Sunnyvale – Beim Internet-Konzern Yahoo ist ein weiterer gigantischer Datendienstahl bekanntgeworden, diesmal geht es sogar um Informationen zu mehr als einer Milliarde Nutzerkonten. Dabei seien die Angreifer im August 2013 voraussichtlich an Namen, E-Mail-Adressen, Telefonnummern, Geburtstage und unkenntlich gemachte Passwörter gekommen, teilte Yahoo am Mittwoch mit. Gemessen an der Zahl betroffener Nutzerkonten ist es der bislang grösste bekanntgewordene Datenklau überhaupt.
In einigen Fällen könnten auch verschlüsselte und unverschlüsselte Sicherheits-Fragen und -Antworten betroffen gewesen sein, hiess es. Solche Fragen – etwa nach dem Namen des ersten Haustiers oder der Lieblingsfarbe – kommen zum Einsatz, wenn ein Nutzer sein Passwort vergisst. Unter Umständen können sie für Kriminelle also genauso viel wert sein wie das Passwort selbst. Ausserdem gibt es die Gefahr, dass Nutzer auch bei anderen Diensten die gleichen Kombinationen aus Fragen und Antworten ausgewählt haben.
Bereits im September hatte Yahoo einen Datendiebstahl eingeräumt, bei dem Ende 2014 mindestens 500 Millionen Nutzerprofile betroffen gewesen seien. Es ging um dieselbe Art von Daten. Nach derzeitigem Kenntnisstand seien keine Passwörter im Klartext oder Kreditkarten- und Bankkonto-Informationen entwendet worden, hiess es auch diesmal wieder. Die Bezahldaten würden in einem anderen System aufbewahrt.
Alle Yahoo-Nutzer betroffen?
Unklar blieb, ob mit mehr als einer Milliarde Nutzerkonten nahezu alle damaligen Profile bei Yahoo betroffen sein könnten. Das Unternehmen hatte schon länger keine Angaben zur Gesamtzahl der Nutzer gemacht – eine Person kann dabei auch beliebig viele Konten anlegen.
Auch scheint sich der Verdacht zu bestätigen, dass sich die Angreifer dauerhaften Zugang zu Daten einzelner Nutzer verschafft haben könnten. Sie hätten sich Zugang zum Yahoo-Softwarecode verschafft, mit dem sie sogenannte Cookies fälschen konnten, teilte Yahoo mit. Das sind kleine Software-Elemente, die im Webbrowser abgelegt werden und zum Beispiel dafür sorgen können, dass man in sein E-Mail-Fach kommt, ohne jedes Mal ein Passwort eingeben zu müssen.
Der Konzern vermute, dass die Attacken von den selben Angreifern wie 2014 im Auftrag eines Staates ausgingen, hiess es. Welchem Land sie zugerechnet werden, ist bis heute nicht mitgeteilt worden.
Der nun bekanntgewordene Hackerangriff fiel nicht Yahoo selbst auf. Sicherheitsbehörden unterrichteten das Unternehmen darüber, dass sie an Daten gekommen seien, die angeblich von Yahoo stammen. Das bestätigte sich bei einer Überprüfung.
Verizon prüft Deal
Der Telekom-Konzern Verizon bekräftigte nach dem neuen Eingeständnis, der im Juli ausgehandelte Kauf des Yahoo-Webgeschäfts für 4,8 Milliarden Dollar komme auf den Prüfstand. Verizon hatte zuvor bereits erklärt, bei Abschluss des Deals nicht über den Verdacht eines Datendiebstahls informiert worden zu sein. Yahoo soll damals bereits Hinweisen auf den Hack bei 500 Millionen Nutzerkonten nachgegangen sein.
Die Entdeckung des Milliarden-Datendiebstahls soll mitten in die Nachverhandlungen zwischen Yahoo und Verizon geplatzt sein. Dem «Wall Street Journal» zufolge ging es dabei um die Abschätzung möglicher Kundenforderungen zum zunächst bekanntgewordenen Hacker-Angriff. Verizon habe dabei aber nicht versucht, den eigentlichen Kaufpreis zu drücken, hiess es unter Berufung auf informierte Personen. Jetzt wolle Verizon zunächst einmal sehen, wie die negativen Nachrichten das Nutzerverhalten beeinflussen. (awp/mc/ps)
