Wie Marktkräfte den Wert von Zugangsdaten bestimmen

Der Preis eines jeden Produkts oder Services wird stets durch das Prinzip des Angebots und der Nachfrage bestimmt. Doch wenn es um den Verkauf von Zugangsdaten im Dark Web geht, so sind manche bedeutend wertvoller als andere.

Wie aus einem Bericht des Forschungsunternehmens Comparitech hervorgeht, wird ein vollständiger Satz an Zugangsdaten eines US-amerikanischen Bürgers auf dem Schwarzmarkt im Durchschnitt für 8 USD gehandelt – bei Zugangsdaten von Personen aus Japan oder den Vereinigten Arabischen Emiraten liegt dieser Preis sogar bei ganzen 25 USD. Im Rahmen der zugrunde liegenden Studie wurden Daten von 40 verschiedenen Dark-Web-Websites untersucht.

Zu einem vollständigen Satz an Zugangsdaten zählen laut Bericht Sozialversicherungsnummern bzw. andere nationale ID-Nummern, Namen, Geburtsdaten, Adressen, Telefonnummern, Kontonummern und andere personenbezogene Informationen, die Cyberkriminelle zwecks Identitätsbetrug ausnutzen können.

Wie im Bericht ebenfalls erörtert, reicht der Preis für gestohlene Kreditkartendaten von 0,11 bis zu 986 USD, während gehackte PayPal-Konten für einen Preis von 5 bis 1.767 USD angeboten werden. Im Hinblick auf das Kreditlimit gestohlener Kreditkarten zeichnet sich ein Medianwert ab, der um das 24-Fache über dem Verkaufspreis liegt, während der Kontostand eines gehackten PayPal-Kontos im Dark Web im Schnitt um das 32-Fache über dem jeweiligen Preis liegt. Natürlich gibt es jedoch auch im Dark Web Mengenrabatte: Erwirbt ein Kunde die Daten mehrerer Kreditkarten (ein als „Dump“ bezeichneter Prozess), zahlt er lediglich die Hälfte der Kosten einer einzelnen Karte.

Der Diebstahl von Zugangsdaten ist kein neues Phänomen. Bereits seit Jahren werden Benutzernamen und Passwörter sowohl einzeln als auch im großen Stil über Anwendungen und Online-Dienste gestohlen — werden größere Datenmengen entwendet, so spricht man von sogenannten „Credential Spills“. Im Laufe der Zeit haben Cyberkriminelle immer raffiniertere Methoden entwickelt, um aus einzelnen Informationen ganze Sätze an Zugangsdaten abzuleiten, die anschließend für eine Vielzahl von betrügerischen Aktivitäten verwendet werden können. Die Kosten für gestohlene Zugangsdaten im Dark Web zeigen, wie einfach es ist, diese Informationen zu erlangen.  Die Tatsache, dass Zugangsdaten US-amerikanischer Staatsbürger im Dark Web für gerade einmal 8 USD gehandelt werden, lässt auf ein alles andere als knappes Angebot schließen.

Noch beunruhigender ist hingegen der Umstand, dass Cyberkriminelle immer häufiger in der Lage sind, sich Zugang zu Benutzerkonten zu verschaffen, indem Sie ermitteln, welche Passwörter in Kombination mit einem bestimmten Benutzernamen verwendet werden. Es ist lediglich eine Frage der Zeit, bis Betrüger maschinelle Lernalgorithmen anwenden, um Passwortmuster zu ermitteln und sich auf diese Weise unbefugt Zugang zu Websites zu verschaffen, für die ein Benutzer ein Konto mit einem bekannten Benutzernamen eingerichtet hat. Wie in jedem anderen Kontext, in dem maschinelle Lernalgorithmen zum Einsatz kommen, werden die zugrunde liegenden Algorithmen umso effektiver, je mehr Zugangsdaten eingespeist werden.

Es wird natürlich immer deutlicher, dass Benutzernamen und Passwörter als Mittel zur Gewährleistung von Sicherheit und Datenschutz nicht funktionieren. Zwar werden viele Unternehmen möglicherweise nicht in der Lage sein, sich ohne Weiteres von diesem etablierten Ansatz zu verabschieden, jedoch täten die meisten gut daran, einen alternativen Weg einzuschlagen.

In der Zwischenzeit sollten Cyber-Sicherheitsexperten den Preis verschiedener Arten von Zugangsdaten im Dark Web im Auge behalten. Denn wenn es darum geht, zu bestimmen, in welchen Bereichen Investition zur Verbesserung der Sicherheit am dringendsten erforderlich sind, gibt es keine zuverlässigere Referenz als den Preis, den Betrüger für gestohlene Daten zu zahlen bereit sind.