Am Mittwoch wurde in einem Bundesgerichtssaal in Seattle einer der größten Datenleaks der jüngeren Vergangenheit abgeschlossen. Der 26-jährige Connor Riley Moucka aus Kitchener, Ontario, bekannte sich des Computerbetrugs, des Überweisungsbetrugs, des schweren Identitätsdiebstahls und der Verschwörung im Zusammenhang mit einer Hacker-Serie im Jahr 2024 schuldig, die mindestens 165 Organisationen erreichte und Datensätze von mindestens 100 Millionen Menschen offenlegte. Durch Lösegeldzahlungen und den Verkauf von Daten steckte er persönlich mindestens 495.000 Dollar ein. Die Urteilsverkündung ist für den 27. Oktober angesetzt; allein für den Vorwurf des Identitätsdiebstahls droht ihm eine zwingende Mindeststrafe von zwei Jahren, während die übrigen Vorwürfe mit bis zu 30 Jahren geahndet werden können.

Diese Zahlen sind die Schlagzeile. Das Detail, bei dem es sich lohnt, innezuhalten, ist kleiner und weitaus weniger filmreif: Laut den Staatsanwälten ermöglichten Moucka den Zugang tatsächlich alte Passwörter. Kein Zero-Day-Exploit. Keine Schwachstelle in der angegriffenen Plattform, deren Namen das Justizministerium bislang nicht öffentlich genannt hat (Snowflake und das Unternehmen für Incident Response Mandiant erklärten bereits 2024, dass sie beteiligt waren, und stellten den Fall damit in Zusammenhang mit der damaligen Welle von Angriffen auf Snowflake-Kundenkonten). Die Zugangsdaten waren Jahre zuvor von Infostealer-Malware abgegriffen worden, lagen ungenutzt und unverändert herum und öffneten Konten, bei denen zufällig auch die Multi-Faktor-Authentifizierung deaktiviert war.

Warum „unverändert“ in diesem Satz die ganze Arbeit leistet

Infostealer-Malware ist eine Kategorie schädlicher Software, die, sobald sie auf einem Gerät landet — oft über eine Raubkopie-App, ein gefälschtes Browser-Update oder einen schädlichen Anhang — stillschweigend alle Zugangsdaten aus den Autofill- und gespeicherten-Passwörter-Speichern des Browsers auf diesem Gerät abgreift und sie anschließend an die Betreiber der Malware übermittelt. Das ist weder neu noch exotisch; seit Jahren handelt es sich dabei um eine kriminelle Dienstleistung von der Stange, bei der gestohlene Zugangsdaten in großen Mengen gekauft und verkauft werden.

Was den Snowflake-Fall zu einem nützlichen Lehrbeispiel macht, ist die Lücke zwischen Diebstahl und Nutzung. Diese Passwörter waren Berichten zufolge „Jahre zuvor“ abgegriffen worden. Das bedeutet, dass die Inhaber dieser Konten lange Zeit über eine kompromittierte Zugangsdatenkombination verfügten, die irgendwo in einer Datenbank noch aktiv war, und nichts sie zwang, sie zu ändern. Kein Anmeldeversuch wurde als verdächtig markiert, weil der Angreifer es noch nicht versucht hatte. Kein Zurücksetzen des Passworts wurde ausgelöst, weil es keinen aktiven Exploit gab, den jemand hätte bemerken können. Die Zugangsdaten warteten einfach, gültig, bis jemand beschloss, sie in großem Maßstab gegen Snowflake-Kundenkonten einzusetzen.

Das ist der Fehlermodus, den wiederverwendete und unveränderte Passwörter erzeugen: Sie sind nicht unbedingt schwach — Infostealer-Malware nimmt auch gern ein starkes, einzigartiges Passwort direkt aus dem Tresor gespeicherter Passwörter eines Browsers. Das Problem ist vielmehr, dass ein gestohlenes Passwort kein Ablaufdatum hat, sofern ein Mensch oder eine Richtlinie ihm keines gibt. Ein Einbruch aus dem Jahr 2021 kann auch 2024 noch Türen öffnen, wenn dazwischen niemand die Zugangsdaten geändert hat.

Das zweite Schloss, das nicht vorhanden war

Das andere Detail, auf das die Staatsanwälte hinwiesen — die deaktivierte MFA bei den betroffenen Konten — verwandelte ein gestohlenes Passwort in vollständigen Kontozugriff. Die Multi-Faktor-Authentifizierung ist genau für dieses Szenario ausgelegt: Sie geht davon aus, dass Passwörter irgendwann durchsickern werden, und fügt einen zweiten Identitätsnachweis hinzu (einen Code, eine Push-Benachrichtigung oder einen Hardware-Schlüssel), den ein gestohlenes Passwort allein nicht liefern kann. Wenn sie deaktiviert ist, bildet eine durchgesickerte Zugangsdatenkombination die gesamte Barriere. Berichte über die größere, mit Snowflake verbundene Angriffswelle von 2024 stellten fest, dass bei vielen betroffenen Konten MFA standardmäßig nicht erzwungen wurde, sodass es von der jeweiligen Kundenorganisation abhing, die Funktion aktiv einzuschalten.

Was das tatsächlich für Sie bedeutet

Die meisten Leser dieses Newsletters betreiben kein Snowflake-Datenlager, aber die Abläufe hier gelten für jedes Konto, das Sie irgendwo besitzen:

  • Gehen Sie davon aus, dass alte Passwörter kompromittiert, nicht nur schwach sind. Wenn Sie ein Passwort auf mehreren Seiten wiederverwendet und seitdem nicht geändert haben, betrachten Sie es als verbrannt — nicht weil es jemand erraten hat, sondern weil es möglicherweise bereits in einer Liste gestohlener Zugangsdaten steht, die Sie nie zu Gesicht bekommen werden.
  • Ändern Sie Zugangsdaten, nachdem ein von Ihnen genutzter Dienst einen Datenleak bekannt gibt — selbst wenn man Ihnen sagt, Ihr konkretes Konto „sei nicht betroffen“. Erste Meldungen über Datenleaks sind häufig unvollständig, während die Untersuchungen weiterlaufen.
  • Aktivieren Sie MFA überall, wo sie angeboten wird, und gehen Sie nicht davon aus, dass ein Dienst sie standardmäßig aktiviert. Überprüfen Sie die Sicherheitseinstellungen des Kontos direkt, statt darauf zu vertrauen, dass die sicherste Option bereits aktiv ist.
  • Ein Passwortmanager behebt die eigentliche Ursache, nicht nur das Symptom: Er macht einzigartige, nicht wiederverwendete Passwörter zum naheliegendsten Weg, statt zu etwas, woran Sie sich eigens erinnern müssen.
  • Wenn ein Gerät möglicherweise mit Infostealer-Malware infiziert war (ein unbekanntes Programm wurde installiert, ein Raubkopie-Download durchgeführt oder eine verdächtige Anmeldewarnung angezeigt), ist es die einzige Möglichkeit, sicher zu sein, dass eine alte Infektion für denjenigen, der die Daten gesammelt hat, nicht weiterhin Gewinne abwirft, danach jedes gespeicherte Passwort zu ändern — nicht nur das, von dem Sie glauben, dass es relevant war.

Die Diskrepanz ist die Lehre

Es ist beinahe unangenehm, dass ein Fall mit solchen Konsequenzen — einer möglichen Höchststrafe von 30 Jahren, einer zwingenden Mindeststrafe und den Datensätzen von 100 Millionen Menschen — auf einem derart alltäglichen Mechanismus beruht. Keine Exploit-Kette, keine neuartige Technik, nur ein Passwort, zu dessen Änderung niemand kam, und eine Sicherheitseinstellung, die niemand aktivierte. Genau diese Diskrepanz macht den Fall auch nach dem Verblassen der Schlagzeilen über die Urteilsverkündung erinnerungswürdig: Die größten Datenleaks brauchen meist keinen brillanten Angreifer. Sie brauchen eine Zugangsdatenkombination, die nie geändert wurde und auf einem Konto lag, bei dem MFA nie aktiviert worden war.