
Tatort: Internet, Verbrechen: Identitätsdiebstahl. Der beliebte Schauspieler und Münsteraner Tatort-Kommissar Axel Prahl kennt diesen Tatbestand – und zwar ganz real und aus der Perspektive des Opfers. Wie aktuell bekannt wurde, hat ein Betrüger die digitale Identität des Tatort-Stars gestohlen und kauft seitdem auf großem Fuß online auf dessen Kosten ein. Treffen kann dieses Szenario beinahe jeden E-Mail-Nutzer. Wissenschaftler des Fraunhofer-Instituts für Kommunikation, Informationsverarbeitung und Ergonomie FKIE, der Rheinischen Friedrich-Wilhelms-Universität Bonn und der Technischen Universität Graz haben jetzt offengelegt, dass das Risiko, das insbesondere von abgelegten und erneut vergebenen kostenlosen E-Mail-Adressen ausgeht, für Verbraucher enorm groß ist.
Im Internet symbolisiert unsere E-Mail-Adresse unsere Identität. Mit ihr authentifizieren wir uns in Onlineshops, Social-Media-Kanälen und bei Webdiensten. Haben wir das Passwort vergessen, lassen wir uns dorthin ein neues zusenden. Alles ganz einfach, aber bei weitem nicht risikofrei. Im Gegenteil. Viele von uns sammeln im Laufe der Zeit zudem, privat wie beruflich, eine ganze Reihe von E-Mail-Adressen und geben diese beizeiten wieder zurück. Manchmal auch nicht ganz freiwillig, denn einige Anbieter kostenloser E-Mail-Adressen, sog. FreeMail Provider, geben die bei ihnen angemeldeten Adressen nach einem bestimmten Zeitraum ihrer Nichtnutzung wieder frei und vergeben sie erneut. Je nachdem, wie lange der betreffende Account zu diesem Zeitpunkt bereits brachliegt, bekommt der vorherige Adressinhaber davon unter Umständen nicht einmal etwas mit.
Problematisch hierbei ist, dass genau diese Adressen Angreifern leichtes Spiel bieten, um an sensible Daten ihrer Vorbesitzer, wie zum Beispiel Bankdaten, zu gelangen und diese für kriminelle Machenschaften zu nutzen. »Denn welcher Nutzer hat schon einen vollständigen Überblick darüber, mit welchen Daten er über seine E-Mail-Adresse wo angemeldet ist? Und wer kann somit schon lückenlos Sorge dafür tragen, dass auch jeder jemals auf die abgelegte E-Mail-Adresse angemeldete Webdienst auf die neue Adresse umgestellt oder gekündigt wird«, erläutert Matthias Wübbeling, IT-Sicherheitsexperte und Wissenschaftler am Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie FKIE in Bonn. Dies aber stelle eine Sicherheitslücke dar, die sich Angreifer zunutze machen.
Im Rahmen einer Sicherheitskonferenz Anfang Juli 2017 in Bonn sei er mit Kollegen von der Technischen Universität Graz über dieses Thema ins Gespräch gekommen, berichtet Wübbeling. Gemeinsam stellten die Wissenschaftler fest, dass sie an thematisch verwandten Fragestellungen forschen und dass eine Bündelung der Kräfte Aufschluss über die Reich- und Tragweite des soeben diskutierten Problems geben könnte. Das so aus purem Forscherinteresse heraus geborene Projekt wurde jetzt mit der Veröffentlichung eines Berichts unter dem Titel »Use-After-FreeMail: Generalizing the Use-After-Free Problem and Applying it to Email Services« abgeschlossen. Dieser wird auf der 13. ACM Asia Conference on Computer & Communications Security 2018 in Korea vorgestellt.
Die Bezeichnung »Use-After-FreeMail« ist dabei ein Wortspiel, das sich die Wissenschaftler zunutze machen. Denn der Begriff »Use-After-Free« stammt eigentlich aus dem Programmierungsbereich. Auf das Szenario der FreeMails übertragen steht es für die Problematik zu früh freigegebener E-Mail-Adressen und sich daraus ergebender Sicherheitslücken und Angriffsmöglichkeiten. Und die sind nach Erkenntnis der Forscher enorm groß und bislang ungelöst: So ergab die Auswertung eines bereits vorliegenden Datenbestands an FreeMail-Adressen, dass rund 33,5 Prozent von ihnen nicht mehr gültig sind. Weit mehr als bestätigt wurde dieses Ergebnis durch eine im Rahmen des Projekts durchgeführte Nutzerstudie, bei der sogar rund 60 Prozent der Teilnehmer angaben, über eine E-Mail-Adresse zu verfügen, die sie aktuell nicht mehr nutzen. Ein Testangriff auf diese war in 18 Prozent der Fälle erfolgreich.
Diese und weitere Ergebnisse haben die Forscher den wichtigsten FreeMail Providern mitgeteilt – zusammen mit Empfehlungen, wie sie ihre Kunden und Kundendaten künftig besser schützen können. Eine wichtige und sehr wirksame Möglichkeit lebt beispielsweise Google vor: Der Konzern vergibt E-Mail-Adressen grundsätzlich nur ein einziges Mal, anschließend sind sie nie wieder erhältlich. Eine weitere effektive Schutzmaßnahme stellt die Zwei-Faktor-Authentifizierung dar. Die ist zwar schon lange bekannt, wird in der Praxis jedoch kaum angewandt. Sicherheitsexperte Wübbeling: »Letztlich ist das ›Use-After-FreeMail‹-Szenario nur eines von vielen. Es lässt sich auf etliche andere Bereiche, wie beispielsweise auf abgelegte Mobilfunknummern oder Kfz-Kennzeichen, übertragen. Angriffe kommen auch hier vor. Für die Einführung geeigneter Schutzmaßnahmen besteht daher dringender Handlungsbedarf.«
Fachartikel

ChatGPT bei der Arbeit nutzen? Nicht immer eine gute Idee

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Aufkommende Trends in der externen Cyberabwehr

Cyber-Sicherheit für das Management – Handbuch erhöht Sicherheitsniveau von Unternehmen

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen

TXOne Networks und Frost & Sullivan veröffentlichen Jahresbericht 2022 über aktuelle Cyberbedrohungen im OT-Bereich
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
