Datenlecks einordnen
Firmen-E-Mail im Datenleck: Zugänge gezielt absichern
Eine Firmen-E-Mail in einem bekannten Datenleck bedeutet, dass diese Adresse in einem veröffentlichten Datensatz enthalten ist. Ob auch ein aktuelles Passwort, eine Sitzung oder Ihr Firmenkonto betroffen ist, muss gesondert geprüft werden.
Für Ihren nächsten Schritt
Prüfen Sie Quelle und betroffenen Dienst. Bei tatsächlich gefährdeten Zugängen gehören Passwort, laufende Sitzungen, Mehrfaktor-Anmeldung und Berechtigungen gemeinsam in die Untersuchung.
Verfügbare Leak-Quellen kennenlernenEin Leak-Treffer ist der Beginn einer Prüfung.
Eine geschäftliche Adresse kann bei einem externen Dienst verwendet worden sein. Ein Treffer dort belegt nicht automatisch einen Einbruch in Ihr Unternehmensnetzwerk. Prüfen Sie, welcher Dienst genannt ist, welche Datenarten betroffen sein sollen und aus welchem Zeitraum der Vorfall stammt. Veröffentlichungsdatum, Zeitpunkt des Vorfalls und Zeitpunkt Ihrer Entdeckung können weit auseinanderliegen.
Dienste wie Have I Been Pwned führen bekannte Datenlecks zusammen. Die domainweite Abfrage erfordert einen Berechtigungsnachweis. Die Adresssuche und eine Passwortprüfung sind unterschiedliche Funktionen. Nicht jeder Fund enthält ein Passwort und nicht jede tatsächlich erfolgte Kompromittierung ist in diesen Quellen enthalten.
Fachliche Grundlage: Have I Been Pwned: Datenarten, Berechtigung und Abdeckung
Welche Zugänge haben Vorrang?
Beginnen Sie mit Zugängen, über die weitere Konten zurückgesetzt oder viele Daten erreicht werden können. Dazu gehören das zentrale E-Mail-Postfach, Administratorenkonten und wichtige Cloud-Dienste. Stimmen Sie die Reihenfolge mit Ihrer IT ab. Wenn bereits ein unberechtigter Zugriff vermutet wird, behandeln Sie die Situation als Vorfall und beschränken Sie sich nicht auf einen Passwortwechsel.
| Beobachtung | Nächste Prüfung |
|---|---|
| Adresse in altem Leak | Gibt es das Konto noch? Welche Datenarten waren betroffen? Wurde dasselbe Passwort anderswo verwendet? |
| Aktuelles oder wiederverwendetes Passwort betroffen | Betroffene Dienste absichern und aktive Sitzungen sowie Wiederherstellungswege prüfen. |
| Unbekannte Anmeldung oder Weiterleitungsregel | IT unverzüglich einbeziehen, Zugriffe eindämmen und Protokolle sichern. |
| Dienst oder Person nicht zuordenbar | Zuordnung intern klären; keine unbekannten Links öffnen oder geleakte Daten herunterladen. |
Das Passwort ist nur ein Teil des Kontos.
Öffnen Sie den echten Dienst über einen bekannten Weg. Ihre IT sollte den Zugriff absichern und bestehende Anmeldesitzungen berücksichtigen. Prüfen Sie außerdem, ob zusätzliche Anmeldemethoden, Wiederherstellungsadressen, Weiterleitungen oder fremde Anwendungsberechtigungen eingerichtet wurden. Ein Angreifer kann sonst trotz Passwortwechsel Zugriff behalten.
Dokumentieren Sie die Feststellungen und die durchgeführten Änderungen mit Zeitpunkt und Zuständigkeit. Informieren Sie betroffene Mitarbeitende so, dass sie echte Rückfragen erkennen. Senden Sie keine gefundenen Passwörter in E-Mails oder Support-Tickets.
Fachliche Grundlage: Microsoft: Auf kompromittierte Konten reagieren
Wann ist die Aufgabe erledigt?
Eine Aufgabe sollte erst geschlossen werden, wenn die betroffenen Dienste zugeordnet, die notwendigen Maßnahmen umgesetzt und verbleibende Fragen benannt sind. Eine kurze Notiz „Passwort geändert“ sagt beispielsweise nicht, ob eine unberechtigte Weiterleitung entfernt wurde oder ein gemeinsam genutzter Zugang noch weitere Nutzer betrifft.
Für Centira gilt: Sensible Leak-Hinweise werden erst im freigegebenen Unternehmenskontext und mit den dafür eingerichteten Datenquellen zugänglich. Der kostenlose Domain-Check untersucht öffentliche Konfiguration und ist keine vollständige Suche nach allen Firmen-E-Mails. Auf der Datenquellenseite finden Sie den jeweiligen Umfang und die Voraussetzungen.
Kurz erklärt
Häufige Fragen
Muss ich gefundene Passwörter ausprobieren?
Nein. Nutzen Sie die Informationen zur internen Zuordnung und Absicherung. Probieren Sie keine Zugangsdaten bei fremden Diensten aus und laden Sie keine Leak-Rohdaten herunter.
Heißt kein Treffer, dass alle Zugänge sicher sind?
Nein. Ein Ergebnis hängt von den abgefragten Quellen, deren Aktualität und der Berechtigung ab. Fehlende Treffer schließen eine Kompromittierung nicht aus.
Quellen zum Weiterlesen
- Have I Been Pwned: Datenarten, Berechtigung und Abdeckung
- Microsoft: Auf kompromittierte Konten reagieren
Produktangaben beziehen sich auf den beschriebenen Centira-Prüfumfang zum angegebenen Aktualisierungsdatum.