Am 13. Februar dieses Jahres vermutete ich hier auf Unser täglich Spam, dass entweder bei PayPal oder bei eBay ein Datenleck vorliegen könne, weil mir ein Fall bekannt wurde, in dem ein Mensch sehr gezielt auf zwei Mailadressen Phishing-Mails erhalten hat:

Die mir vorliegende Spam – sie wurde mir übrigens von einem Leser „zugesteckt“ – ist keine „Streumunition“, sondern sehr gezielt. Sie ging an zwei verschiedene E-Mail-Adressen, die exklusiv für PayPal […] verwendet wurden. Zudem wurden die PayPal-Konten mit den beiden verschiedenen E-Mail-Adressen gegenüber verschiedenen Geschäftspartnern auf eBay verwendet.

Eine dieser E-Mail-Adressen wurde vor kurzem stillgelegt, die andere hingegen wurde neu eingerichtet und bis zum Empfang dieser Spam nur für eine einzige Transaktion verwendet.

Diese Vermutung scheint sich heute bestätigt zu haben, denn lt. Bericht des „Spiegel“ hat bei eBay ein nennenswertes Datenleck vorgelegen, das möglicherweise „eine große Zahl“ von Nutzern betrifft:

Dabei seien persönliche Kundendaten wie Namen, verschlüsselte Passwörter, Adressen, E-Mail-Adressen, Geburtstage und Telefonnummern erbeutet worden. Offenbar konnten die Angreifer Login-Daten von Mitarbeitern abgreifen und sich so Zugang zu den Kundendaten verschaffen. Es gebe allerdings keine Anzeichen, dass die Angreifer Zugriff auf Finanzinformationen wie Kreditkarten gehabt hätten.

Es war einzelnen Betroffenen damals möglich, dieses Datenleck frühzeitig zu erkennen (und mir einen Hinweis zuzustecken), weil sie E-Mail-Adressen eingerichtet haben, die nur für eBay oder PayPal verwendet wurden, die dann für (zum Glück sehr schlechte) Phishing-Spams benutzt wurden. Diese frühe Erkennung des möglichen Problems – immerhin ganze drei Monate, bevor es von eBay offiziell eingeräumt wurde – hat überhaupt erst die Möglichkeit geschaffen, präventiv einem Missbrauch der erbeuteten Daten durch die Organisierte Kriminalität entgegenzutreten.

Und genau deshalb kann ich es jedem nur empfehlen, für jeden benutzten Dienst im Internet eine eigene E-Mail-Adresse zu verwenden und beim ersten Aufkommen von Spam diese Mailadresse stillzulegen sowie den betroffenen Account ebenfalls stillzulegen oder doch wenigstens das Passwort zu ändern und mit deutlich erhöhter Aufmerksamkeit an diesen Account heranzugehen¹. E-Mail-Adressen gibt es ohne Ende. Dieser recht kleine Aufwand kann im Falle eines derartigen Datenlecks leicht sehr viel Ärger und Geld einsparen.

Die unerfreuliche Datenschleuder-Seite mit sicher erkannten Datenlecks renommierter Unternehmen und Institutionen hat jetzt auch einen weiteren Eintrag bekommen. Wer diese immer länger werdende Liste auch nur kurz überfliegt, findet hoffentlich auch, dass sich dieser kleine Aufwand (jeweils wenige Minuten für die Einrichtung einer E-Mail-Adresse) lohnt.

Denn wer sich auf die Datenschutz-Versprechungen anderer verlässt, der ist schnell verlassen.

Nachtrag 23. Mai, 12:45 Uhr: Es waren 145 Millionen [!] Kundendatensätze. Es ist erst Mai, aber eBay ist jetzt schon ein Kandidat für die Datenschleuder des Jahres.

¹Weil bei eBay Kundenbewertungen sehr wichtig sind, kann ein Stilllegen des Accounts schmerzhaft sein.