Datenleck: Hacker kopierte offenbar Millionen Last.fm-Passwörter

Hamburg - Nach LinkedIn und eHarmony ist auch der Musikdienst Last.fm von einem Datenleck betroffen, das Mitgliedskonten unsicher macht. "Wir untersuchen zurzeit den Leak von Passwörtern einiger Nutzer", schreibt das Unternehmen in einem Security-Update. Es handele sich dabei um eine Vorsichtsmaßnahme. Alle Nutzer werden aufgefordert, ihre Kennwörter sofort zu ändern.

Es war zunächst unklar, ob der Vorfall bei Last.fm mit den beiden anderen Leaks zusammenhängt, die in dieser Woche bekannt wurden: Mehrere Millionen Passwörter des Business-Netzwerks LinkedIn waren auf einer russischen Website aufgetaucht, auch bei der Partnerbörse eHarmony sollen anderthalb Millionen Nutzer von einem Hack betroffen sein.

Drei Fälle, ein Urheber?

Im Fall von Last.fm scheinen ebenfalls Millionen von Datensätzen kompromittiert worden zu sein: Dem Portal "Heise Security" liegt eine Liste mit rund 2,5 Millionen sogenannten Passwort-Hashes vor. Stichproben hätten gezeigt, dass diese von Last.fm stammen. Der genutzte Hash-Algorithmus sei "ungesalzen", das heißt, es fehlt eine weitere Sicherheitsebene, auf der eine "Salz" genannte Zufallszahl ein Passwort nahezu unknackbar macht - eine Technik, die nicht erst seit gestern verfügbar ist und eigentlich Standard sein sollte.

Auch bei LinkedIn und eHarmony wurde nach Ansicht von Experten dieses weniger sichere Verfahren gewählt, bei dem mit Hilfe von frei verfügbaren Werkzeugen das Kennwort herausgerechnet werden kann. LinkedIn hat inzwischen in einer Stellungnahme angekündigt, Passwort-Hashs künftig salzen und die Sicherheitslücke damit schließen zu wollen.

Der Sicherheitsexperte Jeremiah Grossman, Gründer von WhiteHat Security, glaubt, dass die drei Fälle zusammenhängen. Auf Twitter schreibt er, LinkedIn, eHarmony und Last.fm nutzten Apache-Web-Server, aber verschiedene Programmiersprachen: "Mein Instinkt sagt mir, die Fälle hängen zusammen."

Nutzern aller Plattform wird dringend geraten, ihr Passwort zu ändern. Gerade in Fällen, wo plattformübergreifend dasselbe verwandt wird, öffnen Hacks wie diese Tür und Tor für weitere Attacken.