Offene Passwörter: Wie Sie herausfinden können, ob Ihr Unternehmen an Datendiebstählen beteiligt ist

7 Minuten Lesestunden · DataRoad

Erfahren Sie, ob die Passwörter Ihres Unternehmens öffentlich zugänglich sind Es ist einfacher, als es aussieht: Mit einem Dienst wie Have I Been Pwned und nachdem man bewiesen hat, dass der Domänennamen tatsächlich Ihnen gehört, kann man in wenigen Minuten sehen, welche Adressen der Teammitgliedern bekannt sind und welche nicht. Der nächste Schritt ist das, was das Unternehmen wirklich schützt: Sicherzustellen, dass keine dieser Passwörter eine Arbeitskopie öffnet und dass ein Passwort allein nicht ausreicht, um sich einzuloggen.

Warum passiert das bei allen Unternehmen?

Die Mitarbeiter nutzen ihre Arbeits-E-Mail-Adresse, um sich in Online-Tools, Konferenzen und Schulungsplattformen zu registrieren. Wenn einer dieser Dienste angegriffen wird, wird die E-Mail-Liste und die Passwörter oft veröffentlicht oder verkauft. Ihr Unternehmen wurde nicht angegriffen – aber die Daten Ihrer Mitarbeiter sind da.

Wenn das Passwort auf dieser Website dieselbe ist wie bei Microsoft 365, hat der Angreifer bereits den Schlüssel. Er muss nichts erraten.

So überprüfen Sie Ihr Unternehmen: Schritt für Schritt

Individuelle Überprüfung

Jeder kann seine eigene E-Mail-Adresse auf haveibeenpwned.com nachsehen und sehen, in welchen bekannten Sicherheitslücken sie auftaucht. Es ist hilfreich, um die Mitarbeiter aufzuzeigen, aber es gibt keine Einblicke in das Unternehmen.

Überprüfung des gesamten Domaines

Um alle @suaempresa.pt-Adressen einer einzigen Instanz anzuzeigen, verlangt Have I Been Pwned, dass man beweist, dass man die Domäne kontrolliert. Es gibt vier Möglichkeiten:

1. Ein TXT-Datensatz dem DNS-Namespace des Domänennamens mit dem angegebenen Wert hinzufügen.
2. Eine Meta-Tag auf die Startseite der Website einfügen.
3. Ein kleines HTML-Dokument laden Sie auf den Server der Website.
4. Klicken Sie auf einen Link, der an eine Domänenadministratorens-Adresse gesendet wurde.

In der Praxis erledigt derjenige, der DNS oder die Website verwaltet, dies innerhalb weniger Minuten. Laut der Preisschaltfläche des Dienstes ist die Überwachung kostenlos für Domains mit bis zu 10 ausgesetzten Adressen; größere Domains erfordern eine bezahlte Abonnementoption mit Stufen je nach Anzahl der ausgesetzten Adressen.

Passwörter prüfen, nicht nur E-Mails

Dieser Dienst verfügt über eine Basis von Passwörtern, die bereits in Ausbrüchen bekannt wurden – Pwned Passwords –, die so konzipiert ist, dass sie ohne die Angabe des Passworts an diejenigen, die sie überprüfen, abgerufen werden können. Das US-Institut für Normen, das NIST, empfiehlt genau das: Jedes neue Passwort zu einer Liste üblicher oder gefährdeter Passwörter zu vergleichen und es abzulehnen, wenn es darin enthalten ist. In Microsoft-Umgebungen gibt es entsprechende Schutzmaßnahmen, die schwache oder bekannte Passwörter blockieren.

Was man jetzt tun sollte: der Plan in 4 Schritten

Austauschen, aber mit Bedacht

Seit Jahren zwingen Unternehmen Unternehmen, alle 90 Tage ein neues Passwort zu ändern. Das NIST hat dies nicht mehr empfohlen: Die aktuelle Empfehlung lautet, keine regelmäßigen Änderungen zu erfordern, sondern diese nur dann durchzuführen, wenn Anzeichen für eine Sicherheitsverletzung vorliegen. Die Anzeige in einer Datenflucht ist genau dieses Anzeichen.

MFA: Das Stück, das alles verändert

Mit MFA ist ein gestohlenes Passwort nicht mehr ausreichend – die Genehmigung auf dem Handy ist erforderlich. Laut Microsoft verlangsamt die MFA in Kombination mit dem Sperren der alten Authentifizierung über 99,9 Prozent der gängigen Angriffe auf Konten. Wir erklären die Optionen: MFA: Mehrfache Identitätsüberprüfung im Unternehmen.

Passwortmanager: das Wiederverwenden beenden

Niemand kann 40 verschiedene und lange Passwörter merken. Ein Passwortmanager generiert sie, speichert sie und füllt sie aus. Das NIST empfiehlt, dass die Systeme diese Manager und die “Einfügung” von Passwörtern unterstützen und verlangt mindestens 15 Zeichen für das Passwort, wenn es der einzige Faktor ist. Sehen Sie, wie Sie wählen und implementieren können. Passwortmanager für Unternehmen.

Anzeichen dafür, dass ein Konto bereits verwendet wurde

Das Auftauchen in einer Flucht bedeutet nicht, dass jemand bereits eingedrungen ist. Aber es gibt Anzeichen, die eine sofortige Reaktion erfordern:

• Anmeldeinitiativen aus Ländern, in denen das Unternehmen nicht tätig ist.
• Neue E-Mail-Richtlinien, die Nachrichten an den Absender weiterleiten oder löschen.
• Anfragen nach MFA, die der Mitarbeiter nicht gestellt hat – und die er versehentlich genehmigen kann.
• Kunden oder Lieferanten, die ungewöhnliche E-Mails aus dem Konto erhalten, z. B. mit einem veränderten IBAN — wir haben diesen Trick bereits in Angriff genommen. E-Mail-Betrug: die geänderte Rechnung.

Damit diese Signale rechtzeitig jemandem erreichen, ist eine Überwachung mit Warnmeldungen erforderlich – was in den Planungen vorgesehen ist. IT Unlimited DataRoad ist Teil der integrierten Sicherheit, zusammen mit MFA und der Absicherung der Standorte.

Ein echter Fall: 350 Stellen unter Sicherheitskontrolle

Ventask arbeitet seit 2016 mit DataRoad zusammen. Heute sind es 350 Standorte bei IT Unlimited, die sich um die Firewall-Verwaltung, die Sicherheit der Arbeitsplätze (Endpoints), die Lösungen für Remote-Arbeit und die Wartung der Cybersicherheitslösungen kümmern. In einem Unternehmen dieser Größe ist die Frage nie, ob eine E-Mail der Mitarbeiter in einer Ausweitung auftaucht, sondern vielmehr, wie schnell eine exponierte E-Mail-Adresse zu einer offenen Tür wird. Lesen Sie den Fall Ventask: IT Unlimited mit 350 Mitarbeitern und Firewalls und erfahren Sie mehr über unsere Herangehensweise Cybersicherheit für Unternehmen.

Häufig gestellte Fragen

Ist es sinnvoll, zu prüfen, ob die E-Mails meines Unternehmens Datenverlusten ausgesetzt sind?

Ja, für Ihr eigenes Domänennamen. Deshalb verlangt Have I Been Pwned eine Bestätigung, dass Sie die Kontrolle darüber haben, bevor wir die vollständige Liste zeigen. Das Ziel ist es, die Konten des Unternehmens zu schützen, nicht die persönliche Lebensgeschichte der Mitarbeiter zu untersuchen.

Wenn ein E-Mail-Nachricht auftaucht, ist das Konto gehackt?

Nicht unbedingt. Das bedeutet, dass die E-Mail-Adresse und manchmal auch ein Passwort in einem anderen Dienst veröffentlicht wurde. Das tatsächliche Risiko hängt davon ab, ob diese Passwörter auch im Arbeitsalltag verwendet werden und ob die Konten MFA (Multi-Factor Authentication) haben oder nicht.

Soll die Mannschaft jeden Monat dazu gezwungen werden, ein neues Passwort zu ändern?

Nein. Die aktuelle Richtlinie des NIST lautet, keine regelmäßigen Änderungen zu erfordern, sondern nur dann zu verlangen, wenn Anzeichen für eine Sicherheitsverletzung vorliegen. Langsame, einzigartige Passwörter, die in einem Manager gespeichert und mithilfe von MFA geschützt werden, sind effektiver als häufige Änderungen.

Wie oft sollten wir die Domäne überprüfen?

Das Ideal ist eine kontinuierliche Überwachung, mit Warnungen bei jedem neuen Angriff mit Adressen des Unternehmens. Mindestens einmal pro Quartal und immer dann, wenn ein Angriff auf einen Dienst bekannt wird, den die Mitarbeiter nutzen.

Verifizierung von Passwörtern, die innerhalb von 5 Werktagen öffentlich zugänglich sind

Wir haben Ihren Domänennamen in bekannten Datenverlustfällen überprüft, identifiziert die gefährdeten Konten, haben die MFA bei allen Konten bestätigt und den Austauschplan und das Passwortmanagement-System bereitgestellt, um diese umzusetzen. Für Unternehmen mit mehr als 10 Standorten · Vertrag zur Unterstützung · Fern-, lokaler und telefonischer Support.

Quellen

• Bin ich gehackt — Wie kann ich meine Domain verifizieren?
• Bin ich gehackt — Preisgestaltung (Domains mit bis zu 10 freigegebenen Ausstelladressen)
• Bin ich gehackt — FAQs (Domain-Suche und Pwned Passwörter)
• NIST SP 800-63B-4 — Authentifizierung und Authenticator-Management
• OWASP — Credential stuffing
• Microsoft Learn — Sicherheitsstandards in Microsoft Entra ID