«Hey, warum steht meine Domain in der Liste?!»

Sind Sie allenfalls sogar selbst Betreiber einer dieser Domains? Dieser Artikel ist nicht als Pranger gedacht, sondern als Hilfe für die User, die sich im Cit0day-Breach wieder finden und gerne wüssten, bei welcher Domain wohl die Adresse abgegriffen wurde.

Solche Datenpannen können passieren. Sogar aus dem Forum des Sicherheitsanbieters ZoneAlarm wurden durch einen Angreifer Benutzerdaten entwendet. Wir stellen hier nicht die Behauptung auf, dass die von Troy Hunt analysierten Daten alle zu 100% echt sind. Wir neigen aber aufgrund seiner Analyse dazu, die Daten für plausibel zu halten. Und falls es einen «Cyber-Einbruch» in die Datenbank Ihrer registrierten Nutzer gegeben hat, wissen wir nicht, wann dieser stattgefunden hat. Es kann auch mehrere Jahre her sein. Prüfen Sie, ob Sie auf Ihrem Server aktuelle Software laufen haben, denn auch WordPress, Drupal, Typo3 und wie die ganzen Content-Management-Systeme für Websites alle heissen, haben haufenweise Sicherheitslücken, die gestopft werden müssen. Sorgen Sie dafür, dass keine Zahlungsinformationen zugänglich sind. Sorgen Sie dafür, dass die Passwörter nur verschlüsselt gespeichert werden. Stellen Sie sicher, dass nur jene Benutzerkonten Zugang zu solchen Daten haben, die dies auch wirklich brauchen. Setzen Sie die Kennwörter der betroffenen User zurück, sofern nicht schon erledigt.

Anbieter, die in ihren eigenen Sites einen Breach (Datenklau durch einen Angreifer) feststellen, sollten zudem nicht nur die eigene Nutzerschaft, sondern auch den Datenschutzbeauftragten darüber informieren. Derzeit ist letzteres zwar noch nicht Pflicht, aber das wird sich laut Jurist Martin Steiger in der nächsten Revision des Schweizer Datenschutzgesetzes ändern.

Einige der Sites haben wir im Sinne einer Stichprobe in einem geschützten Browser geöffnet. Viele davon sind heute gar nicht mehr erreichbar oder begrüssen einen mit Fehlermeldungen. Einige der noch erreichbaren Sites schienen allerdings sogar die minimalen Sicherheitsmassnahmen zu vernachlässigen, denn diese waren nur via http erreichbar – nicht via https. Der Fall zeigt: Viele Webseitenbetreibende haben punkto Sicherheit noch viel Arbeit vor sich.