Im Internet symbolisiert unsere E-Mail-Adresse unsere Identität. Mit ihr rufen wir nicht nur unsere E-Mails ab, wir nutzen sie häufig auch, um uns in Onlineshops, Social-Media-Kanälen und bei Webdiensten anzumelden. Haben wir das Passwort vergessen, lassen wir uns an diese E-Mail-Adresse ein neues zusenden. Alles ganz einfach, aber bei weitem nicht risikofrei - im Gegenteil.
Das musste vor kurzem auch der beliebte Schauspieler und Münsteraner Tatort-Kommissar Axel Prahl erleben. Denn er kennt diesen Tatbestand ganz real und aus der Perspektive des Opfers. Wie bekannt wurde, hat ein Betrüger die digitale Identität des Tatort-Stars gestohlen und kauft seitdem auf großem Fuß auf dessen Kosten ein. Doch wie war dies möglich? Und kann dies auch uns treffen? Genau dies haben nun Forscher vom Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie (FKIE) in Bonn untersucht.
E-Mail-Adressen werden "recycelt"
Die Forscher haben dabei eine Sicherheitslücke entdeckt, die viele von uns unwissentlich betrifft und die sich Angreifer leicht zunutze machen können: Viele von uns sammeln im Laufe der Zeit, privat wie beruflich, eine ganze Reihe von E-Mail-Adressen und geben diese irgendwann aber wieder auf. Manchmal auch nicht ganz freiwillig, denn einige Anbieter kostenloser E-Mail-Adressen geben die bei ihnen angemeldeten Adressen nach einem bestimmten Zeitraum ihrer Nichtnutzung wieder frei und vergeben sie erneut.
Je nachdem, wie lange der betreffende Account zu diesem Zeitpunkt bereits brachliegt, bekommt der vorherige Adressinhaber davon unter Umständen nicht einmal etwas davon mit. Betroffen von diesem E-Mail-Adressen-Recycling sind viele: Die Auswertung von Datenbeständen gängiger Freemail-Provider ergab, dass rund 33,5 Prozent der Freemail-Adressen nicht mehr gültig sind. In einer Nutzerstudie gaben rund 60 Prozent der Teilnehmer an, über eine E-Mail-Adresse zu verfügen, die sie aktuell nicht mehr nutzen.
Datenklau mit alten Adressen
Das Problem dabei: Genau diese Adressen bieten Angreifern leichtes Spiel. Denn indem sie diese recycelten E-Mail-Adressen systematisch bei Bankseiten oder Onlineshops testen, können sie Accounts kapern und an sensible Daten der Vorbesitzer, wie zum Beispiel Bankdaten, gelangen. Das wiederum können sie dann für kriminelle Machenschaften oder einen teuren Identitätsdiebstahl nutzen – so wie bei Axel Prahl geschehen. In einem Testangriff der Forscher waren sie in 18 Prozent der Fälle erfolgreich.
Theoretisch könnte man sich als Nutzer davor schützen, indem man bei einem E-Mail-Adresswechsel systematisch alle jemals mit der alten E-Mail-Adresse angelegten Accounts ändert oder löscht. Aber in der Praxis ist das kaum machbar: "Welcher Nutzer hat schon einen vollständigen Überblick darüber, mit welchen Daten er über seine E-Mail-Adresse wo angemeldet ist?", sagt Matthias Wübbeling vom FKIE. "Und wer kann somit schon lückenlos Sorge dafür tragen, dass auch jeder jemals auf die abgelegte E-Mail-Adresse angemeldete Webdienst auf die neue Adresse umgestellt oder gekündigt wird?"
Was schützt?
Was aber schützt dann vor diesen sogenannten "Use-After-Freemail"-Angriffen? Nach Ansicht der Forscher sind hier vor allem die Freemail-Anbieter gefragt: Sie müssten das Recycling alter E-Mail-Adressen einfach unterbinden. Die Forscher haben die wichtigsten Freemail-Provider bereits über diese Sicherheitslücke informiert – zusammen mit Empfehlungen, wie sie ihre Kunden und Kundendaten künftig besser schützen können. Dass dies problemlos geht, lebt beispielsweise Google vor: Der Konzern vergibt E-Mail-Adressen grundsätzlich nur ein einziges Mal, anschließend sind sie nie wieder erhältlich.
Eine weitere effektive Schutzmaßnahme stellt die Zwei-Faktor-Authentifizierung dar. Die ist zwar schon lange bekannt, wird in der Praxis jedoch kaum angewandt. Nach Ansicht der Experten besteht daher generell ein Bedarf an besseren Schutzmaßnahmen. "Letztlich ist das 'Use-After-FreeMail'-Szenario nur eines von vielen. Es lässt sich auf etliche andere Bereiche, wie beispielsweise auf abgelegte Mobilfunknummern oder Kfz-Kennzeichen, übertragen. Angriffe kommen auch hier vor", erklärt Wübbeling. "Für die Einführung geeigneter Schutzmaßnahmen besteht daher dringender Handlungsbedarf.
