Monat: September 2014

Die ursprünglichen Vermutung, dass die Hacker die iCloud-Accounts durch Brute-Force-Attacken geknackt hätten, hat sich nicht bestätigt. Apple verneint einen entsprechenden Angriff über die Find-my-phone-Funktion. Stattdessen kamen die Hacker wohl über eine Phishing-Attacke oder über erratene Sicherheitsfragen an die Accounts.

Dies zeigt, wie fragil die Authentifizierungsmechanismen im Internet sind. Die gesamte Sicherheit und Online-Identität hängt von einem Passwort ab. Hier verwendet der bequeme Internetnutzer oft viel zu leichte Kennwörter und nicht selten dasselbe für mehrere Dienste. Dieses Passwort gibt der Nutzer auch viel zu leichtsinnig Preis, indem er etwa vermeintlich vom Betreiber des Dienstes stammende E-Mails öffnet und seine Zugangsdaten auf gefälschten Webseiten eingibt.

Die zweite Angriffsmöglichkeit bieten die Dienste, die noch Sicherheitsfragen für den Fall verwenden, dass sich der Nutzer nicht mehr an sein Passwort erinnert. Fragen wie „Name des Haustiers“ oder „Mädchenname der Mutter“ lassen sich in Zeiten des Internets und der sozialen Netzwerke teilweise leicht herausfinden, gerade bei Prominenten. Google etwa verwendet Sicherheitsfragen schon seit einiger Zeit nicht mehr, sondern bietet die Möglichkeit, die Kennwortwiederherstellung über SMS oder Telefon durchzuführen.

Nicht Apple trägt allein die Schuld dafür, dass mehrere Prominente Opfer eines Hacks wurden, bei dem sich die Täter Zugriff auf zahlreiche Fotos von den Promis verschafften, die diese zum Teil in äußerst intimen Momenten zeigen.

Zwar spricht viel dafür, dass die Fotos von Apples Cloudspeicherdienst iCloud stammten und dass die dort enthaltene FindMyPhone-Option nicht gegen Brute-Force-Attacken gesichert war, wie es eigentlich längst Standard sein sollte. Aber eine Brute-Force-Attacke ist auch nur dann erfolgreich, wenn die Promis einfache Passwörter verwendet haben, wie man sie in Worterbüchern findet. Dass man solche Passwörter oder einfache Variationen davon nicht verwenden sollte, ist kein Geheimnis einiger weniger Nerds, sondern hat sich nicht zuletzt infolge einiger jüngster berühmter Hacks herumgesprochen.

Der Schwachpunkt ist das Passwort. Man sollte ein kompliziertes Passwort verwenden, das man etwa aus den Anfangsbuchstaben eines sich selbst ausgedachten Satzes bildet. Verwendet man dann noch eine Zwei-Faktor-Authentifizierung – wie sie übrigens auch Apples iCloud anbietet, ist man vor solchen Angriffen schon sehr sicher.

Der Verzicht auf die Cloud ist keine Lösung. Denn die Cloud gehört längst zum digitalen Alltag, eine Vermeidung ist nur sehr schwer möglich. Und eine solche führt dazu, dass man wichtige Daten ganz verliert, wenn etwa das Smartphone gestohlen oder zerstört wird.