Kapitel 27: E-Mail-Hacking: Der Schlüssel zu allem anderen

Stellen Sie sich für einen Moment vor, Sie stehen vor Ihrer Haustür. Sie stecken den Schlüssel ins Schloss, aber er lässt sich nicht drehen. Sie versuchen es erneut, prüfen, ob Sie vielleicht den falschen Schlüsselbund haben, doch es ist der richtige. Plötzlich hören Sie Geräusche aus dem Haus. Jemand ist dort, hat den Schließzylinder ausgetauscht und geht gerade Ihre Briefe durch, öffnet den Safe, stöbert in Ihren Familienfotoalben und verschickt in Ihrem Namen Nachrichten an alle Ihre Freunde und Kollegen. Dieses Gefühl einer tiefgreifenden und invasiven Verletzung des privatesten Raums ist genau das, was jemand empfindet, der entdeckt, dass sein E-Mail-Konto gehackt wurde.

In diesem Buch haben wir uns mit vielen Betrügereien befasst – von irreführenden SMS-Nachrichten bis hin zu fingierten Anlage-Websites. Doch dieses Kapitel, das den Teil über Identitätsdiebstahl einleitet, ist vielleicht das wichtigste von allen. Warum? Weil Ihr E-Mail-Konto im digitalen Zeitalter der Generalschlüssel (The Master Key) ist. Es ist nicht nur ein Werkzeug für die Korrespondenz; es ist der Knotenpunkt, über den all Ihre sekundären Identitätsnachweise laufen. Die Bank, die Krankenkasse, die sozialen Medien, das iCloud- oder Google Photos-Konto, das E-Government und sogar die Stromrechnung – alle sind untrennbar mit Ihrer E-Mail-Adresse verbunden. Wer Ihre E-Mail kontrolliert, kontrolliert Ihre digitale Identität.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Der Dienstagmorgen von Ruth, einer selbstständigen Innenarchitektin aus Tel Aviv, begann ganz normal. Sie setzte sich mit ihrem Laptop ins Café um die Ecke, bereit, die Arbeitspläne durchzugehen, die ihr ein Bauunternehmer geschickt hatte. Als sie auf das Gmail-Symbol klickte, war sie überrascht festzustellen, dass sie zur Eingabe eines Passworts aufgefordert wurde. „Seltsam“, dachte sie, „der Computer erkennt mich doch immer.“ Sie gab ihr übliches Passwort ein – eine Kombination aus dem Namen ihres Hundes und ihrem Geburtsjahr –, aber das System reagierte mit einem leuchtenden Rot: „Passwort falsch“.

Ruth versuchte es erneut, diesmal langsamer. Das Ergebnis war dasselbe. Sie klickte auf „Passwort vergessen“ und erwartete, einen Bestätigungscode auf ihr Mobiltelefon zu erhalten, doch stattdessen erschien eine Nachricht, dass der Bestätigungscode an eine unbekannte E-Mail-Adresse gesendet wurde, die auf .ru (mail.ru) endete. Ihr Herzschlag beschleunigte sich. Sie versuchte, sich in ihr geschäftliches Instagram-Konto einzuloggen, wo sie tausende Follower und ein Jahrzehnt an Arbeitsbeispielen angesammelt hatte. „Das Passwort wurde vor zwei Stunden geändert“, teilte ihr die App mit.

Innerhalb von weniger als einer Stunde brach Ruths digitale Welt wie ein Kartenhaus zusammen. Der Hacker, der sich Zugang zu ihrer E-Mail verschafft hatte, ohne dass sie wusste wie, nutzte die Option „Passwort zurücksetzen“ bei jedem erdenklichen Dienst. Er drang in ihr Dropbox-Konto ein und lud Kopien von Verträgen mit Kunden herunter; er griff auf das Bankkonto zu und änderte die Postadresse; und das Schlimmste: Er begann, in ihrem Namen E-Mails an ihre Kontakte zu senden, mit der dringenden Bitte um ein Darlehen aufgrund eines „Notfalls im Ausland“.

„Hallo Ruth“, schrieb ihr der Hacker eine Stunde später per WhatsApp von einer anonymen Nummer, „wenn du dein Leben zurückhaben willst, hast du 24 Stunden Zeit, 2.000 Dollar in Bitcoin an die beigefügte Adresse zu überweisen. Wende dich nicht an die Polizei, ich habe alle deine privaten Fotos.“ Ruth saß im Café, umgeben von lächelnden Menschen, und hatte das Gefühl, in einem virtuellen Raum zu ertrinken, in dem sie kein Gesicht, keine Stimme und keine Möglichkeit hatte zu beweisen, dass sie sie selbst war.

Der Hauptschlüssel des digitalen Königreichs

Warum gilt E-Mail-Hacking als so bedeutsames Ereignis auf persönlicher Ebene? Die Antwort liegt in der Architektur des Internets. Die meisten digitalen Dienste weltweit verlassen sich auf ein „gegenseitiges Vertrauen“ gegenüber der E-Mail-Adresse. Wenn Sie sich auf einer Einkaufsseite, bei einer Bank oder in einer App registrieren, dient Ihre E-Mail als Identitätsanker. Wenn Sie Ihr Passwort vergessen haben, sendet der Dienst einen Link zum Zurücksetzen an eben diese E-Mail. Sobald ein Hacker in Ihrem Posteingang ist, kann er auf eine „Shopping-Tour“ für Passwörter gehen.

Er gibt einfach Ihre E-Mail-Adresse auf der Bankseite ein, klickt auf „Passwort vergessen“ und erhält den Zugang innerhalb von Sekunden. Er löscht die Bestätigungs-E-Mail sofort nach dem Klick, damit Sie es nicht bemerken, und lässt Sie so völlig im Ungewissen, während er Transaktionen auf den Konten durchführen oder Sicherheitseinstellungen ändern kann. Dies ist kein Einbruch in ein Haus; es ist die Übernahme der Nervenzentrale des modernen Lebens.

Abgesehen vom Reputationsaspekt ist E-Mail-Hacking für Geschäftsinhaber eine berufliche Katastrophe. Der Hacker kann fingierte Angebote versenden, Bankverbindungen auf Rechnungen an Kunden ändern (BEC-Betrug – Business Email Compromise, worauf wir in den nächsten Kapiteln eingehen werden) oder einfach jahrelangen Schriftverkehr vernichten. Der potenzielle rechtliche Schaden in einem solchen Fall kann erheblich sein: Die Offenlegung von Geschäftsgeheimnissen, die Verletzung der Vertraulichkeitspflicht gegenüber Kunden und die Verletzung der Privatsphäre Dritter.

Die Anatomie eines Hacks: Wie die Festung fällt

Im Laufe vieler Jahre professioneller Arbeit taucht bei den Betroffenen häufig die Frage auf: „Aber wie sind sie reingekommen? Ich habe ein kompliziertes Passwort!“. Die Realität ist, dass Hacker nur selten Passwörter mit den alten Methoden des „Ausprobierens“ (Brute Force) bei starken Diensten wie Google oder Microsoft erraten. Sie nutzen weitaus ausgeklügeltere Methoden, die die menschliche Psychologie oder die Nachlässigkeit anderer Dienste ausnutzen.

Die häufigste Methode ist Credential Stuffing. Stellen Sie sich vor, Sie haben sich in der Vergangenheit auf einer kleinen Koch-Website oder in einem unbedeutenden Forum registriert. Sie haben dort dieselbe E-Mail und dasselbe Passwort verwendet wie bei Gmail. Diese kleine Website wurde gehackt (und solche Dinge passieren täglich), und ihre Datenbank wurde im „Darknet“ verkauft. Der Hacker sucht nicht nach Ihren Rezepten; er lässt Bots laufen, die dieselbe Kombination aus E-Mail und Passwort auf anderen Websites ausprobieren, allen voran bei E-Mail-Diensten. Sobald es eine Übereinstimmung gibt – ist er drin.

Eine weitere Methode ist Session Hijacking (Sitzungsentführung). Hier benötigt der Hacker nicht einmal Ihr Passwort. Er veranlasst Sie dazu, eine scheinbar harmlose Datei herunterzuladen (wie ein „Rechnungsfoto“ oder eine „Hochzeitseinladung“), die Schadsoftware enthält. Diese Software stiehlt die „Cookies“ aus Ihrem Browser. Diese Cookies ermöglichen es Ihnen, angemeldet zu bleiben, ohne jedes Mal ein Passwort eingeben zu müssen. Sobald der Hacker diesen Cookie in seinem eigenen Browser „einfügt“, erkennt der Server ihn möglicherweise als autorisierten Benutzer und umgeht dadurch mitunter sogar fortgeschrittene Authentifizierungsmechanismen.

Und natürlich gibt es das klassische Phishing. Eine Nachricht, die aussieht, als käme sie vom Sicherheitsteam des E-Mail-Anbieters: „Es wurde ein unbefugter Zugriff auf Ihr Konto festgestellt, bitte klicken Sie hier, um Ihre Identität zu bestätigen.“ Der Link führt zu einer Anmeldeseite, die exakt wie das Original aussieht, aber vom Angreifer betrieben wird. Sobald Sie Ihren Benutzernamen und Ihr Passwort eingegeben haben, sind die Schlüssel in den Händen des Angreifers.

Der rechtliche Rahmen: Schutz der Privatsphäre und des Computers

Wenn wir einen E-Mail-Hack aus juristischer Sicht betrachten, agieren wir auf drei Hauptebenen: Strafrecht, Schadensersatzrecht (Deliktsrecht) und Datenschutzrecht.

Computergesetz (1995): Dies ist das Grundgesetz, das sich mit Computerstraftaten in Israel befasst. Das Gesetz definiert das unbefugte Eindringen in Computermaterial als Straftat. Ein E-Mail-Hack gilt als Eindringen in Computermaterial. Wenn der Hack begangen wurde, um eine weitere Straftat (wie Betrug oder Erpressung) zu begehen, erhöht sich der Schweregrad des Delikts. Das rechtlich-praktische Problem besteht meist in der Identifizierung des Täters, der häufig außerhalb der Landesgrenzen operiert.

Datenschutzgesetz (1981): Ein E-Mail-Hack ist einer der schwerwiegendsten Verstöße gegen das Recht auf Privatsphäre, das auch im Grundgesetz verankert ist. Das Datenschutzgesetz definiert das Lesen von Schreiben, die nicht zur Veröffentlichung bestimmt sind, als Verletzung der Privatsphäre. Das bedeutet, dass selbst wenn der Hacker kein Geld gestohlen hat, das bloße Lesen von Korrespondenz einen möglichen Grund für eine Schadensersatzklage darstellt. Die Analyse der Rechtstrends zeigt, dass unter bestimmten Umständen ein Anspruch auf Entschädigung für immaterielle Schäden (psychische Belastung, Verletzung der Privatsphäre) bei einem Hack in den digitalen Raum bestehen kann, selbst ohne den Nachweis eines greifbaren Schadens.

Haftung des Dienstanbieters und der Banken: Hier betreten wir ein komplexes juristisches Feld. Sind die großen Dienstanbieter für den Hack verantwortlich? In den allermeisten Fällen entbinden sie sich in ihren Nutzungsbedingungen von der Verantwortung, es sei denn, es wird nachgewiesen, dass es bei ihnen eine systemische Sicherheitslücke gab. Wenn jedoch der E-Mail-Hack als Werkzeug für einen Einbruch in das Bankkonto genutzt wird, kommt die Sorgfaltspflicht des Finanzinstituts ins Spiel. Nach dem Gesetz über Zahlungsdienste (2019) trägt die Bank bei unbefugten Transaktionen eine weitreichende Verantwortung. Wenn die Bank Transaktionen aufgrund einer E-Mail-Anweisung ermöglicht hat, ohne die gemäß den Richtlinien erforderliche zusätzliche Verifizierung durchzuführen, könnte die Haftung der Bank für den Schaden geprüft werden.

Banken- und institutionelle Verantwortung: Der Kampf um Entschädigung

Im Laufe vieler Jahre professioneller Arbeit und der Prüfung vielfältiger Fälle zeigt sich, dass ein entscheidender Punkt die Verbindung zwischen dem E-Mail-Hack und dem finanziellen Schaden auf der Bank ist. Gelegentlich wird das Argument vorgebracht, dass der E-Mail-Hack aufgrund der Fahrlässigkeit des Benutzers möglich war und die Bank daher von der Haftung befreit sei.

Hier müssen wir den juristischen Begriff des „Mitverschuldens“ prüfen. Befreit die Tatsache, dass ein Benutzer ein einfaches Passwort verwendet hat, die Bank von der Verantwortung? Die Analyse der Rechtstrends und der Geist des modernen Rechts zeigen, dass die Antwort nicht unbedingt positiv ist. Das Bankensystem sollte mit der Möglichkeit von Passwortdiebstählen rechnen, weshalb Banken zu einer „starken Authentifizierung“ verpflichtet sind. Wenn die Bank sich mit einem Identifikationsmittel begnügt hat, das nicht ihrer erhöhten Sorgfaltspflicht gegenüber dem Kunden entspricht, kann ihre Haftung für den Schaden geprüft werden.

Dennoch müssen wir vorsichtig sein. Wenn der Benutzer grob fahrlässig gehandelt hat, wie etwa durch das Speichern einer Liste von Passwörtern innerhalb der E-Mails oder durch das Ignorieren wiederholter Sicherheitswarnungen, steigt der Grad seiner Verantwortung, und die Möglichkeit, Optionen für die Rückerstattung von Geldern zu prüfen, kann eingeschränkt sein. Jeder Fall wird individuell nach seinen spezifischen Umständen bewertet, wobei geprüft wird, „wer den Schaden am besten hätte verhindern können“.

Bewältigungsstrategien: Was tun, wenn der Schlüssel verloren geht?

Wenn Sie feststellen, dass Ihre E-Mail gehackt wurde, sind die ersten Minuten entscheidend. Dies ist keine Zeit für Panik, sondern für taktisches Handeln. Die erste Maßnahme ist ein Wiederherstellungsversuch über die offiziellen Tools des Anbieters. Es ist wichtig, dies von einem „sauberen“ Gerät aus zu tun, für den Fall, dass das ursprüngliche Gerät mit Schadsoftware infiziert ist.

Danach empfiehlt es sich, die „Verbindung“ zwischen der E-Mail und anderen Diensten zu trennen. Sie können sich an Banken und Kreditkartenunternehmen wenden, um auf den Verdacht eines digitalen Identitätsdiebstahls hinzuweisen. Sie können die Sperrung von Online-Transaktionen beantragen und nur noch telefonische Bestätigungen zulassen. Gleichzeitig ist es ratsam, die Passwörter für jeden kritischen Dienst zu ändern und eine Zwei-Faktor-Authentifizierung einzurichten, die auf einer Authentifizierungs-App basiert.

Aus rechtlicher Sicht ist es ratsam, so viel wie möglich zu dokumentieren: Screenshots von Fehlermeldungen, E-Mails vom Hacker und Sicherheitswarnungen. Sie können eine polizeiliche Anzeige erstatten, damit Sie eine offizielle Bestätigung des Vorfalls haben, die für zukünftige Anfragen an Banken, Versicherungsgesellschaften oder für Gerichtsverfahren erforderlich sein kann.

Warnsignale: Bevor die Tür zuschlägt

Ein E-Mail-Hack kommt fast nie aus dem Nichts. Im Laufe der Jahre sind wir auf vielfältige Fälle gestoßen, in denen es Vorzeichen gab:

• E-Mails im Ordner „Gesendet“, die nicht von Ihnen verschickt wurden: Hacker prüfen manchmal das Terrain und verschicken eine Test-E-Mail.
• Erhalt von „Passwort zurücksetzen“-Meldungen, die Sie nicht angefordert haben: Ein Zugriffsversuch auf Konten, die mit Ihrer E-Mail verknüpft sind.
• Warnungen über „Anmeldung von einem neuen Gerät“: Benachrichtigungen von E-Mail-Anbietern über Zugriffe von einem unbekannten geografischen Standort.
• Freunde fragen Sie nach einer „seltsamen E-Mail“, die Sie verschickt haben: Ein Zeichen dafür, dass das Konto als Plattform zur Verbreitung von Betrug genutzt wird.
• Plötzliche Unfähigkeit, sich anzumelden: Ein Stadium, in dem das Passwort oder die Wiederherstellungsdaten möglicherweise geändert wurden.

Was sofort zu tun ist: Notfallprotokoll

1. Passwort ändern und Sitzungen beenden: Wenn Sie noch Zugriff haben, ändern Sie sofort das Passwort und nutzen Sie die Option, alle anderen verbundenen Geräte abzumelden.
2. Weiterleitungseinstellungen (Forwarding) prüfen: Überprüfen Sie, ob eine automatische Weiterleitung von E-Mails an eine fremde Adresse eingerichtet wurde.
3. Kontakte informieren: Informieren Sie Ihren Verteiler über den Vorfall, um weiteren Schaden zu verhindern.
4. Bank und Kreditkartenunternehmen kontaktieren: Prüfung der Möglichkeit einer vorübergehenden Sperrung des digitalen Zugangs.
5. Zwei-Faktor-Authentifizierung (2FA) aktivieren: Dies ist eine der wichtigsten Sicherheitslinien, die heute existieren.

Rechtlicher Aspekt: Zusammenfassung der Risiken und Rechte

Es ist wichtig zu verstehen, dass das juristische Bewusstsein für Cyber-Schäden zunimmt. Die Haftbarmachung von Stellen, die die Daten ihrer Kunden nicht angemessen geschützt haben, kann je nach Umständen geprüft werden. Gegenüber dem privaten Nutzer besteht jedoch die Erwartung, mit angemessener Sorgfalt zu handeln.

Wenn Sie Opfer eines E-Mail-Hacks wurden, der zu einem finanziellen Schaden geführt hat, können folgende Punkte geprüft werden:

• Hat der Dienstanbieter gemäß den üblichen Richtlinien zur Datensicherheit gehandelt?
• Hat der Kunde eine Echtzeit-Warnung über die ungewöhnliche Aktivität erhalten?
• Wurde der Hack durch die Fahrlässigkeit eines Dritten ermöglicht?

Der beste Schutz ist Prävention, aber sobald das Ereignis eingetreten ist, empfiehlt es sich, Beweise zu sichern. Die Dokumentation des Ereignisverlaufs und die Prüfung von Möglichkeiten für professionelle Rechtsberatung können dabei helfen, Ihre Rechte geltend zu machen und den Versuch zu unternehmen, den vorherigen Zustand wiederherzustellen.