Im fünften Teil unserer Recherche zu Cybersecurity-Praktiken von Politikern haben wir festgestellt, dass offizielle E-Mail-Adressen von 241 Mitgliedern deutscher Landtage (zum Beispiel des bayerischen Landtags) im Dark Web zum Verkauf angeboten werden, was ungefähr 13 % der von uns durchsuchten E-Mails entspricht. Constella Intelligence(neues Fenster), das führende Unternehmen im Bereich digitales Risikomanagement und Cybersecurity, hat uns bei der Zusammenstellung dieser Informationen unterstützt.
Lies den Originalbericht, der alle unsere bisherigen Erkenntnisse enthält
Alle diese E-Mail-Adressen sind öffentlich auf Regierungswebsites zugänglich, sodass es nicht überrascht, dass sie im Dark Web zu finden sind. Das Problem entsteht dadurch, dass deutsche Politiker mit ihren offiziellen E-Mail-Adressen Konten bei externen Websites und Diensten erstellt haben, die später von einem Datenleck betroffen waren. Zu den Anbietern, bei denen sich die betroffenen Politiker registriert haben, zählen Dropbox, LinkedIn, Adobe sowie Nachrichtendienste.
Politiker gefährden Daten und Konten
Neben Geburtsdaten, Wohnadressen, Social-Media-Konten hat unsere Recherche viele weitere persönliche Angaben von Politikern offengelegt. Aus Sicherheitsgründen teilen wir keine personenbezogenen Daten, da diese Politiker jedoch ihre offiziellen E-Mail-Adressen zur Erstellung von Konten verwendet haben, haben sie Angreifern die Möglichkeit gegeben, ihre Konten und zugehörigen Daten leicht zu identifizieren, wodurch sie potenziell einem höheren Risiko für Phishing oder Erpressung ausgesetzt sind.
Wir haben außerdem 220 kompromittierte Passwörter gefunden – darunter 153 Passwörter im Klartext, die mit 54 Politikerinnen und Politikern verknüpft sind. Das sind 153 Konten, die Angreifer übernehmen könnten (sofern die Politiker keine Zwei-Faktor-Authentifizierung eingerichtet haben). Wenn diese Politiker die kompromittierten Passwörter auch für Regierungssysteme wiederverwendet haben, könnten diese ebenfalls gefährdet sein.
Bevor wir diesen Artikel veröffentlichten, haben wir alle betroffenen Politiker darüber informiert, dass ihre sensiblen Daten im Internet offengelegt wurden. Dennoch waren diese Informationen bereits im Dark Web zum Verkauf angeboten worden.
Auch Politiker auf Landesebene können Ziel von Angriffen werden
Trotz der insgesamt beeindruckenden Leistung deutscher Landtagsabgeordneter, was ihre digitale Sicherheit angeht, gibt es drei Bundesländer, in denen die Parlamentsmitglieder ihre Cybersicherheit verbessern müssen.
Die Politiker in Rheinland-Pfalz, Nordrhein-Westfalen und Sachsen-Anhalt hatten insgesamt die meisten offengelegten E-Mail-Adressen, nämlich 48 (das sind 48 Prozent aller Abgeordneten), 87 (45 Prozent aller Abgeordneten) bzw. 61 (67 Prozent aller Abgeordneten). Das Ergebnis für Nordrhein-Westfalen wurde durch eine Person in die Höhe getrieben, deren Regierungsadresse 24 Mal in verschiedenen Darknet-Datenbanken auftauchte – so oft wie bei keinem anderen deutschen Politiker. Ähnlich in Rheinland-Pfalz: Dort lebt der Politiker mit den meisten kompromittierten Passwörtern – insgesamt 14 – alle im Klartext.
Auch wenn lokale Politiker augenscheinlich als unwahrscheinliche Ziele gelten, zeigt die Realität, dass deutsche Amtsträger auf allen Ebenen und in allen Bereichen in den letzten Jahren intensiven Cyberangriffen ausgesetzt waren. Allein im Jahr 2024 mussten die Frankfurt University of Applied Sciences(neues Fenster) und die Hochschule Kempten(neues Fenster) aufgrund von Cyberangriffen schließen, der bayerische Pharmariese AEP wurde durch einen Ransomware-Angriff(neues Fenster) lahmgelegt und die CDU(neues Fenster) wurde gehackt (die Behörden machten APT28, eine mit Russland verbundene Hackergruppe, für diesen letzten Angriff verantwortlich).
So verbessern wir alle unsere Online-Sicherheit
Seitdem Deutschland der Ukraine nachdrücklich seine Unterstützung zugesichert hat, sind deutsche Institutionen Ziel von Cyberangriffen durch Russland und prorussische Hackergruppen. In diesem Zusammenhang ist es noch bedenklicher, dass rund 50 Prozent der Politiker in Rheinland-Pfalz und Sachsen-Anhalt ihre Konten und andere Daten gefährden, indem sie ihre offiziellen E-Mail-Adressen verwenden.
Deine E-Mail-Adresse ist mit deiner digitalen Identität gleichzusetzen, mit der fast alle deine Online-Konten erstellt werden. Wenn du für all deine Konten dieselbe E-Mail-Adresse verwendest, können all diese Konten (und die dazugehörigen Daten) miteinander verknüpft werden. Wenn du eine E-Mail-Adresse benutzt, die leicht mit dir (oder, schlimmer noch, mit einer Regierungsstelle) in Verbindung gebracht werden kann, machst du es Angreifern leicht, überzeugende Phishing-Attacken zu erstellen.
Die Lösung besteht darin, stets so wenig personenbezogene Informationen wie möglich preiszugeben. Diese Politiker hätten niemals Online-Konten mit ihren offiziellen E-Mail-Adressen erstellen sollen, da dies ihre möglicherweise sensiblen Online-Aktivitäten an eine Identität bindet, die Angreifer sofort als wertvolles Ziel erkennen. Datenschutzverletzungen treten viel zu häufig auf. Sobald diese Informationen einmal im Umlauf sind, bleibt als einzige Lösung, deine Konten zu ändern und auf Phishing-Attacken zu achten.
Hier sind einige weitere einfache Schritte, die alle – aber besonders Politiker und andere Personen des öffentlichen Lebens – unternehmen können, um die Sicherheit ihrer Konten zu stärken:
- Verwende E-Mail-Aliasse: E-Mail-Aliasse verbergen deine tatsächliche E-Mail-Adresse, ermöglichen es dir jedoch, weiterhin E-Mails zu senden und zu empfangen. Du kannst sogar für jedes Konto einen neuen Alias erstellen, sodass du bei einem Leak die betroffenen Aliasse löschen kannst, ohne alle deine Konten zurücksetzen zu müssen.
- Verwende einen Passwort-Manager: Ein Passwort-Manager erleichtert das Erzeugen und Speichern starker, einzigartiger Passwörter für jedes Konto. Er sollte außerdem Möglichkeiten bieten, Passwörter sicher zu teilen, sodass du sie nicht aufschreiben oder auf andere unsichere Methoden zurückgreifen musst.
- Verwende Dark-Web-Überwachungsdienste: Fast jede Woche berichten die Medien über Datenlecks. Auch wenn du nichts dagegen tun kannst, kann dich ein Dark-Web-Überwachungsdienst benachrichtigen, falls deine Informationen in illegalen Marktplätzen auftauchen. So kannst du deine E-Mail-Adresse (oder deinen E-Mail-Alias) und dein Passwort ändern, bevor jemand unbefugt auf dein Konto zugreifen kann.
Proton Pass ist eine einfache Lösung, die all diese Dienste bereitstellt. Wenn du unseren Proton Pass Plus-Tarif wählst, erhältst du:
- Unbegrenzte Hide-my-email-Aliasse
- Einen Passwort-Generator
- Unterstützung für Passkeys
- Einen integrierten Zwei-Faktor-Authentifizierungscode-Generator
- Pass Monitor, der dich alarmiert, falls deine Proton Mail-E-Mail-Adressen oder -Aliasse im Dark Web erscheinen
- Proton Sentinel, ein Programm, das dein Proton-Konto vor Übernahmeangriffen schützt
Schütze deine E-Mail-Adresse, deine Konten (und wenn du Politiker bist, Staatsgeheimnisse), indem du dich noch heute für einen Proton Pass Plus-Tarif registrierst.
