Der eigentliche Grund für meinen Entschluss war aber nicht der Angriff auf Yahoo selbst (obwohl man eigentlich erwarten könnte, dass ein Unternehmen wie Yahoo gegen so etwas gewappnet ist und zumindest das Ausmaß solch eines Hacks so klein wie möglich hält), sondern der Umgang Yahoos mit den Kunden bzgl. der Information über das Ausmaß der Attacke. Die Attacke erfolgte nämlich bereits Ende 2014 und Yahoo hat sich somit fast zwei Jahre (!) Zeit genommen, die Öffentlichkeit darüber zu informieren (oder fast zwei Jahre lang den Angriff nicht bemerkt - ich weiß nicht, welche dieser beiden Vorstellungen blamabler für Yahoo ist).
Auch wenn in den gestohlenen Daten die Zugangsdaten selbst (angeblich) verschlüsselt waren und dem Angreifer somit vermutlich nichts nutzen, so sind nun die nichtverschlüsselten Daten wie z. B. Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwort-Hashes in der einschlägigen Szene im Umlauf und können mannigfaltig missbraucht werden. Ich hätte von Yahoo eine zeitnahe Information der Öffentlichkeit erwartet, so dass die potentiell betroffenen Nutzer rasch entsprechende Maßnahmen hätten ergreifen können. Dies ist jedoch offensichtlich nicht der Fall gewesen.
Da Flickr für mich eigentlich nie von Bedeutung war und mein Yahoo-Account im Wesentlichen nur noch eine Spam-Inbox darstellte, fiel der Entschluss leicht, aus den beschriebenen Vorfällen die Konsequenzen zu ziehen und den Account endgültig zu schließen. Man könnte auch sagen, dass Yahoo es vergeigt hat, und zwar gründlich (um es mal freundlich auszudrücken).
Mit dieser Erfahrung rate ich Allen, bei wichtigen Zugängen (wie beispielsweise dem Google-Account):
- die Zwei-Faktor-Authentifizierung zu verwenden,
- immer sichere Passwörter zu nutzen
- und diese nie mehrfach zu gebrauchen.
Auch wenn dies manchmal einen geringen Mehraufwand darstellt, kann sich diese kleine Mühe eines Tages sehr lohnen.
Weitere Informationen zum Yahoo-Hack gibt es bei heise.
