Zugangsdaten von Parlamentariern im Netz aufgetaucht

Die Namen von 37 Schweizer Parlamentariern sind in einer Liste mit gestohlenen Zugangsdaten aufgetaucht. Von links bis rechts sollen die Betroffenen das gesamte politische Spektrum abdecken, wie der Tages-Anzeiger berichtet. Die Nutzernamen und Passwörter stammen laut dem Bericht von beruflichen und privaten Quellen – darunter E-Mail-Konten, Linkedin-Profilen sowie Zugangsdaten von Filesharing-Diensten.

Die Liste kommt, so schreibt der Tages-Anzeiger, von der Zürcher Firma Kaduu. Das Unternehmen sei darauf spezialisiert, im Darknet nach gestohlenen Zugangsdaten zu suchen. Abgesehen davon hält sich der Beitrag bedeckt, was Details zu Kaduu betrifft.

Erst 2017 gegründet

Einen Eintrag im zentralen Firmenindex hat Kaduu nicht und auch auf Moneyhouse wird man nicht fündig. Die Redaktion fand einzig eine Website der Zürcher Firma. Laut dieser wurde Kaduu 2017 gegründet.

Die Firma bietet diverse Dienstleistungen an, darunter etwa Deep-Web-Analysen, um zu überprüfen, was für Informationen in den öffentlichen und geschlossenen Netzwerken gelandet sind, sowie Cyber Threat Monitoring und Health Checks der IT-Sicherheitsinfrastruktur.

Hinter der Domain steckt gemäss Switch der Zürcher Sicherheitsanbieter Lucy Security: Der Eintrag von Switch listet den Gründer von Lucy, ein ehemaliger Infoguard-Mitarbeiter, als den Besitzer von www.kaduu.ch.

Bereits während Gründung operativ

Beide Unternehmen, Lucy Security und Kaduu, befinden sich derzeit noch in der Gründung, wie der Besitzer der Domain auf Anfrage sagt. Kaduu beschäftige aber bereits zwölf Festangestellte und bediene auch schon die ersten Kunden – in der Schweiz und international. Aus Sicherheitsgründen möchte der Gründer keine Namen nennen.

Die beiden Unternehmen sollen sich quasi ergänzen. Lucy bietet eine Softwarelösung, mit der Unternehmen ihre Mitarbeiter im Bereich Security sensibilisieren und auch trainieren können. Bis 1200 User sei die Nutzung der Lösung gratis. Sie sei ein "günstiges Einstiegsmodell" für Firmen, um ihre Datenabflüsse in den Griff zu bekommen. Die Daten, die dennoch im Deep Web landen, soll dann wiederum Kaduu aufspüren.

Kaduu sammelt im Deep Web nach gestohlenen Zugangsdaten. Je älter die Zugangsdaten sind, desto höher ist die Wahrscheinlichkeit, dass ein Nutzer sein Passwort bereits geändert hat. Mit zunehmendem Alter sinken auch die Preise, die ein Hacker dafür auf dem Schwarzmarkt verlangen kann.

Alte Datensätze sind gemäss dem Bericht daher auch oft umsonst zu finden. Diese sammelt Kaduu automatisch ein, wie der Tages-Anzeiger schreibt. Gemäss dem Gründer würden die Mitarbeiter von Kaduu zum Teil auch "under cover" arbeiten und Hehler im Darknet kontaktieren.

Aktualität der Daten fragwürdig

Die Zugangsdaten, auf die sich der Tages-Anzeiger-Bericht bezieht, dürften wohl zu den günstigeren gehören. Der Bericht nennt drei betroffene Parlamentarier beim Namen. In allen drei Fällen stünden die Datenlecks in Zusammenhang mit einem Dropbox-Konto des jeweiligen Ratsmitglieds.

Der Filesharing-Anbieter Dropbox wurde 2012 im grossen Stil gehackt. Unbekannte entwendeten damals 68 Millionen Anmeldedaten. Bekannt wurde dies jedoch erst vor einem Jahr. Ende August 2016 bestätigte Dropbox den Hack und rief in einem Blogeintrag sämtliche Nutzer auf, ihre Zugangsdaten zu ändern.

So sagen die drei genannten Parlamentarier gegenüber dem Tages-Anzeiger auch alle das gleiche: Entweder das Konto wird nicht mehr verwendet oder das Passwort wurde geändert.

Mehrfache Verwendung auch bei alten Passwörtern ein Problem

Auch alte Datensätze könnten aber zum Problem werden, etwa dann, wenn Parlamentarier ihre Passwörter mehrfach verwenden. Etwa wenn sie dieselben Passwörter für ihre privaten Dropbox-Accounts und ihre offiziellen E-Mail-Adressen verwenden.

Ratsmitglieder würden daher immer und immer wieder dazu ermahnt, unterschiedliche Passwärter zu nutzen, zitiert der Bericht die Parlamentsdienste. Genau so eine Aufforderung, heisst es in dem Bericht, hätten die Parlamentarier just wieder erhalten.

Der Bericht kommt nur Tage nachdem das Parlament die Cyber-Abwehr des Bundes kritisiert hatte. Gegen den Willen des Bundesrats hatte der Ständerat im September 2017 für den Aufbau eines Cybersecurity-Kompetenzzentrums entschieden. Knapp eine Woche später hatte sich der Ständerat zudem noch für den Aufbau einer Cyber-Rekrutenschule ausgesprochen.

Beide Geschäfte sind derzeit beim Nationalrat.