Der Leak-Checker ist aus dem Forschungsprojekt EIDI ("Effektive Information nach digitalem Identitätsdiebstahl"), gefördert vom Bundesministerium für Bildung und Forschung, entstanden und wird vom Start-up-Vorhaben „Identity Guard“ betrieben. Dahinter stehen drei Informatiker der Universität Bonn – Timo Malderle, Pascua Theus und Prof. Michael Meier. Sie erhalten eine Finanzierung aus dem Förderprogramm Startup-Transfer-NRW, um die Forschungsergebnisse dahingehend weiter zu entwickeln, dass Online-Diensten und Unternehmen fertige Produkte zum Schutz vor Identitätsdiebstahl angeboten werden können. Beispielsweise können Onlineshops vor Betrügern, die mit gestohlenen Identitätsdaten einkaufen, geschützt werden.
Der „Uni-Bonn Leak-Checker“ nutzt ein neu entwickeltes Verfahren, mit dem Identitätsdaten-Leaks aufgespürt, automatisiert ausgewertet und datenschutzkonform zur Warnung weitergegeben werden können. Besonders der Datenschutz und der Informationsgehalt sind im Vergleich zu anderen Leak-Checkern verbessert: So kann man bei anderen Anbietern zum Beispiel beliebige, auch fremde, Mailadressen eingeben und bekommt die Informationen über gestohlene Kontodaten direkt angezeigt. Somit kann jeder erfahren, wessen Daten geleakt wurden und bei welchen Diensten diese Person angemeldet ist. Um das auszuschließen, kommuniziert der Leak-Checker der Uni Bonn direkt mit den Betroffenen, indem das Ergebnis per E-Mail an die überprüfte E-Mail-Adresse versendet wird. „Der Nutzer bekommt dann aber nicht nur einen Hinweis auf den Anbieter, bei dem er einen Account hat (zum Beispiel Twitter oder Myspace), sondern auch Bruchstücke des eigenen geleakten Passworts angezeigt“, erklärt Timo Malderle, Wissenschaftler am Institut für Informatik der Universität Bonn und Mitgründer von Identity Guard. So könne der Nutzer sich erinnern, wie das Passwort in Gänze lautet, wo er es verwendet hat und dann gegebenenfalls direkt ändern, sollte es noch aktuell sein.
Daten werden pseudonymisiert und verschlüsselt
Doch nicht nur der Weg der Meldung an den Nutzer birgt Tücken beim Leak-Check. Auch das Verfahren, mit dem die Wissenschaftler die Datensätze analysieren, muss dem Datenschutz genügen und die Schwierigkeiten der Auswertung meistern: In Bonn werden deswegen die Daten schon beim Einlesen in einem speziellen Verfahren pseudonymisiert und verschlüsselt. Bei der Auswertung müssen die relevanten Merkmale, wie zum Beispiel das Passwort, die E-Mail-Adresse, der Benutzername oder das Geburtsdatum, erkannt und voneinander unterschieden werden. In den geleakten Daten sind aber sowohl diese Identitätsmerkmale wie auch die Zeichen, um diese in einer Datenzeile zu trennen, nicht einheitlich. Die Bonner Forscher entwickelten für dieses Problem eine Software für die automatisierte Auswertung. „Persönlich bekommen wir gar nicht mit, welcher Nutzer eine Anfrage an den Leak-Checker stellt“, sagt Malderle dazu. Von der Eingabe der Mailadresse, der Pseudonymisierung, dem Abgleich mit dem geleakten Datensatz und der Antwort an den Nutzer läuft alles automatisch ab.
In dem Projekt der Universität Bonn werden nur öffentlich zugängliche Identitätsdaten-Leaks aus dem Internet oder dem sogenannten Darknet genutzt, also keine Leaks von Kriminellen gekauft. Etwa 25 Milliarden Datensätze, also Zeilen mit zueinander passenden Identitätsmerkmalen, konnten bislang mit der neuen Software analysiert werden – automatisiert und datenschutzkonform. Diese Ergebnisse präsentiert das Team der Uni Bonn auch auf dem renommierten BSI Sicherheitskongress, auf dem sich Politik und IT- Sicherheitsexperten in Bonn am 2. und 3. Februar virtuell treffen.
Wie kann man sich vor dem Diebstahl persönlicher Daten im Internet schützen?
Wichtigste Maßnahme aus Sicht von Malderle ist, sein E-Mail-Konto zu schützen. Denn durch Zurücksetzen des Passwortes bei anderen Anbietern kann man über die E-Mail-Adresse fast alle anderen Konten knacken. Bei der Absicherung gilt: „Umso länger und komplexer das Passwort ist, desto besser ist ein Benutzerkonto geschützt.“ 12 Stellen sollte ein Passwort mindestens haben. Optimal wären aber 16 oder mehr. Außerdem bietet eine sogenannte Zweifaktor-Absicherung noch einen deutlich höheren Schutz, zum Beispiel neben dem Passwort noch die zusätzliche Anmeldung mit einem Einmalpasswort oder einer SMS.
Darüber hinaus ist es deutlich sicherer, für jeden Account ein anderes Passwort zu benutzen. Wird das Passwort bei einem Dienst gestohlen, dann sind sofort die anderen Dienste auch ungeschützt, bei denen dasselbe Passwort verwendet wird. Also besser zweimal überlegen, ob man wirklich für verschiedene Konten das gleiche Passwort nimmt. Ein Passwortmanager, die auch über den Browser angeboten werden, können hier auch helfen, um nicht den Überblick zu verlieren. „Man sollte seine Passwörter aber auf keinen Fall unverschlüsselt digital speichern, also auf dem Rechner oder dem Handy“, sagt Malderle.
Weitere Informationen zum Leak-Checker der Universität Bonn: https://leakchecker.uni-bonn.de/
Informationen zum Projekt Identity Guard: https://itsec.cs.uni-bonn.de/identity-guard/