Millionenpreis Die gefährlichste Domain der Welt steht zum Verkauf

Für 1,7 Millionen Dollar kann man die wohl gefährlichste Website der Welt erwerben und Unternehmen weltweit könnten Opfer von Datendiebstahl werden.

Mike O’Connor hatte früh ein gutes Gespür für die Entwicklung des Internets. Schon Anfang der 90er-Jahre hat er sich Domains wie bar.com und television.com gesichert und als das World Wide Web populär wurde, diese sehr gewinnbringend verkauft. Mit seinem Domain-Portfolio hat der Amerikaner Millionen gemacht und will sich mit 70 Jahren nun zur Ruhe setzen. Doch den Verkauf einer Domain in seinem Besitz hat er bisher abgelehnt.

Diese Domain ist Corp.com. Als Abkürzung für «Corporation» (Unternehmen) ist sie sicherlich alleine aufgrund dieser Assoziation ziemlich wertvoll. Doch der wahre Wert der Domain ergibt sich aus dem potenziellen Unheil, den man als Besitzer von Corp.com anrichten kann. Denn eine der üblichsten Abkürzungen, um auf ein internes Netzwerk zuzugreifen, ist «corp».

Microsoft-Dienst nutzte «corp»

Hauptverantwortlich dafür ist der Microsoft-Dienst Active Directory, der von Unternehmen zur Verwaltung ihrer internen Netzwerke eingesetzt wird. Standardmässig musste dabei von Angestellten einfach «corp» in den Browser eingegeben werden, um Zugriff auf das interne Netzwerk zu bekommen. Im Desktop-Zeitalter war das kein grosses Problem, da die stationären Rechner ja immer Teil des internen Netzwerkes waren und «corp» somit zum richtigen Ziel führte.

Doch im Home-Office-Zeitalter kommt hier ein Problem namens «namespace collision» zustande. Ist man mit dem Unternehmens-Laptop einmal nicht auch im internen Netzwerk, etwa bei der Arbeit zu Hause oder im Café, und gibt dann «corp» ein, landet man häufig statt im internen Netzwerk auf der Seite von O’Connor. Noch riskanter ist allerdings, wenn Programme im Hintergrund dann versuchen, eine Verbindung zu «corp» aufzubauen, und dabei möglicherweise vertrauliche Login-Daten versenden.

Swisscom MagazinWie Unternehmen ihre IT-Sicherheit verbessern

Sicherheitsupdates wurden nicht installiert

Inzwischen gibt es von Microsoft zwar schon entsprechende Updates für Active Directory, die solche Szenarien verhindern sollen. Doch wie eine Untersuchung zeigte, wurden die wichtigen Updates offenbar vielfach einfach nicht installiert. Mit Einverständnis von O'Connor untersuchte der Sicherheitsforscher Jeff Schmidt den Datenverkehr an Corp.com

Innert von acht Monaten versuchten 375'000 verschiedene Windows-PCs, Daten an Corp.com zu senden — häufig waren dies Versuche, sich in ein dort nicht vorhandenes internes Netzwerk einzuloggen. Für kurze Zeit trieb Schmidt das Experiment noch etwa weiter. Er konfigurierte Corp.com wie ein funktionierendes Active Directory. Nach nur 15 Minuten schaltete er es aber wieder ab, da er nun unzählige vertrauliche Login-Daten in die Hände bekam.

O’Connor will deshalb Corp.com loswerden — allerdings zu einem in seinen Augen angemessenen Preis. Vor einigen Jahren bot Microsoft ihm 20’000 Dollar für die Domain, die O’Connor ablehnte. Er verlangt 1,7 Millionen Dollar und sieht Microsoft in der Pflicht, sagte er «KrebsOnSecurity». Dessen Fehler in der Anfangszeit von Active Directory hätten das nun bestehende Sicherheitsrisiko erst möglich gemacht. In den Händen von Kriminellen könnte Corp.com noch mehr wert sein. Und die Opfer von Datendiebstahl über Corp.com wären vor allem Microsoft-Kunden.

Galerie: Konten mit 2FA absichern

Weitere 13 Bilder ansehen

Konten mit Zwei-Faktor-Anmeldung absichern

Mit der Zwei-Faktor-Authentisierung (2FA) lassen sich die eigenen Accounts bei zahlreichen Internet-Diensten zuverlässig vor Eindringlingen schützen.

Bild: iStock

Google bietet zur Sicherung von Konten die «Aufforderung von Google» an. Aktivieren lässt sie sich in den Google-Konto-Einstellungen unter «Sicherheit» --> «Bestätigung in zwei Schritten».

Bild: dj

Nun muss ein Smartphone ausgewählt werden, dass für die Aufforderung verwendet wird.

Bild: dj

Bei jeder neuen Anmeldung in einem Google-Dienst bekommt man nun auf diesen Smartphone etwa in der Gmail-App ein Aufforderung, diese Anmeldung zu bestätigen.

Bild: dj

Google bietet daneben noch eine Reihe weiterer 2FA-Methoden an, die anhand anderer Dienste erklärt werden.

Bild: dj

Facebook etwa bietet bei 2FA ebenfalls den Google Authenticator an. Einrichten lässt sich das in den Einstellungen unter «Sicherheit und Login» --> «Verwende die zweifstufige Authentifizierung».

Bild: dj

Nun muss man mit dem Google Authenticator einen QR-Code einscannen.

Bild: dj

Die App erzeugt nun ständig neue Codes.

Bild: dj

Die man dann zum Anmelden bei Facebook zukünftig eingeben muss.

Bild: dj

Auch Instagram bietet 2FA an. Diese findet sich in den Einstellungen unter «Privatsphäre und Sicherheit» --> «Zweistufige Authentifizierung».

Bild: dj

Bei Instagram kann man etwa SMS nutzen. Einfach die Telefonnummer eingeben und die Einrichtung abschliessen.

Bild: dj

Wichtig bei allen 2FA-Methoden sind die Wiederherstellungscodes. Diese sollte man sich notieren, um auch bei Verlust eines Geräts oder einer Telefonnummer noch auf einen Dienst zugreifen zu können.

Bild: dj

Kurz noch zu Apple. Die 2FA wird bei Einrichtung eines neues iOS-Gerät eingeschaltet und lässt sich in der Regel auch nicht wieder abschalten. Loggt man sich auf einem neuen Gerät in den Apple-Account ein, kommt auf einen bestehenden Gerät ein Popup mit der Bitte um Bestätigung. Die Ortslokalisierung ist hier allerdings nicht immer ganz zuverlässig.

Bild: dj