Facebook: Hunderte Millionen User-Passwörter in Gefahr

Facebook bringt hunderte Millionen User-Passwörter in Gefahr – auch Instagram betroffen

Die heiklen Daten sollen für Mitarbeiter einsehbar gewesen sein. Der US-Konzern versucht einmal mehr zu beschwichtigen ...

Der bekannte IT-Sicherheitsforscher Brian Krebs hat am Donnerstag eine Bombe platzen lassen: Facebook habe die Passwörter von hunderten Millionen Usern so gespeichert, dass sie von Mitarbeitern eingesehen werden konnten.

Statt die heiklen Informationen verschlüsselt abzulegen, seien die Passwörter im Klartext abrufbar gewesen. Das gilt als eine der Todsünden, wenn es um Datensicherheit geht.

In seinem Blog Krebs on Security schreibt der Sicherheitsforscher, dass die Probleme seit Jahren bestanden hätten und zum Teil bis 2012 zurückgingen. Eine laufende Untersuchung habe laut Facebook keine Hinweis ergeben, dass Mitarbeiter den Zugang zu den Daten missbraucht hätten.

Facebook hat am Donnerstag mit einer ausführlichen Stellungnahme reagiert und zugegeben, die Passwörter von Millionen Nutzern in unverschlüsselter Form auf seinen internen Servern gespeichert zu haben. In dem Newsroom-Beitrag mit dem Titel «Keeping Passwords Secure» wird versichert, dass die Probleme inwischen behoben worden seien.

Die Passwörter hätten eigentlich auch intern unkenntlich sein müssen. Der Fehler sei bei einer Routine-Prüfung im Januar aufgefallen. Wann die schwere Sicherheitslücke geschlossen wurde, will das Unternehmen nicht verraten.

«Um das klarzustellen, diese Passwörter waren für niemanden ausserhalb von Facebook sichtbar, und wir haben bisher keine Beweise dafür gefunden, dass sie jemand intern missbraucht oder unsachgemäss auf sie zugegriffen hat.»

quelle: newsroom.facebook.com

Auch Instagram-User betroffen

Laut Schätzung von Facebook müssen zahlreiche Betroffene in nächster Zeit mit einer Mitteilung rechnen:

• Hunderte Millionen von Facebook Lite, das ist eine abgespeckte Version für Nutzer des Online-Netzwerks in Regionen mit langsamen Internet-Leitungen. Die Android-App wird vom US-Konzern herausgegeben.
• Dutzende Millionen normale Facebook-User.
• Zehntausende Instagram-User.

Es ist davon auszugehen, dass Facebook die Betroffenen auffordern wird, ihre Passwörter zu ändern. Und es gilt den Sicherheits-Grundsatz in Erinnerung zu rufen, nicht das gleiche Passwort für mehrere Dienste zu verwenden. Stattdessen sollte man mithilfe eines Passwort-Managers sichere unterschiedliche Passwörter festlegen und verwalten.

Laut Facebook-Insider machten rund 2000 Entwickler Abfragen

Kurz vor der Facebook-Mitteilung hatte Brian Krebs in seinem Blog von dem Fall berichtet. Er schrieb unter Berufung auf einen nicht namentlich genannten Facebook-Insider, mehr als 20'000 Mitarbeiter des Online-Netzwerks hätten Zugriff auf die im Klartext gespeicherten Passwörter haben können. Insgesamt könnten 200 bis 600 Millionen Facebook-Nutzer betroffen sein.

Die Archiv-Dateien mit unverschlüsselten Passwörtern gingen bis ins Jahr 2012 zurück, hiess es bei Krebs weiter. Laut Logdaten hätten rund 2000 Entwickler rund neun Millionen interne Abfragen für Daten-Elemente gemacht, die ungeschützte Passwörter enthielten.

Facebook machte dazu zunächst keine Angaben.

Mit Material der Nachrichtenagentur SDA

(dsc)