Zum Inhalt der Seite



Informationen zum Fremdzugriff auf Backup-Server [Update] Animexx, Animexx, Datenschutz

Autor:  Yuya

Mit großem Bedauern müssen wir euch mitteilen, dass wir Fremdzugriff auf einen unserer Backup-Server festgestellt haben. Obwohl wir höchsten Wert auf Sicherheit unserer Server und eurer Daten legen, kam es nun nach 20 Jahren erstmals dazu. Wir sind sehr bestürzt darüber und haben bereits die Schwachstellen beseitigt und auch alle weiteren Server überprüft. Zum Glück betraf es nur diesen einen Server.

Nachfolgend erklären wir euch, was passiert ist und was ihr tun könnt.

Was ist passiert?

Der Server wurde vor Wochen aufgrund einer defekten Festplatte repariert, war jedoch noch nicht wieder vollständig in Betrieb genommen worden. Dadurch waren auch nicht alle Aktualisierungen eingespielt und die Firewall nicht korrekt konfiguriert worden.

Der unbefugte Zugriff wurde abends, am 20. November bemerkt und unser Team hat sich sofort daran gemacht die Situation zu analysieren, den Server umgehend zu sichern und auch alle übrigen Server zu überprüfen. Die ausgenutzte Sicherheitslücke bestand nur auf diesem System, d.h. wir können auszuschließen, dass auch andere Server auf diesem Weg angegriffen wurden.

Die Datenbank auf dem betroffenen Server wurde zu einem großen Teil kopiert und anschließend auf dem Server gelöscht. 
Es wurden personenbezogene Daten, verschlüsselte Passwörter, ENS (ausgenommen das ENS-Archiv), Steckbriefe, Blogs, Zirkel und so ziemlich alle Inhalte, die aus Text bestehen gestohlen. Bilder und Fotos sowie Dateien, die als ENS-Anhang oder ähnliches hochgeladen wurden, sind nicht betroffen.

Leider konnten wir euch nicht früher informieren, da wir erst die Auflagen der Datenschutzbehörde umsetzen mussten. Alle Mitglieder erhalten in den nächsten Tagen eine E-Mail zu diesem Vorfall.

Was tut Animexx als Konsequenz?

Wir werden den Fall technisch im Detail untersuchen. Der Hack wurde zur Anzeige gebracht. Auf Wunsch der zuständigen Behörde, möchten wir euch bitten von einer privaten Anzeige abzusehen, da dies hinderlich wäre.
Außerdem haben wir den Fall der zuständigen Datenschutzbehörde gemeldet und sind in enger Absprache mit dieser und unserem externen Datenschutzbeauftragten. 

Der betroffene Server wurde selbstverständlich sofort abgesichert und ist nicht mehr von außen zugänglich.

Weitere Maßnahmen, die wir umsetzen sind folgende:

  • Regelmäßige Security-Audits für alle Systeme, insb. in Hinsicht auf aktuelle Patches und Firewallregeln
  • Wir prüfen, inwieweit wir besondere Daten wie die ENS oder Adressdaten in der Datenbank verschlüsseln können. Mit den derzeitigen Funktionen auf Animexx.de würden einige davon nicht mehr funktionieren. Daher müsste dies als optionale Auswahl zur Verfügung gestellt werden
  • Ein neues Loginverfahren wurde bereits implementiert, um besseren Schutz zu gewährleisten


Was wurde bisher herausgefunden?

Die Angreifenden scannen das Internet nach Servern mit bestimmten Schwachstellen ab und starten dann üblicherweise ein vorgefertigtes Programm, dass wie oben beschrieben Daten herunterlädt und anschließend löscht und eine Benachrichtigung zurück lässt.

Dieser Angriff richtete sich nicht gezielt gegen Animexx, sondern wurde breit gestreut. Es gibt also kein spezielles Interesse der oder des Angreifenden an unseren Daten - in erster Linie geht es um die Erpressung von Bitcoin/Geld. Für gewöhnlich richten sich diese Angriffe an "Live"-Datenbanken und setzen deren Opfer unter Druck, da die Website/Datenbank dann ausgeschaltet bzw. verschlüsselt wird. In unserem Fall betraf der Hack nicht die Live-Datenbank, sondern ein älteres Backup.

Die Angriffe, die sich nach diesem Schema richten und die eine gleiche, oder stark ähnliche Botschaft der Erpresser beinhalten, finden seit August/September diesen Jahres vielfach im Netz statt. 

Welche Auswirkungen hat das?

Die Datenbank hat ein älteres Backup beinhaltet, dass für den laufenden Betrieb nicht mehr benötigt wird. Es sind also keine Bestandteile der Animexx-Seite davon direkt betroffen. 

Es ist leider nicht auszuschließen, dass Teile der Datenbank in entsprechenden illegalen Bereichen des Internets veröffentlicht werden. Normalerweise werden vor allem E-Mail-Adressen und Passwörter interessant, weil man damit wiederum gezielt einzelne Personen hacken kann.
Es ist möglich, dass ihr Phishing*-Nachrichten per E-Mail erhalten werdet. Seid bitte besonders aufmerksam!
Der Aufsichtsbehörde liegen nach aktuellem Stand keine Erkenntnisse vor, dass die betroffenen Datensätze bereits missbräuchlich verwendet wurden oder werden. Wird uns oder der Aufsichtsbehörde bewusst, dass sich das ändert, informieren wir euch umgehend.

Sind die Daten verschlüsselt?

Obwohl die Adaption eines stärkeren Hash* Verfahrens zur Sicherung der Passwörter begonnen hatte, konnten wir leider feststellen, dass das ehemals benutzte SHA1-Verfahren zu Kompatibilitätszwecken weiterhin in der Datenbank verfügbar blieb. Die nicht mehr vollkommen sicheren SHA1-Passwörter sind damit dem Nutzerkonto trotz eines solideren, aktuelleren Hashes zuordenbar. Die Gefahr der Entschlüsselung von Passwörtern ist gegeben. Wir empfehlen allen Mitgliedern ihre Passwörter zur Sicherheit zu ändern und nirgends die gleichen Passwörter zu verwenden.
Mitglieder, die TOFU nutzen, haben die Möglichkeit, für eine Bank-Lastschrift ihre Kontodaten zu hinterlegen. Die Kontodaten sind auf dem Server nur verschlüsselt hinterlegt und können nur in der Buchhaltung lokal entschlüsselt werden. 

Für alle anderen Daten bieten wir kein verschlüsseltes Verfahren an, diese könnten also ggf. in falsche Hände geraten. Betroffen sind hiervon unter anderem Adressdaten oder ENS. 

Was ist nicht betroffen?

Es wurden ausschließlich Daten die in der Datenbank gespeichert waren entwendet. Nicht betroffen sind also alle Arten von Bildern/Fotos/Dateien. 

Alle Daten, die nach dem 30. Juli 2019 angelegt wurden, sind ebenfalls nicht betroffen.

Was könnt/müsst ihr tun?

Wie immer bei ähnlichen Vorfällen sind diese Punkte zu nennen:

  • Das Animexx-Passwort zeitnah ändern
  • Passwörter auf keinen Fall mehrfach für verschiedene Websites und/oder Apps verwenden. Bereits kleine Abwandlungen helfen
  • Keine kurzen und einfachen Passwörter verwenden (es wird oft dazu geraten, dass Passwörter mindestens 15 Zeichen enthalten sollen und eine Kombination aus Zahlen, großen und kleinen Buchstaben sowie Sonderzeichen beinhalten sollen)
  • Der persönliche E-Mail-Account ist zentral wichtig und sollte besonders gut abgesichert werden. Solltet ihr das gleiche Passwort bei Animexx und eurem E-Mailaccount verwenden, ändert umgehend das Passwort eures E-Mailaccounts!

Haben die Loginprobleme vor kurzem damit zu tun?

Nein, das steht nicht im Zusammenhang. Es bestand hierbei zu keiner Zeit eine Sicherheitslücke.

Wohin kann ich mich bei Fragen wenden?

Wir werden versuchen alle eure Fragen zu beantworten. Bitte habt Verständnis dafür, dass wir nicht jedem sofort antworten können. Schreibt uns bitte direkt an die für diesen Fall eingerichtete Helpdesk-Box, damit nichts untergeht: https://www.animexx.de/helpdesk/?pre_bereich=dsgvo oder per E-Mail an info@animexx.de

Name und Anschrift des Datenschutzbeauftragten

Der Datenschutzbeauftragte des Animexx e.V. ist:

 

a.s.k. Datenschutz e.K.

Schulstraße 16a

91245 Simmelsdorf

Deutschland

Tel.: +49 9155 263 99 70

E-Mail: extdsb@ask-datenschutz.de

Website: www.ask-datenschutz.de

 

Jede betroffene Person kann sich jederzeit bei allen Fragen zum Datenschutz direkt an unseren Datenschutzbeauftragten wenden.

[Update 17.12.19]

Ergänzung zu Abschnitt "Was ist passiert?": Das ENS-Archiv wurde nicht gestohlen.

Was kann ich tun, wenn ich keinen Zugriff mehr auf meine E-Mailadresse habe?

Meldet euch bitte direkt im Helpdesk oder per E-Mail an info@animexx.de mit eurem Benutzernamen, einer neuen E-Mailadresse und einem Scan/Foto von eurem Ausweis. Die Daten werden dann mit euren Angaben auf dem Account verglichen. Sind sie identisch, wird die neue E-Mailadresse eingetragen. Die Ausweisscans/Fotos werden von uns anschließend zeitnah gelöscht.

Das neue Passwort wird nicht angenommen, was kann ich tun?

Klappt die Eingabe des Passwortes nicht, obwohl ihr es schon mehrfach versucht habt und sicher seid, dass sich kein Vertipper eingeschlichen hat: Versucht es bitte einzutippen und nicht zu kopieren und einzufügen. Das kann in manchen Fällen helfen. Bitte habt etwas Geduld, sollte es mit dem Eintippen nicht funktioniert haben. Unser Technik-Team versucht weiterhin eine Lösung zu finden. 

Ich habe noch keine Antwort vom Helpdesk erhalten, wie lang dauert das? 

Wir bearbeiten die Anfragen schnellstmöglich. Aufgrund der Menge kann die Bearbeitungszeit variieren. Solltet ihr innerhalb von 24 Stunden keine Antwort erhalten haben, meldet euch bitte nochmal bei uns. Die Nachricht kam dann vermutlich nicht bei uns an. Über die Feiertage können wir leider nur eingeschränkt eure Anfragen bearbeiten. Bitte habt Verständnis dafür, dass sich die Bearbeitungszeit also deutlich erhöhen kann. Wir versuchen dennoch euch so schnell es geht weiterzuhelfen.

[Update 24.12.19]

Ergänzung zu "Ich habe noch keine Antwort vom Helpdesk erhalten, wie lang dauert das?": Bearbeitungszeit über die Feiertage wird erhöht sein, wir bitten um Verständnis.

Die E-Mail um das Passwort zurückzusetzen kam zweimal an, ist das Phishing?

Nein, wir versenden diese E-Mails von zwei Providern aus, um die Zustellung an euer Mail-Postfach sicherzustellen. Es ist also alles in Ordung, wenn ihr die gleiche Mail zweimal erhaltet. Solltet ihr dennoch unsicher sein, könnt uns gerne die betreffenden Mails weiterleiten, damit wir sie einmal prüfen können. Ihr erreicht uns über die oben genannten Kontaktwege.

*Phishing: Beschaffung persönlicher Daten anderer Personen mit gefälschten E-Mails oder Websites, um bspw. das Konto zu plündern. Siehe https://de.wikipedia.org/wiki/Phishing

*Hash: Unter einem Hash versteht man ein kryptographisches Einwegverfahren welches erlaubt Daten miteinander zu vergleichen, ohne den Inhalt zu kennen. Das Verfahren ist dabei nicht umkehrbar. Sozusagen eine Verschlüsselung ohne Umkehr. Im Fall von einem Passwort vergleichen wir immer jeweils nur die Hashes und nicht das Passwort selbst. Siehe https://de.wikipedia.org/wiki/Kryptographische_Hashfunktion

[1...10] [11] [12] [13] [14] [15] [16]
/ 16


Datum: 14.01.2020 22:49

"Der Aufsichtsbehörde liegen nach aktuellem Stand keine Erkenntnisse vor, dass die betroffenen Datensätze bereits missbräuchlich verwendet wurden oder werden. "
Seit das mit dem Fremdzugriff passiert ist, bekomme ich so unglaublich viel Spam, auf beide hier registrierte Mailadressen... Von der einen wusste ich nicht mal mehr, dass ich sie hier für eine Registrierung genutzt hatte... und die aktuelle von diesem Profil eben... Beide bekommen immer zeitgleich die gleichen Spammails...seit genau diesem Zeitpunkt. So wurde ich an ein uraltes Profil erinnert, von dem ich nicht mal mehr wusste, dass es existiert (kann ich Profile selbst löschen? Das alte ist tot und nie wirklich genutzt worden).. Und es ist ziemlich eindeutig, dass es von diesem Zwischenfall kommt..
Oder ist mit "missbräuchlich verwendet" etwas anderes gemeint?
Datum: 15.01.2020 10:03
Huh,
kaum kam ich auf die Idee, nachzufragen, ob man immer auf die Seite mit der Benachrichtigung geleitet wird, funktioniert es schon wieder. Ich kann mich mittlerweile wieder ganz normal einloggen.
Danke für den schnellen Service, ihr seid gut!
Avatar
Datum: 26.01.2020 20:33
Selbes Problem immer noch bei meiner Schwester, die nach dem Helpdesk Ende Dezember heute jetzt bereits das zweite Mal an info@animexx.de gemailt hat. Und die ENS bei Yuya sind auch noch ungelesen nach über 1 Monat. Wenigstens mal eine Rückmeldung, ob die Mail-Anfrage angekommen ist, wäre nice. Glauben nämlich langsam, dass das auch kaputt ist (führt ja in die verbuggte Helpdesk Inbox???). Das man nicht alles sofort erledigen kann ist durchaus verständlich, aber über 1 Monat nur um mal eben eine ID abzugleichen?
Avatar
Datum: 26.01.2020 20:47
Aiju:
 
Das Formular des Helpdesk ist wieder voll funktionsfähig und der Bug wurde behoben.
Wenn bisher noch keine Antworten angekommen sind, dann ist etwas bei der Zustellung der Mails schief gegangen. Entweder kamen unsere Mails nicht bei deiner Schwester an oder ihre nicht bei uns. Ich vermute Letzteres allerdings.
Besteht die Möglichkeit von einer anderen E-Mail Adresse an uns zu schreiben? Einige Provider sind zickiger als andere, was das Durchstellen von Nachrichten betrifft.
Lebe nie ohne zu Lachen, denn es gibt Menschen die von deinem Lachen leben.
Avatar
Datum: 26.01.2020 20:49
Aiju

wir sind, zumindest in der Inbox, recht aktuell.
Wenn die Nachricht heute an uns ging, würdest du mir bitte den Nicknamen deiner Schwester nennen? Dann kann ich nachschauen, ob sie angekommen ist. :)
The light behind your eyes.
Avatar
Datum: 26.01.2020 20:51
GibsonGirl:
 
Selbiges wie bei Aiju. Ggf. von einer anderen E-Mail schreiben oder den Nicknamen des betreffenden Accounts einmal nennen, damit unsere HD-Leute nachsehen können, woran es hapert.
 
Lebe nie ohne zu Lachen, denn es gibt Menschen die von deinem Lachen leben.
Avatar
Datum: 26.01.2020 21:39
RedFlash
Goetterspeise

Uff, ich weiss jetzt nicht, ob sie mehrere E-Mail Adressen hat. Ihr Benutzername ist _Hiriel_.
Sie meinte, sie hätte heute nochmal eine Helpdeskanfrage geschickt, eine Mail an info@animexx.de und einen "Fragebogen" ausgefüllt (was auch immer sie damit meint, daraus wurde ich nicht schlau ^^°)

Danke fürs Nachschauen :)
Avatar
Datum: 27.01.2020 10:30
GibsonGirl:
 
So wie es aussieht ist der Fall deines Freundes in unserer DSGVO-Box gelandet. Dort werden Fälle bearbeitet, die nicht direkt von einem unserer HD-Mitarbeiter geklärt werden können. Das kann manchmal etwas länger dauern, zumal Yuya auch gerade im Urlaub ist und sich dort nicht um die Fälle kümmern kann. Wir bitten noch um etwas Geduld. 
Lebe nie ohne zu Lachen, denn es gibt Menschen die von deinem Lachen leben.
Datum: 27.01.2020 10:49
Alles klar! Gar kein Problem :) dann wissen wir ja woran es lag. Nehmt euch ruhig alle Zeit die ihr braucht.
Avatar
Datum: 27.01.2020 20:10
GibsonGirl

Wir sind noch in Klärung, aber deine Nachrichten sind alle da.

Aiju

Ich kann dir leider nicht versprechen, dass die Mail an deine Schwester heute noch rausgeht.

Es kam leider wieder ein ganzer Schwung seit gestern rein.
Wir sind dran, aber ggf. dauert es etwas länger als sonst.

Damit ihr Bescheid wisst - sicher auch für andere interessant. :)
The light behind your eyes.
Datum: 27.01.2020 20:58
Perfekt, vielen Dank! Sagt uns einfach welche Dokumente ihr braucht, damit er seinen Account zurück bekommt.
Avatar
Datum: 27.01.2020 21:07
GibsonGirl

Am Besten wäre es, wenn er nochmal versucht über seine Mailadresse uns ein Foto oder einen Scan seines Ausweises zukommen zu lassen. Das wäre bzgl. Zuordnung usw. am leichtesten.

Aiju

Mail an deine Schwester ist raus. :)
The light behind your eyes.
Datum: 27.01.2020 21:13
Ich gebs weiter. Vielen Dank!
Datum: 28.01.2020 18:49
Mail mit Ausweiskopie ist raus. 😁
Avatar
Datum: 28.01.2020 21:53
Hallo liebes Team,

eine Freundin von mir kann sich seit der Passwortzurücksetzung nicht mehr anmelden, da sie keinen Zugriff mehr auf ihre Email hat.
Seitdem hat sie euch nun fünfmal kontaktiert (via Helpdesk 2x und die angegebenen Email 3x) und noch immer keine Antwort erhalten. Ist das wegen des aktuellen Emailaufkommens normal oder kann es sein, dass ihre Emails untergegangen sind?
Ihr Username ist "Merian".
Über Hilfe oder eine kurze Rückmeldung, wie lange es etwa noch dauert, wären wir sehr dankbar, wir vermissen sie im gemeinsamen RPG :(

LG
C'est le bien qui fait mal
Quand tu aimes tout à fait normal
Ta haine prend le plaisir
C'est si bon de souffrir, succombe au charme, donne tes larmes
Avatar
Datum: 28.01.2020 22:08
Hallo Hinatara,

danke für die Info.

Ich konnte leider keine Nachricht von deiner Freundin finden - werde aber noch nachfragen, ob sie in einer anderen Bereich des HDs gelandet ist.
Leider gab und gibt es aus Gründen (u. a. weil uns wohl einige Provider als Spam gekennzeichnet haben, aufgrund der vielen E-Mails, die von uns in kurzer Zeit versendet wurden) Schwierigkeiten damit, Nachrichten zu erhalten.
Hat sie es auch schon über eine andere E-Mailadresse versucht?

Allgemeine Info: Die Inbox ist im Bezug auf die Passwortproblematik derzeit wieder aktuell.
The light behind your eyes.
Avatar
Datum: 28.01.2020 22:27
Goetterspeise danke für die schnelle Antwort :3

Die Emails hat sie an info@animexx.de geschickt.
Soll sie noch mal eine Email an eine andere Adresse schicken?
C'est le bien qui fait mal
Quand tu aimes tout à fait normal
Ta haine prend le plaisir
C'est si bon de souffrir, succombe au charme, donne tes larmes
Avatar
Datum: 28.01.2020 23:00
Goetterspeise Ah, jetzt verstehe ich, sorry >_<
Hab sie gerade gefragt, sie hat leider nur die eine Emailadresse :/

(und gute Nacht :3)
C'est le bien qui fait mal
Quand tu aimes tout à fait normal
Ta haine prend le plaisir
C'est si bon de souffrir, succombe au charme, donne tes larmes
Datum: 29.01.2020 06:19
Auch auf die Gefahr hin zu nerven aber...ist die Mail von meinem Freund angekommen? Nickname "Rockstar", ihr wisst schon.
Avatar
Datum: 29.01.2020 13:20
GibsonGirl:
 
Die Nachricht kam jetzt bei uns an. Die Antwort wird schnellstmöglich von unseren fleißigen HD-Bienchen bearbeitet. Falls nach 24 Stunden noch keine Meldung von uns erfolgt ist bitte nochmal Bescheid geben. :)
 
Lebe nie ohne zu Lachen, denn es gibt Menschen die von deinem Lachen leben.
[1...10] [11] [12] [13] [14] [15] [16]
/ 16




Zum Weblog