Sicherheitsrisiko: Hacker konnten Daten von 100 Millionen Sony-Kunden kopieren

Hamburg - Nun betrifft der Datendiebstahl bei Sony schon mehr als 100 Millionen Nutzerkonten. Am Dienstag teilte das Unternehmen den 25 Millionen Nutzern seines Computerspiel-Netzwerks Sony Online Entertainment (SOE) mit, dass Hacker Zugriff auf ihre Kundendaten erlangen konnten. Gestohlen wurden dabei auch die Bankdaten von 23.400 Kunden außerhalb der USA, darunter 10.700 aus Deutschland, den Niederlanden, Österreich und Spanien. Die Kontodaten sollen aus einer veralteten Datenbank aus dem Jahr 2007 stammen.

Sony hatte das SOE am Montagmorgen abgeschaltet. Damit weitet sich die Krise bei dem Konzern aus: In der vergangenen Woche gestand Sony ein, dass Unbekannte Zugriff auf 77 Millionen Nutzerkonten des Playstation-Networks (PSN) und des Musik- und Filmedienstes Qriocity hatten. Nach Angaben des Unternehmens erfolgte der illegale Zugriff zwischen dem 17. und 19. April. Der nun bekannt gewordene Einbruch fand schon vorher statt, am 16. und 17. April. Es soll sich aber um ein und denselben Angriff handeln. Die Sicherheitslücke sei größer, als bisher angenommen.

Die neue Enthüllung dürfte die 100 Millionen Betroffenen Sony-Kunden weiter verunsichern. Bisher geht Sony nicht davon aus, dass bis auf die genannten Ausnahmen Bankdaten kopiert wurden. Am Montag wies das Unternehmen Berichte zurück, wonach bereits 2,2 Millionen Kreditkarten-Datensätze auf dem Schwarzmarkt feilgeboten würden. Ausschließen kann das Unternehmen die Möglichkeit eines Bankdaten-Diebstahls allerdings auch nicht. Immerhin: Im Gegensatz zu den Datensätzen mit Namen, Adressen und E-Mail-Adressen sollen die Kontodaten verschlüsselt gespeichert gewesen sein.

Erste Details zum Sony-Hack

Mittlerweile haben Sony-Manager sich nicht nur mit sekundenlangen Verbeugungen entschuldigt, sondern auch erste Details über den Einbruch mitgeteilt: Demnach sollen die Hacker sich zunächst Zugang zu dem System verschafft haben, auf dem die eigentliche Anwendung läuft. Dort soll ein Programm installiert worden sein, über das die Angreifer an der Website und den Firewalls vorbei mit dem System kommunizieren konnten.

Wie dieser Angriff gelingen konnte, ist nicht klar. Ein Hinweis ist aber möglicherweise der Umzug des Sony-Rechenzentrums im kalifornischen San Diego: Der Konzern hat seine dortigen Server nach eigenen Worten in ein neues, sichereres Rechenzentrum verlegt. Womöglich konnte ein Angreifer sich direkten Zugang zu den Servern verschaffen und so das Tool installieren.

Von der Anwendungsebene aus sollen die Hacker den Datenbank-Server angegriffen haben, der über das Internet sonst nicht direkt erreichbar sein soll. Offenbar konnte so ein direkter Zugang zur Datenbank gelegt werden, die daraufhin von den Angreifern aus dem Internet heraus angesprochen werden konnte. Die Kreditkartendatenbank soll sich in einer nochmals abgetrennten Umgebung befinden.

Playstation-Hacker: Wir haben Sony vor Wochen gewarnt

Der französische Playstation-Hacker Mathieu Hervais behauptet, Sony sei in den vergangenen Wochen mehrmals in Twitter-Nachrichten und E-Mails über Sicherheitslücken des Playstation-Netzwerks hingewiesen worden: "Ich und andere haben Sony auf schwerwiegende Sicherheitsbedenken hingewiesen, niemand hörte zu." Hervais zählt mehrere Sicherheitslücken auf, die das Playstation-Netzwerk seines Wissens nach gefährdet haben. Ein Vorwurf: "Sie haben eine Schwachstelle in ihrer SSL-Verschlüsselung."

Die Datenübertragung zwischen den Konsolen und den Sony-Servern wurde durch diese Verschlüsselungstechnik geschützt - oder eben auch nicht, wenn dieser Vorwurf stimmt. Hervais beurteilt die Sicherheit des Playstation-Netzwerks so: "Die Menschen müssen begreifen, dass das Netzwerk drei Jahre lang ohne große Sicherheitsüberprüfungen lief, was schlecht ist."

Ein Sprecher von Sony Computer Entertainment konnte oder wollte dies nicht bestätigen: "Mir sind keine Hinweise auf Sicherheitslücken bekannt", sagte Guido Alt zu den Vorwürfen. Darüber hinaus gelte: "Zu Fragen der Systemsicherheit erteilen wir keine Auskünfte." Eine Sprecherin in Tokio wandte hingegen ein, man könne nicht sagen, wann die nächste Attacke auf das Unternehmen zukomme. "Das sind Hacker. Wir wissen nicht, wo sie das nächste Mal zuschlagen."

Damit besorgte Sony-Kunden nun nicht zur Konkurrenz überlaufen und etwa auf die Xbox 360 von Microsoft umsteigen, soll es zum Neustart der Spielenetze ein "Welcome Back"-Angebot geben. Dazu gehören eine 30 Tage lange kostenlose Nutzung des PSN und kostenlose Spiele. Auch Nutzer des Musikabodiensts Qriocity sollen das Angebot einen Monat kostenlos nutzen können. Was für ein Angebot Sony seinen SOE-Nutzern macht, ist noch unklar.

Unterdessen arbeitet Sony daran, das PSN vom neuen Rechenzentrum aus und mit verbesserten Sicherheitseinstellungen noch diese Woche wieder ans Netz zu bringen.