AdGuard-Nutzer benötigen ein neues Passwort

AdGuard hat einen Angriff auf seinen Server entdeckt, wie das Werbeblocker-Unternehmen auf Twitter mitteilt. Laut eigenen Angaben wurden die firmeneigenen Datenbanken weder geleakt noch gehackt. Angreifer sollen allerdings mit einer Datenbank versucht haben, auf die Konten der Nutzer zuzugreifen. Weiter schreibt AdGuard, man vermute, dass auf einige Konten zugegriffen werden konnte. Die Reaktion: Die Passwörter sämtlicher Nutzer wurden zurückgesetzt.

Today we detected an attack towards AdGuard servers, we believe that attackers were able to access some of the accounts. As a precautionary measure, we have reset passwords to all AdGuard accounts,https://t.co/9UPFakw7mi

— AdGuard (@AdGuard) 20. September 2018

Im Internet kursieren diverse Datenbanken, die Mailadressen und Passwörter enthalten. Da viele Anwender dasselbe Passwort für verschiedene Dienste benutzen, ist es wohl einen Versuch wert, dies so zu probieren. 

AdGuard schreibt in einem Blog-Eintrag (Security Notice), man habe nun strengere Anforderungen an die Passwörter gestellt. Zudem habe man sich mit der HaveIBeenPwned-API verbunden – der Website, die bekannte kompromittierte Konten sammelt. 

Doch wenn es stimmt, dass AdGuard nicht gehackt wurde, warum dann sämtliche Passwörter zurücksetzen? Wir haben Marcel Waldvogel, Professor für Computer Science an der Universität Konstanz, gefragt, ob dies üblich und sinnvoll ist. «Die Reaktion ist aussergewöhnlich. Die Massnahmen, die sie [AdGuard, Anm. d. Red.]  jetzt umsetzen, sind aber gar nicht schlecht», sagt Waldvogel.

«Die Verschärfung der Passwortpolicy bringt wahrscheinlich für das beschriebene Angriffsszenario nichts.» Eine Verschärfung der Passwortpolicy erreiche, dass einige der User ihr «Überall-Passwort» vielleicht nicht mehr einsetzen könnten. Das sei gut für die paar Fälle, bringe aber sonst kaum etwas.

Die Nutzung des HaveIBeenPwned-Dienstes oder die Nutzung anderer Passwortverzeichnisse hingegen findet Waldvogel eine gute Idee: «Denn abgesehen von Trivialpasswörtern sind geklaute und gephishte Passwörter heute die grösste Gefahr», so der Professor von der Uni Konstanz.

Grundsätzlich fände er es gut, wenn Organisationen auf sowas reagieren und sich Gedanken machen. «Damit ist die Reaktion automatisch besser als das, was geschätzt 99 Prozent der Firmen da draussen tun», findet Waldvogel. 

Das Unternehmen schreibt weiter, man wisse nicht genau, auf welche Konten die Angreifer zugegriffen haben. Alle in der AdGuard-Datenbank gespeicherten Passwörter sind verschlüsselt. Deshalb könne man nicht überprüfen, ob eines davon in der bekannten geleakten Datenbank vorhanden sei. «Darum haben wir uns entschieden, die Passwörter aller Benutzer zurückzusetzen», schreibt Co-Gründer Andrey Meshkov in der Security Notice. 

Kunden müssen nun ein neues Passwort festlegen. Um wieder Zugang zum Konto zu erhalten, klicken Sie auf diesen Link und folgen Sie den Anweisungen.

Weiter schreibt AdGuard, nach diesem «Unfall» habe man eine Einführung der Zwei-Faktor-Authentifizierung «nachdrücklich in Betracht bezogen» (strongly considered). Dies werde als nächster Schritt umgesetzt.