Spionage-Attacke auf Hotmail-Anwender: Gezielter Angriff auf private E-Mail-Nutzer am Arbeitsplatz

Gezielte Attacke nutzt eine bis vor kurzem unbekannte Sicherheitslücke in "Microsoft Hotmail"

(27.05.11) - Trend Micro warnt vor einer Attacke auf die Nutzer des Webmail-Dienstes "Hotmail" von Microsoft. Gehen die Anwender den Cyberkriminellen an ihrem Arbeitsplatz ins Netz, besteht ein erhöhtes Risiko, dass nicht nur persönliche Informationen des jeweiligen Nutzers, sondern auch vertrauliche Unternehmensinformationen gestohlen werden. Dadurch drohen neben materiellen und immateriellen Schäden Haftungsrisiken für Vorstände und Geschäftsführer. Die gezielte Attacke nutzt eine bis vor kurzem unbekannte Sicherheitslücke in Microsoft Hotmail.

Der Angriff, der per fingierter E-Mail mit Facebook-Sicherheitsteam als vermeintlichem Absender erfolgt, ist auch deshalb so gefährlich, weil bereits die Voransicht der gefälschten Nachricht genügt, um die Infektion auszulösen.

Private E-Mail-Nutzung am Arbeitsplatz

Microsoft hat bereits ein Sicherheits-Update veröffentlicht, mit der sich die Sicherheitslücke schließen lässt. Auch wenn damit die akute Bedrohung für Hotmail-Nutzer gebannt ist, dürfte die rechtliche Diskussion um die private Nutzung von E-Mails am Arbeitsplatz oder von Rechnern aus, die ganz oder teilweise für berufliche Zwecke genutzt werden, neue Nahrung erhalten. Dies erscheint umso notwendiger, als damit zu rechnen ist, dass die Cyberkriminellen Webmail-Dienste und ihre Anwendung im Unternehmen auch weiterhin gezielt ausnutzen werden.

Denn während sich die private E-Mail-Nutzung im Unternehmenskontext in den USA einfach verbieten lässt, sieht die Rechtslage in den meisten europäischen Ländern inklusive Deutschlands komplizierter aus. Für Vorstände und Geschäftsführer droht damit ein Dilemma: Einerseits müssen sie die Privatsphäre ihrer Mitarbeiter achten, andererseits unter Umständen für die aus der privaten E-Mail-Nutzung entstehenden Schäden persönlich haften. Trend Micro rät daher den Unternehmen dringend zu prüfen, ob auch Firmendaten über den privaten Account empfangen oder versandt wurden. Unter Umständen ist sogar darüber nachzudenken, ob die geschäftliche Arbeitsumgebung von der "privaten" komplett zu trennen ist – sei es über verschiedene physikalische Maschinen (öffentliche "Surfterminals") oder über Virtualisierung. (Trend Micro: ra)