Das Have-I-Been-Pwned-Projekt (HIBP) ist um 183 Millionen entwendete Zugänge reicher. Betreiber Troy Hunt hat von Infostealern ausgeleitete Zugangsdaten, die von der Firma Synthient gesammelt wurden, zur ohnehin schon riesigen Datensammlung hinzugefügt.

Bei Infostealern handelt es sich um Trojaner, die auf dem Rechner oder Smartphone von Opfern installiert wurden – oftmals landen die dort, weil die Besitzer etwa vermeintlich gecrackte Software installiert haben oder weil durch Sicherheitslücken in der genutzten Software eingeschleuste Malware sich einnisten konnte. Die schneiden dort mit, wenn sich die Opfer in Dienste einloggen, und schicken die Zugangsdaten an ihre Command-and-Control-Server. Oftmals landen die Daten dann in offen zugänglichen Cloudspeichern oder etwa in Telegram-Kanälen, wo sie andere Kriminelle sammeln und neu zusammenstellen sowie mit Daten aus älteren Lecks abgleichen und vermengen.

Solche Daten hat Synthient gesammelt. Have-I-Been-Pwned-Betreiber Troy Hunt hat nun die Synthient-Datensammlung aus dem April dieses Jahres erhalten. Nach dem Aufräumen – „Normalisieren“ und Deduplizeren nennt Hunt explizit in der Ankündigung – blieben aus den Milliarden Einträgen noch 183 Millionen einzigartige Zugänge übrig. Die umfassen die Webseite, auf der sie eingegeben wurden, sowie Nutzernamen und Passwort.

Auf HIBP auffindbar

Der Datensatz ist nun über die HIBP-Webseite durchsuchbar. Als Suchkriterien sind E-Mail-Adressen, Passwörter, Domains und die Website, auf der Zugangsdaten eingegeben wurden, verfügbar.

Bis Anfang dieses Jahres hatte das HIBP-Projekt lediglich Daten aus bekannten Datenlecks oder Einbrüchen von Organisationen in der Datenbank gesammelt. Seitdem hat Troy Hunt jedoch begonnen, auch die öffentlich aufgetauchten, von Infostealern entwendeten Daten aufzubereiten und zu ergänzen.

Die direkte Adresssuche soll solche Infostealer-Daten jedoch nicht zurückliefern. Da auch die Adressen dazugehören, wo die Zugangsdaten eingegeben wurden, könnten sonst die Privatsphäre der Opfer kompromittiert werden. Hunt nannte dazu als Beispiel, dass bei den Infostealer-Daten Domains mit Wörtern wie „Porn“, „Adult“ oder „xxx“ enthalten sind. Die Informationen können Interessierte sich jedoch an ihre E-Mail-Adresse senden lassen. Dafür ist eine Anmeldung am „Notify Me“-Dienst von HIBP nötig.

(dmk)

Nach der extralangen Folge zu Phrack nähert sich der Podcast wieder seinem Normalzustand an – nicht nur in der Länge, sondern auch inhaltlich: Die Hosts ärgern sich über Oracle, freuen sich über Signal und wundern sich über Geheimdienste. Alles wenig überraschend, aber dahinter stecken dennoch interessante Nachrichten.

Los geht es jedoch mit Leserfeedback und der Chatkontrolle. Die wurde zwar schon ausführlich in Folge 16 behandelt, aber die Politik lässt das Thema nun mal nicht los. Die Hosts iterieren – leicht verstimmt – warum die Chatkontrolle nach wie vor technisch unausgegoren ist, sowie unverhältnismäßig, gefährlich und vermutlich auch ineffektiv wäre.

Angriff auf Oracle

Danach wird die Laune leider nicht besser, denn Christopher erzählt von Angriffen auf Oracles E-Business-Suite und vor allem von Oracles Verhalten dazu. Das mutet weder professionell noch kundenfreundlich an. Beileibe nicht der problematischste, aber ein sehr illustrativer Aspekt daran ist, dass Oracle dem Angriff – der eine ganze Kaskade von ziemlich peinlichen Sicherheitslücken ausnutzt – nur eine einzelne CVE-Nummer zuordnet. Die Hosts halten nur mit Mühe die Contenance und vermuten weitere Fehler in der Software, die so mit Löchern gespickt scheint. Eine Annahme, die sich schon Stunden nach der Aufzeichnung bewahrheitete.

Nach so viel Frust können sich die Hosts zum Glück einem erfreulichen Thema zuwenden: Sylvester berichtet von Signals neuem Verschlüsselungsprotokoll SPQR, das auch vor zukünftigen Quantencomputern schützen soll. Die Hosts erörtern, welche Probleme Signal damit lösen möchte, warum die Lösung alles andere als trivial ist und welchen Aufwand der Messenger betreibt, damit das neue Protokoll korrekt und fehlerfrei funktioniert.

Hybride Verschlüsselung

SPQR nehmen Christopher und Sylvester auch zum Anlass, etwas allgemeiner über „hybride“ Verschlüsselungen zu sprechen, was in diesem Kontext Systeme bezeichnet, die ein klassisches Verfahren mit einem Post-Quanten-Verfahren kombiniert. Erstere sind wohlbekannt und -erforscht, während letztere vor Angriffen mit Quantencomputern schützen. Deshalb empfehlen viele relevante Stellen und Experten solche Kombinationen. Anders sehen das die Geheimdienste NSA und GCHQ, allerdings mit Argumenten, die die Hosts kaum nachvollziehen können.

Die neueste Folge von „Passwort – der heise security Podcast“ steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.

(syt)

Vor elf Jahren hat der Europäische Gerichtshof die Vorratsdatenspeicherung gekippt. Seitdem gibt es keine EU-weite Vorratsdatenspeicherung. Jetzt arbeiten die EU-Institutionen an einem neuen Gesetz.

Die EU-Kommission hat bis Juni eine Sondierung und bis September eine Konsultation durchgeführt. Es wird erwartet, dass die Kommission Anfang 2026 ein neues Gesetz vorschlägt.

Standortdaten und Over-the-Top

Die EU-Staaten machen ebenfalls Druck. Die dänische Ratspräsidentschaft hat vor kurzem eine Fragebogen verschickt. Wir veröffentlichen das Dokument. Die Antworten sollen der EU-Kommission beim Schreiben des Gesetzentwurfs helfen.

Die Fragen weisen weit über die in Deutschland diskutierte Vorratsdatenspeicherung von IP-Adressen bei Internet-Zugangs-Anbietern hinaus. Dänemark fragt, ob die EU auch Dienste-Anbieter wie „Over-the-Top“-Dienste verpflichten soll – also etwa Messenger, Videos und Spiele. Dänemark fragt auch nach Verkehrsdaten und Standortdaten – diese sind hochsensibel.

Darüber hinaus fragt Dänemark die EU-Staaten auch nach anlassbezogener Speicherung mit Quick Freeze, Speicher-Dauer, Zugangsregeln und Straftaten, für die Vorratsdaten genutzt werden sollen.

Messenger und Verschlüsselung

Die Vorratsdatenspeicherung ist nur ein Baustein im größeren Wunsch nach „Zugang zu Daten für eine wirksame Strafverfolgung“. Zu diesem Thema hatte eine einseitige Arbeitsgruppe getagt und Forderungen erstellt. Das Generalsekretariat des Rates hat jetzt einen aktuellen Stand verschickt. Wir veröffentlichen auch dieses Dokument.

Die Sicherheitsbehörden wünschen sich den Zugang zu verschiedenen Daten. An erster Stelle steht auch hier die Vorratsdatenspeicherung von Verbindungsdaten. Daneben wünschen sie eine Kommunikationsüberwachung auch bei „Messaging-Apps wie WhatsApp, Facebook Messenger und WeChat“. Und schließlich fordern sie den Zugang zu verschlüsselten Inhalten, auch bei „Ende-zu-Ende-Verschlüsselung“.

Die dänische Ratspräsidentschaft ruft die EU-Staaten dazu auf, ihre Forderungen in diese Debatte einzubringen.

Ausweis für Mobilfunk

Die EU-Staaten diskutieren außerdem den Ausweis-Zwang für Mobilfunk-Anschlüsse. Noch 2013 sagte die EU-Kommission, dass „es keine Beweise für die Wirksamkeit dieser Maßnahme für die Strafverfolgung gibt“. Das Bundesamt für Sicherheit in der Informationstechnik hat die „Verwendung von Prepaid-Karten zur Anonymisierung“ sogar empfohlen.

Trotzdem hat unter anderem Deutschland 2016 anonyme Prepaid-Karten verboten. Behörden fragen diese Daten jede Sekunde ab.

Staaten wie Polen wünschen sich EU-weite Vorschriften zur Registrierung von SIM-Karten. Anfang des Jahres hat die polnische Polizei einen Vortrag dazu gehalten. Wir veröffentlichen die Präsentation.

Dafür haben sie die Regeln von 37 europäischen Staaten untersucht. 16 Staaten haben eine Registrierungspflicht, darunter Deutschland und Italien. 13 Staaten haben keine Registrierungspflicht, darunter Großbritannien und die Niederlande. Für acht Staaten hat Polen keine Daten gefunden.

Polen schließt daraus, dass es eine EU-weite Registrierungspflicht braucht. Bekämpfen wollen sie damit unter anderem falsche Bomben-Drohungen und Betrug an älteren Menschen. Es ist möglich, dass ein neues EU-Gesetz zur Vorratsdatenspeicherung auch diese Speicherpflicht enthält.