Informationen zum Fremdzugriff auf Backup-Server [Update]
Yuya Mit großem Bedauern müssen wir euch mitteilen, dass wir Fremdzugriff auf einen unserer Backup-Server festgestellt haben. Obwohl wir höchsten Wert auf Sicherheit unserer Server und eurer Daten legen, kam es nun nach 20 Jahren erstmals dazu. Wir sind sehr bestürzt darüber und haben bereits die Schwachstellen beseitigt und auch alle weiteren Server überprüft. Zum Glück betraf es nur diesen einen Server.
Nachfolgend erklären wir euch, was passiert ist und was ihr tun könnt.
Was ist passiert?
Der Server wurde vor Wochen aufgrund einer defekten Festplatte repariert, war jedoch noch nicht wieder vollständig in Betrieb genommen worden. Dadurch waren auch nicht alle Aktualisierungen eingespielt und die Firewall nicht korrekt konfiguriert worden.
Der unbefugte Zugriff wurde abends, am 20. November bemerkt und unser Team hat sich sofort daran gemacht die Situation zu analysieren, den Server umgehend zu sichern und auch alle übrigen Server zu überprüfen. Die ausgenutzte Sicherheitslücke bestand nur auf diesem System, d.h. wir können auszuschließen, dass auch andere Server auf diesem Weg angegriffen wurden.
Die Datenbank auf dem betroffenen Server wurde zu einem großen Teil kopiert und anschließend auf dem Server gelöscht.
Es wurden personenbezogene Daten, verschlüsselte Passwörter, ENS (ausgenommen das ENS-Archiv), Steckbriefe, Blogs, Zirkel und so ziemlich alle Inhalte, die aus Text bestehen gestohlen. Bilder und Fotos sowie Dateien, die als ENS-Anhang oder ähnliches hochgeladen wurden, sind nicht betroffen.
Leider konnten wir euch nicht früher informieren, da wir erst die Auflagen der Datenschutzbehörde umsetzen mussten. Alle Mitglieder erhalten in den nächsten Tagen eine E-Mail zu diesem Vorfall.
Was tut Animexx als Konsequenz?
Wir werden den Fall technisch im Detail untersuchen. Der Hack wurde zur Anzeige gebracht. Auf Wunsch der zuständigen Behörde, möchten wir euch bitten von einer privaten Anzeige abzusehen, da dies hinderlich wäre.
Außerdem haben wir den Fall der zuständigen Datenschutzbehörde gemeldet und sind in enger Absprache mit dieser und unserem externen Datenschutzbeauftragten.
Der betroffene Server wurde selbstverständlich sofort abgesichert und ist nicht mehr von außen zugänglich.
Weitere Maßnahmen, die wir umsetzen sind folgende:
- Regelmäßige Security-Audits für alle Systeme, insb. in Hinsicht auf aktuelle Patches und Firewallregeln
- Wir prüfen, inwieweit wir besondere Daten wie die ENS oder Adressdaten in der Datenbank verschlüsseln können. Mit den derzeitigen Funktionen auf Animexx.de würden einige davon nicht mehr funktionieren. Daher müsste dies als optionale Auswahl zur Verfügung gestellt werden
- Ein neues Loginverfahren wurde bereits implementiert, um besseren Schutz zu gewährleisten
Was wurde bisher herausgefunden?
Die Angreifenden scannen das Internet nach Servern mit bestimmten Schwachstellen ab und starten dann üblicherweise ein vorgefertigtes Programm, dass wie oben beschrieben Daten herunterlädt und anschließend löscht und eine Benachrichtigung zurück lässt.
Dieser Angriff richtete sich nicht gezielt gegen Animexx, sondern wurde breit gestreut. Es gibt also kein spezielles Interesse der oder des Angreifenden an unseren Daten - in erster Linie geht es um die Erpressung von Bitcoin/Geld. Für gewöhnlich richten sich diese Angriffe an "Live"-Datenbanken und setzen deren Opfer unter Druck, da die Website/Datenbank dann ausgeschaltet bzw. verschlüsselt wird. In unserem Fall betraf der Hack nicht die Live-Datenbank, sondern ein älteres Backup.
Die Angriffe, die sich nach diesem Schema richten und die eine gleiche, oder stark ähnliche Botschaft der Erpresser beinhalten, finden seit August/September diesen Jahres vielfach im Netz statt.
Welche Auswirkungen hat das?
Die Datenbank hat ein älteres Backup beinhaltet, dass für den laufenden Betrieb nicht mehr benötigt wird. Es sind also keine Bestandteile der Animexx-Seite davon direkt betroffen.
Es ist leider nicht auszuschließen, dass Teile der Datenbank in entsprechenden illegalen Bereichen des Internets veröffentlicht werden. Normalerweise werden vor allem E-Mail-Adressen und Passwörter interessant, weil man damit wiederum gezielt einzelne Personen hacken kann.
Es ist möglich, dass ihr Phishing*-Nachrichten per E-Mail erhalten werdet. Seid bitte besonders aufmerksam!
Der Aufsichtsbehörde liegen nach aktuellem Stand keine Erkenntnisse vor, dass die betroffenen Datensätze bereits missbräuchlich verwendet wurden oder werden. Wird uns oder der Aufsichtsbehörde bewusst, dass sich das ändert, informieren wir euch umgehend.
Sind die Daten verschlüsselt?
Obwohl die Adaption eines stärkeren Hash* Verfahrens zur Sicherung der Passwörter begonnen hatte, konnten wir leider feststellen, dass das ehemals benutzte SHA1-Verfahren zu Kompatibilitätszwecken weiterhin in der Datenbank verfügbar blieb. Die nicht mehr vollkommen sicheren SHA1-Passwörter sind damit dem Nutzerkonto trotz eines solideren, aktuelleren Hashes zuordenbar. Die Gefahr der Entschlüsselung von Passwörtern ist gegeben. Wir empfehlen allen Mitgliedern ihre Passwörter zur Sicherheit zu ändern und nirgends die gleichen Passwörter zu verwenden.
Mitglieder, die TOFU nutzen, haben die Möglichkeit, für eine Bank-Lastschrift ihre Kontodaten zu hinterlegen. Die Kontodaten sind auf dem Server nur verschlüsselt hinterlegt und können nur in der Buchhaltung lokal entschlüsselt werden.
Für alle anderen Daten bieten wir kein verschlüsseltes Verfahren an, diese könnten also ggf. in falsche Hände geraten. Betroffen sind hiervon unter anderem Adressdaten oder ENS.
Was ist nicht betroffen?
Es wurden ausschließlich Daten die in der Datenbank gespeichert waren entwendet. Nicht betroffen sind also alle Arten von Bildern/Fotos/Dateien.
Alle Daten, die nach dem 30. Juli 2019 angelegt wurden, sind ebenfalls nicht betroffen.
Was könnt/müsst ihr tun?
Wie immer bei ähnlichen Vorfällen sind diese Punkte zu nennen:
- Das Animexx-Passwort zeitnah ändern
- Passwörter auf keinen Fall mehrfach für verschiedene Websites und/oder Apps verwenden. Bereits kleine Abwandlungen helfen
- Keine kurzen und einfachen Passwörter verwenden (es wird oft dazu geraten, dass Passwörter mindestens 15 Zeichen enthalten sollen und eine Kombination aus Zahlen, großen und kleinen Buchstaben sowie Sonderzeichen beinhalten sollen)
- Der persönliche E-Mail-Account ist zentral wichtig und sollte besonders gut abgesichert werden. Solltet ihr das gleiche Passwort bei Animexx und eurem E-Mailaccount verwenden, ändert umgehend das Passwort eures E-Mailaccounts!
Haben die Loginprobleme vor kurzem damit zu tun?
Nein, das steht nicht im Zusammenhang. Es bestand hierbei zu keiner Zeit eine Sicherheitslücke.
Wohin kann ich mich bei Fragen wenden?
Wir werden versuchen alle eure Fragen zu beantworten. Bitte habt Verständnis dafür, dass wir nicht jedem sofort antworten können. Schreibt uns bitte direkt an die für diesen Fall eingerichtete Helpdesk-Box, damit nichts untergeht: https://www.animexx.de/helpdesk/?pre_bereich=dsgvo oder per E-Mail an info@animexx.de
Name und Anschrift des Datenschutzbeauftragten
Der Datenschutzbeauftragte des Animexx e.V. ist:
a.s.k. Datenschutz e.K.
Schulstraße 16a
91245 Simmelsdorf
Deutschland
Tel.: +49 9155 263 99 70
E-Mail: extdsb@ask-datenschutz.de
Website: www.ask-datenschutz.de
Jede betroffene Person kann sich jederzeit bei allen Fragen zum Datenschutz direkt an unseren Datenschutzbeauftragten wenden.
[Update 17.12.19]
Ergänzung zu Abschnitt "Was ist passiert?": Das ENS-Archiv wurde nicht gestohlen.
Was kann ich tun, wenn ich keinen Zugriff mehr auf meine E-Mailadresse habe?
Meldet euch bitte direkt im Helpdesk oder per E-Mail an info@animexx.de mit eurem Benutzernamen, einer neuen E-Mailadresse und einem Scan/Foto von eurem Ausweis. Die Daten werden dann mit euren Angaben auf dem Account verglichen. Sind sie identisch, wird die neue E-Mailadresse eingetragen. Die Ausweisscans/Fotos werden von uns anschließend zeitnah gelöscht.
Das neue Passwort wird nicht angenommen, was kann ich tun?
Klappt die Eingabe des Passwortes nicht, obwohl ihr es schon mehrfach versucht habt und sicher seid, dass sich kein Vertipper eingeschlichen hat: Versucht es bitte einzutippen und nicht zu kopieren und einzufügen. Das kann in manchen Fällen helfen. Bitte habt etwas Geduld, sollte es mit dem Eintippen nicht funktioniert haben. Unser Technik-Team versucht weiterhin eine Lösung zu finden.
Ich habe noch keine Antwort vom Helpdesk erhalten, wie lang dauert das?
Wir bearbeiten die Anfragen schnellstmöglich. Aufgrund der Menge kann die Bearbeitungszeit variieren. Solltet ihr innerhalb von 24 Stunden keine Antwort erhalten haben, meldet euch bitte nochmal bei uns. Die Nachricht kam dann vermutlich nicht bei uns an. Über die Feiertage können wir leider nur eingeschränkt eure Anfragen bearbeiten. Bitte habt Verständnis dafür, dass sich die Bearbeitungszeit also deutlich erhöhen kann. Wir versuchen dennoch euch so schnell es geht weiterzuhelfen.
[Update 24.12.19]
Ergänzung zu "Ich habe noch keine Antwort vom Helpdesk erhalten, wie lang dauert das?": Bearbeitungszeit über die Feiertage wird erhöht sein, wir bitten um Verständnis.
Die E-Mail um das Passwort zurückzusetzen kam zweimal an, ist das Phishing?
Nein, wir versenden diese E-Mails von zwei Providern aus, um die Zustellung an euer Mail-Postfach sicherzustellen. Es ist also alles in Ordung, wenn ihr die gleiche Mail zweimal erhaltet. Solltet ihr dennoch unsicher sein, könnt uns gerne die betreffenden Mails weiterleiten, damit wir sie einmal prüfen können. Ihr erreicht uns über die oben genannten Kontaktwege.
*Phishing: Beschaffung persönlicher Daten anderer Personen mit gefälschten E-Mails oder Websites, um bspw. das Konto zu plündern. Siehe https://de.wikipedia.org/wiki/Phishing
*Hash: Unter einem Hash versteht man ein kryptographisches Einwegverfahren welches erlaubt Daten miteinander zu vergleichen, ohne den Inhalt zu kennen. Das Verfahren ist dabei nicht umkehrbar. Sozusagen eine Verschlüsselung ohne Umkehr. Im Fall von einem Passwort vergleichen wir immer jeweils nur die Hashes und nicht das Passwort selbst. Siehe https://de.wikipedia.org/wiki/Kryptographische_Hashfunktion
> Verstehe ich schon! Können sich die User wenigstens NEU auf Mexx anmelden?
> Und euch dann gegebenenfalls Kontaktieren wegen ihrem alten Account das der dann wenigstens "gelöscht" oder evtl wenigstens RPGs, Fanarts oder Fanfics übernommen werden?
Wir können wie gesagt nichts machen, wenn wir nicht wissen, ob die Person die gleiche ist. Wir können nicht auf Verdacht hin Accounts löschen.
Welche Email Adresse kann denn für animexx benutzt werden damit euch diese Mitglieder anders erreichen können?
Es werden doch bestimmt einige sein die das betrifft!
Glücklicherweise benutze ich mein PW nirgendwo anders. Aber wenn die jetzt Daten, Mail, Adresse usw. haben, da hat man schon Schiss, was die damit anstellen könnten. Und ich war so froh, dass mein Postfach frei von Phishing Stuff war, nachdem ich mir eine neue eingerichtet hatte.
"Kunst ist, was man schafft - wenn man lernt, zu träumen."
abgemeldet hat es jetzt schon zweimal versucht und bekommt einfach kein neues Passwort, auch in Spam ist es nicht gelandet
Gut, dann wird dass Passwort halt gewechselt auch wenn ich frustriert feststellen muss, dass es nun wie jegliche andere Seite auch ein 8stelliges Kauderwelschpasswort fordert.
Was würd ich dafür geben mein altes weiter zu benutzen, statt auf diese Anforderung eingehen zu müssen. Ja, sicher nach 10 Jahren sollte man vielleicht mal wechseln, mag man glauben. Doch Fakt ist die Lüge um das monatliche Wechseln des Passworts kommt daher, dass das System dieser 8stelligen pw nicht sicher ist.
Je kürzer das pw is desto leichter ist es zu knacken, egal welche Zeichen drin vorkommen. Unser Alphabet ist selbst mit Zahl und Sonderzeichen nicht lang genug um Sicherheit zu gewährleisten.
Also denkt dran wenn ihr nun ein neues pw setzt. Machts so lang wie möglich, so kompliziert wie nötig, aber persönlich genug um es euch zu merken 😘
NeRi hat im Grunde genommen dasselbe Problem, wobei mir ihr dazu kommt, dass sie isch nicht mehr sicher ist welche Mail sie in Mexx überhaupt hinterlegt hat - und ob diese überhaupt noch existiert.
Aber Melden beim Helpdesk funktioniert bei ihr nicht, weil die Nachrichten einfach nicht rausgehen (sie hat inzwischen schon 4x versucht zu versenden, aber die Seite aktualisiert sich lediglich, statt dass sie weitergeleitet wird)..
Scheint echt einige zu betreffen :(
Was sie noch probieren kann, ist einfach auf Passwort vergessen zu klicken - sie muss dann ihren Usernamen eingeben. An die hinterlegte E-Mail-Adresse geht dann die entsprechende Mail (hoffe, das klappt in diesem Fall). So kann sie nachschauen, ob eine der Adressen, die sie hat diese E-Mail erhält. Dann weiß sie auch, welche sie hinterlegt hatte..
(Falls das über diesen Weg nicht sowieso schon versucht wurde?)
Gerade bei den privaten Daten wie Name, Geburtstag und Adresse hätte ich das erwartet, dass das verschlüsselt ist. Mit dem Namen und dem Geburtstag allein kann schon Schaden angerichtet werden. Ich kann die ja auch weder selbst entfernen, wenn sie einmal gesetzt sind - und das ganze ermöglicht ja die Teilname an verschiedenen Aktivitäten.
Und in Anbetracht dessen bitte ich euch, dass ihr die Angabe des Bundeslandes/Kantons für Deutschland, Österreich und die Schweiz nicht mehr zur Pflicht macht.
▼▼Ein ❤ für Vampire (Blog) ▼▼
(hatte bislang den Weblog nur überflogen) jetzt bin ich aber doch ehrlich schockiert ...
Ensen sind ja unter anderem da begriffen ... es gibt schon User die Handynummern, Adressen (zwecks Briefschrieben) oder sogar ihre Kontodaten ausgetauscht haben ... z.B. weil sie Manga oder Anime oder anderen Merch verkauft haben ...
Hätten wir da nicht eher informiert werden müssen :/?
Ist zwar jetzt geschehen ... aber fast ein Monat ist lang ...
> Knuddel-Woelfchen
> NeRi hat im Grunde genommen dasselbe Problem, wobei mir ihr dazu kommt, dass sie isch nicht mehr sicher ist welche Mail sie in Mexx überhaupt hinterlegt hat - und ob diese überhaupt noch existiert.
>
> Aber Melden beim Helpdesk funktioniert bei ihr nicht, weil die Nachrichten einfach nicht rausgehen (sie hat inzwischen schon 4x versucht zu versenden, aber die Seite aktualisiert sich lediglich, statt dass sie weitergeleitet wird)..
> Scheint echt einige zu betreffen :(
Wie meinst du das die Nachricht nicht hinaus geht?
Also ich konnte auch nicht auf meine alte E-Mail zugreifen und habe deswegen eine direkte email an info@animexx.de gesendet. Dann gings recht flott. Sie wollten meinen vollen Namen und Geburtstdatum (was auch Datenschutzmäßig mich nicht störte weil sie die Daten für die adultfreischaltung sowieso hatten) und danach konnten sie meine neue E-Mail zu meinen Acc hinterlegen und ich konnte mein Passwort ändern.
Meine Freundin Drachenherzchen kommt nicht rein weil ihr alter acc den sie gelöscht hatte auch dieselbe mail adresse hat wie ihr neuer und sie muss jetzt beweisen das es ihr acc ist.
Sie fragt ob es mit ausweis geht :(
Wir wissen sonst nicht wie sie es beweisen soll.
UNSERE ANGST:
sind Ausweise die hinterlegt wurden zwecks verifizierung des alters auch betroffen?? Muss ich angst haben das meine Identität geklaut wurde??
Überlege echt ob ich nach dem vorfall...hier weiter bleiben möchte.
Hat sie auch schon versucht, aber klappt leider nicht :(
abgemeldet
Naja, eigentlich sollte man nach dem Abschicken beim Helpdesk auf eine andere Seite weitergeleitet werden, die bestätigt, dass die Nachricht rausgegangen ist. Und sie wird nach dem Drücken des Abschicken-Buttons schlicht nicht weitergeleitet. Die Seite lädt sich nochmal neu, der Text ist weg und das Spiel beginnt von vorne..
Aber die Idee mit direkt Email an Mexx ist gut! Ich leite es mal weiter und hoffen wir, dass es so klappt :)
> UNSERE ANGST:
> sind Ausweise die hinterlegt wurden zwecks verifizierung des alters auch betroffen?? Muss ich angst haben das meine Identität geklaut wurde??
Ausweise sind nicht betroffen, da diese nicht in der Datenbank abgelegt wurden. Zudem löschen wir Ausweiskopien regelmäßig, nachdem wir das Alter verifizieren konnten. Ich hoffe, ich konnte dir damit die Angst nehmen. :)
Wie im Blog steht:
> Leider konnten wir euch nicht früher informieren, da wir erst die Auflagen der Datenschutzbehörde umsetzen mussten.
Es war Animexx deshalb nicht gestattet, früher zu informieren, weil es die Vorgabe der Behörde gab.
> Ähm mal ne andere Frage ... es ist bereits am 20. November passiert und erst jetzt werden wir davon informiert :O?????
> (hatte bislang den Weblog nur überflogen) jetzt bin ich aber doch ehrlich schockiert ...
> Ensen sind ja unter anderem da begriffen ... es gibt schon User die Handynummern, Adressen (zwecks Briefschrieben) oder sogar ihre Kontodaten ausgetauscht haben ... z.B. weil sie Manga oder Anime oder anderen Merch verkauft haben ...
> Hätten wir da nicht eher informiert werden müssen :/?
> Ist zwar jetzt geschehen ... aber fast ein Monat ist lang ...
Wir mussten wie gesagt erst die Auflagen der Datenschutzbehörde erfüllen, bevor wir informieren konnten. :(
> Ähm mal ne andere Frage ... es ist bereits am 20. November passiert und erst jetzt werden wir davon informiert :O?????
> (hatte bislang den Weblog nur überflogen) jetzt bin ich aber doch ehrlich schockiert ...
> Ensen sind ja unter anderem da begriffen ... es gibt schon User die Handynummern, Adressen (zwecks Briefschrieben) oder sogar ihre Kontodaten ausgetauscht haben ... z.B. weil sie Manga oder Anime oder anderen Merch verkauft haben ...
> Hätten wir da nicht eher informiert werden müssen :/?
> Ist zwar jetzt geschehen ... aber fast ein Monat ist lang ...
Es gab Auflagen von der Datenschutzbehörde. Deswegen konnte keine frühere Meldung erfolgen.
Haha
Goetterspeise
Ja schon klar, aber ehrlich gesagt auch ein Unding und man müsste der Behörde in den Arsch treten sollten sie jetzt so lange dafür gebraucht haben :/
Der Datenschutz ist immer noch nicht ausgereift ...
Klar muss die Behörde das prüfen, aber gleichzeitig sollte sie gestattet das man auch betroffene umgehend informieren kann.
> Ich habe eine Frage: Sind endgültig gelöschte ENS wirklich so gelöscht, dass sie niemand mehr eingesehen werden können? Oder wird nur der Zugang für den User entfernt und die Texte liegen in den Datenbank? Wenn ja, liegen sie auf alten Datenbanken oder werden sie jedes Mal in die aktuellste hineinkopiert?
ENS sind erstmal weiterhin existent, weil sie der Empfänger ja auch noch in seinem Posteingang hat. Solange die andere Person die ENS nicht auch löscht, ist die ENS da.
Wenn man ENS "normal" löscht sind sie auch erstmal nur im Papierkorb, bis man sie endgültig löscht. Diese sind also auch weiterhin da.
Damit hast du mir und meiner Freundin grad den Tag gerettet!
Wir hatten echt Angst ^^“
Jetzt müssen wir sie nur wieder reinkriegen
Danke!!
"Kunst ist, was man schafft - wenn man lernt, zu träumen."
Meine Freundin Drachenherzchen kommt nicht rein weil sie bei ihrem alten Acc (der vor bestimmt über 10 jahren hier war) dieselbe mail drin hat wie jetzt bei drachenherzchen (aktiv seit 2011)
Aber den alten hatte sie definitiv gelöscht um den neuen zu erstellen. Jetzt heisst es wegen doppelter vorlage geht das nicht....wie sollen wir denn beweisen das sie die Besitzerin von Drachenherzchen ist? Unsere Rpgs laufen auch darüber :(
So richtig kommen wir leider nicht weiter
Aber fettes Danke an alle die das ehrenamtlich machen und auch an die community sonst hätte bei mir nix geklappt. DANKE!! >////<
Danke, dass ihr es zur Anzeige gebracht habt.
und nun drücke ich die Daumen, dass meine Bilder/fanarts noch da sind, denn auf dem Handy werden die nicht angezeigt.
'May your heart be your guiding key'
> Wurden bei allen Usern das Passwort zurück gesetzt? Oder nur bei denen, die betroffen waren?
Bei allen Usern.
danke für die schnelle Hilfe. Hab endlich einen Code zugeschickt bekommen, indem ich über Passwort vergessen auf die Seite mit Passwort zurücksetzen verlinkt wurde.
> Wir haben dieses Beweisproblem...
> Meine Freundin Drachenherzchen kommt nicht rein weil sie bei ihrem alten Acc (der vor bestimmt über 10 jahren hier war) dieselbe mail drin hat wie jetzt bei drachenherzchen (aktiv seit 2011)
>
> Aber den alten hatte sie definitiv gelöscht um den neuen zu erstellen. Jetzt heisst es wegen doppelter vorlage geht das nicht....wie sollen wir denn beweisen das sie die Besitzerin von Drachenherzchen ist? Unsere Rpgs laufen auch darüber :(
>
> So richtig kommen wir leider nicht weiter
>
> Aber fettes Danke an alle die das ehrenamtlich machen und auch an die community sonst hätte bei mir nix geklappt. DANKE!! >////<
Ausweisscan schicken reicht aus. Benutzername vom aktuellen Account und ne neue Mailadresse sagen. Sofern keine Fakedaten auf dem Account sind, kann es geändert werden. :)