20 Minuten Webseite verteilt Malware: Super-GAU für Tamedia (Update)

Heute wurde bekannt, dass über die Webseite der Gratiszeitung 20 Minuten Malware verteilt wurde.

Nachdem die Bundesverwaltung, Swisscom sowie andere Firmen den Zugriff auf 20min.ch blockiert hatten machte Watson.ch das ganze heute Nachmittag publik. Über die Webseite wurde einige Zeit lang der E-Banking Troyaner „Gozi“ verteilt.

Die Geschichte ist für Tamedia, welche 20 Minuten herausgibt, ein absoluter Super-GAU. Tatsächlich hat man erst am frühen Abend selber etwas über den Hack verlauten lassen. Wenn ich die Verlautbarung lese sträuben sich mir die Haare:

So schreibt Tamedia zum Beispiel:

Etwa 20 bis 50 Mal pro Tag werden die Server von 20 Minuten von Unbekannten angegriffen. Etwa alle drei Monate gelingt es einem Hacker in das System einzudringen.

20min.ch ist mit knapp einer Million Besuchern pro Tag die erfolgreichste News-Webseite der Schweiz. Natürlich wird so eine bekannte Seite auch öfter attackiert als zum Beispiel mein kleines Blog hier.

Damit hat Tamedia auch eine grosse Verantwortung den Besuchern gegenüber. Andere bekannte Newsseiten wie Spiegel, FAZ oder die New York Times wurden noch nie geknackt und zum Versand von Troyanern missbraucht.

Der letzte uns bekannte Fall liegt eine Woche zurück. Dabei gelang es den Hackern, über die Domain 20minuten.ch Schadsoftware zu verteilen. Ursache ist eine verseuchte Flash-Datei. Mit Hilfe der Melde- und Analysestelle Informationssicherung des Bundes wurde diese identifiziert.

Wenn es einem Angreifer alle drei Monate gelingt die Schutzmechanismen der Seite zu knacken hat Tamedia die Gefahr offenbar unterschätzt. Wenn man auch noch von externer Seite (die Melde- und Analysestelle des Bundes hat Tamedia auf den Fehler aufmerksam gemacht) erst auf die Probleme hingewiesen wird ist mein Vertrauen in die Web-Security Fähigkeiten der Leute dort schwer erschüttert.

20 Minuten nimmt diesen Vorfall sehr ernst. Die Sicherheitsmassnahmen sind gerade in den letzten Wochen sukzessive und massiv ausgebaut worden und werden aktuell in Absprache mit externen Experten weiter verschärft

Vertrauen ist nicht nur für eine Zeitung immens wichtig sondern ganz speziell auch für eine Webseite, wo die Konkurrenz doch nur einen Mausklick entfernt liegt. Ich sage daher klipp und klar:

Tamedia, das hätte euch nicht passieren dürfen. Ihr müsst schon einige Infos mehr liefern als das bisherige, dünne Statement um mich wieder davon zu überzeugen, dass eure Seite in Zukunft wieder sicher ist.

[Update 8.4. 15:00] Als sei der Vorfall nicht schlimm genug musste Tamedia heute auch noch zugeben, dass die Entwarnung von gestern Abend zu früh erfolgt ist:

20 Minuten: Schädliche Software erst am Freitagmorgen gelöscht

Zürich, 8. April 2016 – Die schädliche Software auf 20minuten.ch wurde erst heute Freitagmorgen um etwa 10:15 Uhr gelöscht. Die Software war am Donnerstagabend im System von 20 Minuten identifiziert worden, wurde jedoch aufgrund eines menschlichen Versagens nicht sofort gelöscht. Tamedia hatte am Donnerstagabend kurz vor 22:00 Uhr darüber informiert, die schädliche Software gelöscht zu haben. Tamedia bedauert diesen Fehler zutiefst und entschuldigt sich bei allen Leserinnen und Lesern für die falsche Information

Kein Kommentar dazu nötig von meiner Seite denke ich.