Ein Cyberangriff auf Kundenkonten der HVV-Switch-App sorgt in Hamburg für Aufsehen. Nachdem Unbekannte automatisiert versucht hatten, sich mit offenbar gestohlenen Zugangsdaten in Nutzerkonten einzuloggen, hat die Hamburger Hochbahn als Betreiberin der App eine weitreichende Sicherheitsmaßnahme ergriffen: Die Passwörter sämtlicher Kundenkonten wurden zurückgesetzt. Betroffen sind damit rund 2,5 Millionen Konten – obwohl nach bisherigen Angaben nur ein vergleichsweise kleiner Teil tatsächlich angegriffen wurde.
Automatisierte Angriffe mit gestohlenen Passwörtern
Hinter den Vorfällen steckt nach Angaben des Betreibers offenbar sogenanntes Credential Stuffing. Dabei benötigen Cyberkriminelle keine Sicherheitslücke in der angegriffenen App. Stattdessen verwenden sie E-Mail-Adressen und Passwörter, die beispielsweise bei früheren Datenlecks anderer Internetdienste gestohlen wurden.
Anschließend werden diese Kombinationen automatisiert bei zahlreichen Plattformen ausprobiert. Der Angriff setzt damit auf eine weit verbreitete Schwachstelle der Nutzer selbst: Viele Menschen verwenden dasselbe Passwort für mehrere Online-Dienste.
Wurde beispielsweise eine Kombination aus E-Mail-Adresse und Passwort bei einem früheren Datenleck bekannt, können Angreifer testen, ob dieselben Zugangsdaten auch bei einem Mobilitätsdienst, Online-Shop oder anderen Anbieter funktionieren.
Offenbar kein direkter Hack der HVV-Systeme
Für die Nutzer ist eine Unterscheidung besonders wichtig: Nach Angaben der Hamburger Hochbahn gibt es derzeit keine Hinweise darauf, dass die HVV-Switch-App oder die dahinterliegenden Systeme selbst gehackt wurden.
Die bei den Login-Versuchen eingesetzten Zugangsdaten sollen vielmehr aus externen Quellen stammen. Damit unterscheidet sich der Fall von einem klassischen Datendiebstahl, bei dem Angreifer in die IT-Systeme eines Unternehmens eindringen und dort Kundendaten entwenden.
Dennoch bestand Handlungsbedarf. Gelingt es einem Angreifer, sich mit gültigen Zugangsdaten anzumelden, kann er aus Sicht des Systems zunächst wie der tatsächliche Kontoinhaber erscheinen.
Rund 3.000 Konten betroffen – trotzdem 2,5 Millionen Passwörter zurückgesetzt
Nach den vorliegenden Angaben waren rund 3.000 der insgesamt etwa 2,5 Millionen Kundenkonten von den Angriffen betroffen. Die Hochbahn entschied sich dennoch für die umfassendste Variante: Sämtliche Passwörter wurden vorsorglich ungültig gemacht.
Deshalb wurden zahlreiche Nutzer am Wochenende überraschend aus der HVV-Switch-App ausgeloggt. Das bisherige Passwort funktioniert nicht mehr.
Wer seinen Account erneut nutzen möchte, muss über die Funktion „Passwort vergessen“ ein neues Kennwort vergeben. Anschließend erhält der Nutzer eine E-Mail mit einem entsprechenden Link.
Die Maßnahme dürfte für viele Kunden zunächst unbequem sein. Aus Sicherheitsperspektive hat sie jedoch einen klaren Vorteil: Auch möglicherweise kompromittierte Zugangsdaten von Konten, bei denen bislang noch kein erfolgreicher Angriffsversuch festgestellt wurde, verlieren ihre Gültigkeit.
Besonders wichtig: Keine alten Passwörter wiederverwenden
Der Vorfall zeigt gleichzeitig, warum mehrfach verwendete Passwörter ein erhebliches Sicherheitsrisiko darstellen. Wer sein bisheriges HVV-Passwort auch bei anderen Diensten verwendet hat, sollte deshalb nicht lediglich für die Switch-App ein neues Kennwort vergeben.
Auch die Passwörter der anderen Konten sollten geändert werden – insbesondere dann, wenn dieselbe Kombination aus E-Mail-Adresse und Passwort verwendet wurde.
Für jeden wichtigen Dienst empfiehlt sich ein eigenes, starkes Passwort. Passwortmanager können dabei helfen, unterschiedliche Zugangsdaten zu verwalten, ohne dass sich Nutzer jedes Kennwort merken müssen.
Fahrkarten sollen trotz Login-Problemen gültig bleiben
Für Fahrgäste stellt sich zudem eine ganz praktische Frage: Was passiert, wenn aufgrund der Passwortumstellung der Zugriff auf die App oder das dort hinterlegte Ticket vorübergehend nicht funktioniert?
Nach Angaben der Hochbahn sollen Fahrgäste dadurch bei Kontrollen nicht benachteiligt werden. Kontrolleure seien über die technischen Schwierigkeiten informiert worden.
Das ist insbesondere deshalb relevant, weil die HVV-Switch-App längst mehr als eine einfache Fahrplananwendung ist. Über sie werden unter anderem ÖPNV-Tickets und weitere Mobilitätsangebote genutzt.
Passkeys sollen Passwörter künftig teilweise ersetzen
Die Hochbahn zieht aus dem Vorfall auch technische Konsequenzen. In den kommenden Wochen soll ein Update erscheinen, das modernere Anmeldeverfahren wie Passkeys unterstützt.
Passkeys sollen eines der grundlegenden Probleme klassischer Passwörter beseitigen. Nutzer können sich beispielsweise über Fingerabdruck, Gesichtserkennung oder die Geräteentsperrung authentifizieren. Ein klassisches Passwort, das gestohlen und anschließend auf anderen Plattformen ausprobiert werden kann, ist dann nicht mehr erforderlich.
Gerade gegen Credential-Stuffing-Angriffe können solche Verfahren einen erheblichen Sicherheitsgewinn darstellen.
Der HVV-Fall ist eine Warnung weit über Hamburg hinaus
Der Vorfall macht deutlich, dass ein Unternehmen nicht zwingend selbst gehackt werden muss, damit seine Kunden gefährdet sind. Bereits gestohlene Zugangsdaten aus früheren Datenlecks können Monate oder sogar Jahre später für neue Angriffe verwendet werden.
Für Verbraucher lautet die wichtigste Konsequenz deshalb: Ein Passwort sollte niemals für mehrere wichtige Konten verwendet werden. Wird ein Dienst kompromittiert, kann andernfalls eine ganze Kette weiterer Accounts gefährdet sein.
Dass wegen Angriffen auf einige Tausend Konten letztlich Millionen Nutzer ihre Passwörter ändern müssen, zeigt zugleich die Dimension des Problems. Die Entscheidung der Hochbahn ist zwar mit Aufwand für die Kunden verbunden, verhindert aber, dass bereits bekannte Zugangsdaten weiterhin für automatisierte Angriffe auf die HVV-Switch-Konten eingesetzt werden können.
Der Fall ist damit mehr als eine lokale IT-Störung beim Hamburger Nahverkehr. Er zeigt exemplarisch, wie wertvoll gestohlene Zugangsdaten für Cyberkriminelle geworden sind – und warum das Ende des klassischen Passworts für viele digitale Dienste näher rücken dürfte.
