Mehr als 150 Journalistinnen und Journalisten berichten rund um die Uhr für Sie über das Geschehen in Deutschland und der Welt.
Zum journalistischen Leitbild von t-online.Passwörter geleakt Xing-Mitglieder müssen dringend ihre Login-Daten ändern
Zahlreiche Mitglieder des Karrierenetzwerks wurden aufgefordert ihr Passwort zu ändern. Offenbar tauchten im Netz Zugangsdaten auf, die vermutlich gestohlen wurden. Diese wurden von den Nutzern offenbar für mehrere Plattformen, darunter auch Xing genutzt. Die Plattform warnt nun betroffene Mitglieder.
Das Karriernetzwerk Xing warnt seine Mitglieder vor möglichen Hackerangriffen, weil ihre Login-Daten nicht mehr sicher seien. In einer Mail fordert der Dienst die Betroffenen auf, sofort ihr Passwort zu ändern. Andernfalls könnten unbefugte Dritte auf die Konten zugreifen, persönliche Daten auslesen und Spam-Nachrichten verschicken. Auch finanzieller Schaden sei zu befürchten.
Die Betroffenen wurden vorsorglich ausgeloggt. Beim nächsten Login müssen sie zuerst ihr Passwort ändern.
Die Nachricht weist darauf hin, dass die E-Mail-Adressen, beziehungsweise Nutzernamen und Passwörter der Xing-Nutzer in falsche Hände geraten sind und nicht mehr verwendet werden sollten. Die Hintergründe sind im Einzelnen unbekannt. Ein Xing-Sprecher sagte der t-online.de-Redaktion dazu: "Das Datenleck hat nicht auf unserer Seite stattgefunden. Im Rahmen der Kooperation mit der Universität Bonn informieren wir regelmäßig und proaktiv, wenn im Netz Datensätze gefunden wurden, die auch zum Einloggen bei XING genutzt werden." Von welcher Seite die Datensätze allerdings stammen, könne Xing nicht sagen.
Passwort-Check im Internet
Die Universität Bonn bietet mit dem Identity Leak Checker bereits seit einem Jahr eine Plattform, auf der Nutzer ihre Login-Daten einem Sicherheitscheck unterziehen können. Dahinter steckt eine riesige Datenbank mit geleakten Nutzerdaten aus verschiedenen Quellen.
Webseiten wie "Have I been pawned" oder der "Identity Leak Checker" des Hasso-Plattner-Instituts dienten als Vorbild. Nutzer können auf diesen Seiten ihre E-Mail-Adresse eingeben und erhalten eine Übersicht über alle ihre Konten und Dienste, die schon einmal von Hackerangriffen betroffen waren. Mehr dazu hier.
Die Universität Bonn wertet die Datensätze darüber hinaus aber auch automatisiert aus und teilt ihre Erkenntnisse im Rahmen eines Forschungsprojekts mit Unternehmen wie Xing. Auch die jetzt verschickte E-Mail-Warnung geht auf einen solchen automatischen Datenabgleich zurück, erklärt Timo Malderle von der Universität Bonn.
Die Datenlecks liegen womöglich Jahre zurück
Er könne zwar keine genaue Zahl sagen, doch die Warnung sei an "mehr als nur ein paar Nutzer" verschickt worden, sagt Malderle. Wo die Daten herkommen und wie sie an die Öffentlichkeit gelangen konnten, lässt sich kaum noch nachvollziehen. Xing selbst schließt eine Sicherheitslücke in den eigenen Systemen aus.
Die Datenlecks liegen womöglich schon Jahre zurück, erklärt Malderle. Das Protokoll der Sicherheitsforscher habe jedoch festgestellt, dass die geleakten Nutzerkennungen teilweise immer noch gültig seien. Damit hätten sich Datenhändler und Kriminelle problemlos in die betroffenen Xing-Konten einloggen können. Wer sein Passwort in der Zwischenzeit geändert hat, erhält hingegen keine Warnung.
Im Darknet gibt es einen regen Handel mit "geklauten" Nutzerkennungen. Die Täter profitieren davon, dass sich viele Nutzer auf mehreren Plattformen mit der gleichen Kombination aus E-Mail-Adresse und Passwort anmelden. "Bei LinkedIn gab es zum Beispiel vor ein paar Jahren einen großen Datenskandal", sagt Malderle. Er vermute, dass viele Nutzer für beide Karrierenetzwerke die gleiche Kennung verwendet haben.
Experten raten, für jedes Konto ein neues, sicheres Passwort zu verwenden und die Login-Informationen mit einem Passwortmanager zu verwalten. Welche Software die Stiftung Warentest empfiehlt, lesen Sie hier.
Unternehmen müssen Nutzer über Datenpannen informieren
Das Karrierenetzwerk Xing wird von der Firma New Work SE betrieben, einem Tochterunternehmen von Hubert Burda Media. Laut der europäischen Datenschutzgrundverordnung (DSGVO) sind Unternehmen verpflichtet, ihre Kunden innerhalb von maximal 72 Stunden zu benachrichtigen, wenn persönliche Daten von einer Datenpanne betroffen sind.
- Eigene Recherche
- Mail von XING
