Facebook bringt hunderte Millionen User-Passwörter in Gefahr – auch Instagram betroffen
Der bekannte IT-Sicherheitsforscher Brian Krebs hat am Donnerstag eine Bombe platzen lassen: Facebook habe die Passwörter von hunderten Millionen Usern so gespeichert, dass sie von Mitarbeitern eingesehen werden konnten.
Statt die heiklen Informationen verschlüsselt abzulegen, seien die Passwörter im Klartext abrufbar gewesen. Das gilt als eine der Todsünden, wenn es um Datensicherheit geht.
In seinem Blog Krebs on Security schreibt der Sicherheitsforscher, dass die Probleme seit Jahren bestanden hätten und zum Teil bis 2012 zurückgingen. Eine laufende Untersuchung habe laut Facebook keine Hinweis ergeben, dass Mitarbeiter den Zugang zu den Daten missbraucht hätten.
Facebook hat am Donnerstag mit einer ausführlichen Stellungnahme reagiert und zugegeben, die Passwörter von Millionen Nutzern in unverschlüsselter Form auf seinen internen Servern gespeichert zu haben. In dem Newsroom-Beitrag mit dem Titel «Keeping Passwords Secure» wird versichert, dass die Probleme inwischen behoben worden seien.
Die Passwörter hätten eigentlich auch intern unkenntlich sein müssen. Der Fehler sei bei einer Routine-Prüfung im Januar aufgefallen. Wann die schwere Sicherheitslücke geschlossen wurde, will das Unternehmen nicht verraten.
Auch Instagram-User betroffen
Laut Schätzung von Facebook müssen zahlreiche Betroffene in nächster Zeit mit einer Mitteilung rechnen:
- Hunderte Millionen von Facebook Lite, das ist eine abgespeckte Version für Nutzer des Online-Netzwerks in Regionen mit langsamen Internet-Leitungen. Die Android-App wird vom US-Konzern herausgegeben.
- Dutzende Millionen normale Facebook-User.
- Zehntausende Instagram-User.
Es ist davon auszugehen, dass Facebook die Betroffenen auffordern wird, ihre Passwörter zu ändern. Und es gilt den Sicherheits-Grundsatz in Erinnerung zu rufen, nicht das gleiche Passwort für mehrere Dienste zu verwenden. Stattdessen sollte man mithilfe eines Passwort-Managers sichere unterschiedliche Passwörter festlegen und verwalten.
Laut Facebook-Insider machten rund 2000 Entwickler Abfragen
Kurz vor der Facebook-Mitteilung hatte Brian Krebs in seinem Blog von dem Fall berichtet. Er schrieb unter Berufung auf einen nicht namentlich genannten Facebook-Insider, mehr als 20'000 Mitarbeiter des Online-Netzwerks hätten Zugriff auf die im Klartext gespeicherten Passwörter haben können. Insgesamt könnten 200 bis 600 Millionen Facebook-Nutzer betroffen sein.
Die Archiv-Dateien mit unverschlüsselten Passwörtern gingen bis ins Jahr 2012 zurück, hiess es bei Krebs weiter. Laut Logdaten hätten rund 2000 Entwickler rund neun Millionen interne Abfragen für Daten-Elemente gemacht, die ungeschützte Passwörter enthielten.
Facebook machte dazu zunächst keine Angaben.
Mit Material der Nachrichtenagentur SDA
(dsc)
