In diesem Artikel
Ein Datenleck auf einer anderen Website wird erst dann zum Problem Ihres Unternehmens, wenn dasselbe Passwort ein Arbeitskonto öffnet. Um das zu verhindern, prüfen Sie die gesamte Domain mit einem Dienst wie Have I Been Pwned, ändern die betroffenen Passwörter, aktivieren MFA für alle Konten und stellen dem Team einen Passwort-Manager bereit. Das ist eine Aufgabe von wenigen Tagen und eine der Grundlagen der Managed Cybersecurity, die DataRoad - IT Services and Consulting bei ihren Kunden umsetzt.
Wie die E-Mail-Adressen des Teams in einem Datenleck landen
Mitarbeitende nutzen ihre geschäftliche E-Mail-Adresse, um sich bei Online-Tools, Konferenzen, Shops und Schulungsplattformen zu registrieren. Wird einer dieser Dienste angegriffen, wird die Liste mit E-Mail-Adressen und Passwörtern oft veröffentlicht oder verkauft. Das Unternehmen wurde nicht angegriffen, aber die Daten des Teams sind dort.
Ist das Passwort dieser Website identisch mit dem für Microsoft 365, hat der Angreifer bereits den Schlüssel. Er muss nichts erraten.
Credential Stuffing, in zwei Absätzen erklärt
„Credential Stuffing“ bedeutet, Tausende auf einer Website gestohlene Kombinationen aus E-Mail-Adresse und Passwort automatisch auf anderen Websites auszuprobieren. Es funktioniert, weil — wie die OWASP, eine internationale Stiftung für Anwendungssicherheit, erklärt — viele Menschen dieselbe E-Mail-Adresse und dasselbe Passwort wiederverwenden.
Stellen Sie sich vor, jemand findet den Schlüssel Ihres Ferienhauses und probiert ihn auf gut Glück an der Bürotür aus. Genau das passiert, nur per Software und in einer Größenordnung von Tausenden Versuchen.
Drei Prüfungen für diese Woche
Kann jede Mitarbeiterin und jeder Mitarbeiter die eigene Adresse prüfen?
Ja. Auf haveibeenpwned.com kann jeder seine Adresse suchen und sehen, in welchen bekannten Datenlecks sie vorkommt. Das ist ideal, um das Team zu sensibilisieren, liefert aber keinen Gesamtüberblick über das Unternehmen.
Wie prüft man die gesamte Domain?
Um alle Adressen @ihrunternehmen.de aufzulisten, verlangt Have I Been Pwned den Nachweis, dass Sie die Domain kontrollieren, auf einem von vier Wegen:
- DNS — TXT-Eintrag mit dem angegebenen Wert.
- Meta-Tag — Tag auf der Startseite der Website.
- Datei — kleine HTML-Datei, die auf den Server hochgeladen wird.
- E-Mail — Link an eine Administratoradresse der Domain.
Wer DNS oder Website verwaltet, erledigt das in Minuten. Laut der Preisseite des Dienstes verursacht das Monitoring für Domains mit bis zu 10 betroffenen Adressen keine Kosten; darüber ist ein kostenpflichtiges Abonnement nötig, gestaffelt nach Anzahl der Adressen.
Und die Passwörter selbst?
Derselbe Dienst betreibt Pwned Passwords, eine Datenbank bereits in Datenlecks aufgetauchter Passwörter, die sich abfragen lässt, ohne das Passwort gegenüber dem Prüfenden offenzulegen. Das NIST, das US-amerikanische Normungsinstitut, empfiehlt genau das: jedes neue Passwort mit Listen gängiger oder kompromittierter Passwörter abzugleichen und es abzulehnen, wenn es darauf steht. In Microsoft-Umgebungen gibt es gleichwertige Schutzmechanismen, die schwache oder bekannte Passwörter blockieren.
Reaktionsplan in vier Schritten
| Schritt | Maßnahme | Wann |
|---|---|---|
| 1. Sichtung | Betroffene Adressen, Datenlecks, in denen sie vorkommen, und deren Daten auflisten | Tag 1 |
| 2. Wechsel | Betroffene Passwörter ändern — zuerst Administratoren, Finanzen und Geschäftsleitung — und offene Sitzungen beenden | Tag 1 bis 3 |
| 3. MFA | MFA für alle Konten, ohne Ausnahme, und Sperrung alter Protokolle, die sie nicht unterstützen | Woche 1 |
| 4. Passwort-Manager | Ein Unternehmens-Passwort-Manager für jede Mitarbeiterin und jeden Mitarbeiter, um die Wiederverwendung zu beenden | Monat 1 |
- Mit Augenmaß wechseln Das NIST empfiehlt keine Pflichtwechsel alle 90 Tage mehr. Die aktuelle Leitlinie lautet, einen Wechsel nur bei Anzeichen einer Kompromittierung zu erzwingen — und das Auftauchen in einem Datenleck ist genau ein solches Anzeichen.
- MFA als zentrales Element Mit MFA reicht das gestohlene Passwort nicht mehr; es fehlt die Freigabe auf dem Smartphone. Laut Microsoft stoppt MFA in Verbindung mit der Sperrung veralteter Authentifizierung mehr als 99,9 % der gängigen Angriffe auf Konten. Optionen unter Multi-Faktor-Authentifizierung im Unternehmen.
- Schluss mit Wiederverwendung Niemand merkt sich 40 lange, unterschiedliche Passwörter. Der Manager erzeugt, speichert und füllt sie aus. Das NIST verlangt, dass Systeme solche Manager und das „Einfügen“ von Passwörtern akzeptieren, mit mindestens 15 Zeichen, wenn das Passwort der einzige Faktor ist. Zur Auswahl: Passwort-Manager für Unternehmen.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
Wenn das Konto bereits genutzt wurde: Alarmsignale
In einem Datenleck aufzutauchen, beweist nicht, dass jemand eingedrungen ist. Diese Signale erfordern jedoch sofortiges Handeln:
- Seltsame Zugriffe Anmeldungen aus Ländern, in denen das Unternehmen nicht tätig ist.
- Neue E-Mail-Regeln Nachrichten, die nach außen weitergeleitet oder gelöscht werden.
- Unangeforderte MFA-Anfragen Die Mitarbeitende versehentlich bestätigen könnten.
- Seltsame E-Mails an Kunden oder Lieferanten Etwa mit geänderter IBAN; siehe die Masche mit der manipulierten Rechnung.
Diese Signale erreichen nur dann rechtzeitig jemanden, wenn es ein Monitoring mit Warnmeldungen gibt. In den IT-Unlimited-Plänen von DataRoad ist dieses Monitoring Teil der enthaltenen Sicherheit, zusammen mit MFA und dem Schutz der Arbeitsplätze.
Ventask: 350 Arbeitsplätze mit Managed Security seit 2016
Ventask arbeitet seit 2016 mit DataRoad und hat heute 350 Arbeitsplätze in IT Unlimited, mit Managed Firewalls, Endpoint Security, Lösungen für Remote-Arbeit und Wartung der Cybersecurity-Lösungen. In dieser Größenordnung lautet die Frage nicht, ob eine E-Mail-Adresse in einem Datenleck auftaucht, sondern wie schnell ein betroffenes Konto aufhört, eine offene Tür zu sein.
Lesen Sie die Fallstudie Ventask: 350 Arbeitsplätze und Managed Firewalls und lernen Sie unsere Managed Cybersecurity für Unternehmen kennen.
Häufige Fragen
Darf ich die E-Mail-Adressen meines Unternehmens rechtmäßig prüfen?
Ja, in Ihrer eigenen Domain — daher der von Have I Been Pwned verlangte Kontrollnachweis. Ziel ist es, die Konten des Unternehmens zu schützen, nicht das Privatleben der Mitarbeitenden zu durchleuchten.
Bedeutet eine E-Mail-Adresse in einem Datenleck ein gehacktes Konto?
Nicht unbedingt. Es bedeutet, dass die Adresse und manchmal ein Passwort bei einem anderen Dienst offengelegt wurden. Das Risiko hängt davon ab, ob dieses Passwort noch beruflich genutzt wird und ob das Konto MFA hat.
Lohnt es sich, monatliche Wechsel vorzuschreiben?
Nein. Das NIST empfiehlt einen Wechsel nur bei Anzeichen einer Kompromittierung. Lange, einzigartige Passwörter in einem Manager, geschützt durch MFA, sind wirksamer.
Wie oft sollten wir prüfen?
Ideal ist ein kontinuierliches Monitoring mit Warnung bei jedem neuen Datenleck, das Adressen des Unternehmens enthält. Mindestens jedoch eine Prüfung pro Quartal und eine weitere, wann immer über ein Datenleck bei einem vom Team genutzten Dienst berichtet wird.
Nächster Schritt: Prüfung offengelegter Zugangsdaten in 5 Werktagen
Wir analysieren Ihre Domain in bekannten Datenlecks, identifizieren die gefährdeten Konten, bestätigen MFA für alle und liefern den Plan für Passwortwechsel und Passwort-Manager einsatzbereit. Unverbindliches Angebot. Ab 10 Arbeitsplätzen · Servicevertrag · Remote-, Vor-Ort- und telefonischer Support.
Quellen
- Have I Been Pwned — How do I verify my domain?
- Have I Been Pwned — Pricing (keine Kosten bis 10 betroffene Adressen)
- Have I Been Pwned — FAQs (Domain Search und Pwned Passwords)
- NIST SP 800-63B-4 — Authentication and Authenticator Management
- OWASP — Credential stuffing
- Microsoft Learn — Security defaults in Microsoft Entra ID
