenlecks, E-Mail-Adressen, Domains, Passwörter und weitere Breach-Informationen	Mittel und bewusst auf Sicherheitsinformationen fokussiert	Eigene E-Mail-Adressen und eigene Domains überprüfen und überwachen
DeHashed	Breach Intelligence und OSINT	Hoch	Eigene Daten, autorisierte Security-Recherche, Incident Response und professionelle Untersuchungen
Breach.vip	Zum Recherchezeitpunkt nicht ausreichend unabhängig verifizierbar	Nicht belastbar bewertet	Nur nach eigener Prüfung von Betreiber, Datenschutz, Datenherkunft und Nutzungsbedingungen

Ich habe einen Treffer – und jetzt?

Jetzt kommt eigentlich der wichtigste Teil.

Ein Leak zu finden bringt überhaupt nichts, wenn man anschließend einfach das Browserfenster schließt.

Ich würde zunächst prüfen, welcher Dienst betroffen war und welche Datenarten bei diesem Vorfall offengelegt wurden.

War beispielsweise ein Passwort oder Passwort-Hash betroffen, sollte das zugehörige Passwort geändert werden, sofern der Account noch existiert und das nicht ohnehin längst geschehen ist.

Und dann kommt die entscheidende Frage:

Habe ich dieses Passwort irgendwo anders ebenfalls benutzt?

Falls ja, müssen auch diese Accounts berücksichtigt werden.

Genau deshalb ist Passwort-Wiederverwendung so gefährlich. Angreifer müssen nicht zwangsläufig den aktuell verwendeten Dienst hacken. Es kann reichen, dass dasselbe Passwort vor Jahren bei irgendeinem anderen Anbieter geleakt wurde.

Meine Checkliste nach einem relevanten Treffer

• Betroffenes Passwort ändern
• Dasselbe Passwort bei anderen Diensten ebenfalls ersetzen
• Für jeden wichtigen Account ein eigenes Passwort verwenden
• Einen Passwortmanager einsetzen
• Wo möglich Zwei-Faktor- beziehungsweise Multi-Faktor-Authentifizierung aktivieren
• Angemeldete Geräte und aktive Sitzungen kontrollieren
• Wiederherstellungs-E-Mail-Adresse und Telefonnummer überprüfen
• Unbekannte Weiterleitungen oder Account-Regeln kontrollieren
• In nächster Zeit besonders auf Phishing achten

Bei Hinweisen auf Stealer-Malware würde ich mich außerdem nicht darauf beschränken, lediglich ein Passwort zu ändern. Dann muss geklärt werden, ob das verwendete Gerät selbst kompromittiert wurde.

Was ist erlaubt – und wo wird es problematisch?

Vorweg: Dieser Abschnitt ist keine Rechtsberatung. Gerade bei IT-Strafrecht und Datenschutz hängt die rechtliche Bewertung stark vom konkreten Einzelfall ab.

Für Deutschland und die EU spielen bei diesem Thema unter anderem Strafrecht und Datenschutzrecht eine Rolle.

Die eigenen Daten überprüfen

Die Überprüfung der eigenen E-Mail-Adresse oder eigener Accounts auf bekannte Datenlecks ist der typische Security-Anwendungsfall solcher Dienste.

Gleiches gilt grundsätzlich für Sicherheitsprüfungen eigener Systeme beziehungsweise für Prüfungen, für die eine entsprechende Berechtigung vorliegt.

Bei Unternehmenssystemen sollte klar geregelt sein, wer welche Daten zu welchem Zweck überprüfen darf.

Fremde Personen aus Neugier recherchieren

Ganz anders sieht es aus, wenn personenbezogene Daten Dritter verarbeitet werden.

Die DSGVO verlangt für die Verarbeitung personenbezogener Daten grundsätzlich eine Rechtsgrundlage. Außerdem gelten unter anderem Zweckbindung und Datenminimierung.

Deshalb sollte man nicht nach dem Motto vorgehen: „Die Suchmaschine lässt mich danach suchen, also darf ich das auch.“

Die Frage lautet vielmehr: Warum verarbeite ich diese personenbezogenen Daten und auf welcher rechtlichen Grundlage?

Mit gefundenen Zugangsdaten einen fremden Account testen?

Das sollte man keinesfalls tun.

Ein besonders gefährlicher Gedanke wäre: „Ich habe ein Passwort gefunden, jetzt probiere ich einfach einmal aus, ob es noch funktioniert.“

Bei einem fremden Account kann aus einer vermeintlich harmlosen Neugier sehr schnell ein strafrechtlich relevantes Verhalten werden.

§ 202a StGB betrifft das unbefugte Verschaffen von Zugang zu Daten, die nicht für den Betreffenden bestimmt und gegen unberechtigten Zugang besonders gesichert sind, wenn dabei die Zugangssicherung überwunden wird.

§ 202c StGB erfasst unter bestimmten Voraussetzungen außerdem Vorbereitungshandlungen im Zusammenhang mit dem Ausspähen oder Abfangen von Daten und nennt ausdrücklich Passwörter beziehungsweise sonstige Sicherungscodes.

Es kommt auf den konkreten Sachverhalt an. Deshalb gibt es hier von mir keine pauschale Aussage, dass bereits jede Begegnung mit einem geleakten Passwort automatisch strafbar wäre.

Die praktische Grenze für diesen Artikel ist trotzdem ganz einfach:

Keine fremden Zugangsdaten beschaffen, ausprobieren, validieren, weitergeben oder zur Anmeldung an fremden Accounts verwenden.

Geleakte Daten sammeln und weitergeben

Auch die Tatsache, dass Daten irgendwann geleakt wurden, bedeutet nicht automatisch, dass jeder anschließend beliebig damit machen darf, was er möchte.

Personenbezogene Daten bleiben personenbezogene Daten.

Die DSGVO stellt Anforderungen an deren Verarbeitung. Zusätzlich enthält § 42 BDSG Strafvorschriften für bestimmte Fälle des unberechtigten Umgangs mit nicht allgemein zugänglichen personenbezogenen Daten, beispielsweise unter bestimmten Voraussetzungen bei gewerbsmäßiger Weitergabe sowie bei Verarbeitung mit Bereicherungs- oder Schädigungsabsicht.

Auch hier gilt: Der konkrete Sachverhalt entscheidet.

Ein Wort zu OSINT

OSINT – Open Source Intelligence – ist grundsätzlich erst einmal die systematische Gewinnung und Auswertung von Informationen aus offen zugänglichen Quellen.

Aber auch hier gilt: „Ich kann es technisch finden“ und „Ich darf es für meinen konkreten Zweck verarbeiten“ sind zwei verschiedene Fragen.

Das Internet ist kein rechtsfreier Raum und eine Suchmaschine ist kein Freifahrtschein.

Wichtiger Hinweis zu diesem Artikel

Ich stelle die genannten Dienste auf DL7AG.de ausschließlich zu Informations-, Awareness- und IT-Sicherheitszwecken vor.

Ich zeige hier, wie solche Angebote grundsätzlich dazu eingesetzt werden können, die eigenen Daten und die eigene IT-Sicherheit zu überprüfen.

Mit der Beschaffung, Verbreitung oder missbräuchlichen Nutzung fremder Zugangsdaten oder personenbezogener Daten habe ich nichts zu tun und distanziere mich ausdrücklich davon.

Die hier vorgestellten Möglichkeiten sollten ausschließlich für eigene Daten und Systeme oder für Daten und Systeme genutzt werden, für deren Prüfung eine entsprechende Berechtigung besteht.

Dieser Artikel stellt außerdem keine Rechtsberatung dar. Wer solche Dienste professionell einsetzt, insbesondere im Unternehmen, bei umfangreicher OSINT-Recherche oder bei der Verarbeitung personenbezogener Daten Dritter, sollte die datenschutz- und strafrechtlichen Rahmenbedingungen für seinen konkreten Anwendungsfall prüfen.

Mein Fazit

Für einen schnellen Sicherheitscheck würde ich persönlich mit Have I Been Pwned anfangen.

Der Dienst ist einfach zu verstehen, sein Betreiber und die Arbeitsweise sind umfangreich dokumentiert und für die Frage „Ist meine E-Mail-Adresse schon einmal in einem bekannten Datenleck aufgetaucht?“ bekommt man schnell eine brauchbare Antwort.

DeHashed geht deutlich weiter. Gerade für Security- und OSINT-Recherchen kann das interessant sein. Mit den zusätzlichen Möglichkeiten wächst allerdings auch die Verantwortung des Nutzers.

Bei Breach.vip fehlt mir zum Zeitpunkt dieser Recherche die Transparenz, um den Dienst ähnlich detailliert und belastbar einzuordnen. Das ist kein Urteil darüber, ob die Seite legal oder illegal, seriös oder unseriös ist. Mir fehlen schlicht genügend überprüfbare Informationen – und genau das sollte man bei einem Dienst, der mit potenziell hochsensiblen Informationen arbeitet, im Hinterkopf behalten.

Das eigentlich Interessante an all diesen Diensten ist für mich ohnehin nicht, fremde Leute zu durchleuchten.

Viel spannender ist die Frage:

Was weiß das Internet eigentlich bereits über mich?

Und die Antwort darauf kann gelegentlich ziemlich überraschend sein.

Have I Been Pwned:
https://haveibeenpwned.com/

DeHashed:
https://dehashed.com/

Breach.vip:
https://breach.vip/

 

 

#Cybersecurity #ITSicherheit #Datenschutz #DataBreach #Datenleck #HaveIBeenPwned #HIBP #DeHashed #OSINT #PasswordSecurity #CyberSecurityAwareness #DSGVO #OnlineSecurity #Privacy

 

Für die im Artikel genannten Dienste: Have I Been Pwned, DeHashed und Breach.vip. Die rechtlichen Primärquellen sind insbesondere § 202a StGB – Ausspähen von Daten, § 202c StGB – Vorbereiten des Ausspähens und Abfangens von Daten, § 42 BDSG – Strafvorschriften und die DSGVO bei EUR-Lex.