Ein Bedrohungsakteur in einem bekannten Cybercrime-Forum versucht Berichten zufolge, eine Datenbank mit Informationen zu 140 Millionen BlaBlaCar-Konten zu verkaufen. Sollte die Behauptung zutreffen, würde dies eine der größten Offenlegungen von Nutzerdaten einer europäischen Mitfahrplattform in jüngerer Zeit darstellen. BlaBlaCar hat einen Datenverstoß nicht bestätigt, und die Situation gilt weiterhin eher als unbelegte Behauptung denn als verifizierter Vorfall, doch allein das Ausmaß der Behauptung verdient die Aufmerksamkeit der riesigen internationalen Nutzerbasis der Plattform.

Was wir bisher wissen

Laut im Umlauf befindlichen Online-Berichten behauptet der Verkäufer, der Datensatz enthalte Nutzer-IDs, E-Mail-Adressen, Passwort-Hashes, vollständige Namen und Geschlechtsangaben für rund 140 Millionen Konten. BlaBlaCar ist in Dutzenden von Ländern aktiv und hat sich lange als Europas führende Mitfahrplattform positioniert. Ein Datenleck dieser Größenordnung wäre schon allein aufgrund der schieren Anzahl potenziell Betroffener von Bedeutung.

Im Moment ist das Schlüsselwort „Behauptung“. Die Echtheit des gesamten Datensatzes wurde bisher nicht durch unabhängige Prüfungen öffentlich bestätigt, und BlaBlaCar hat Behauptungen zurückgewiesen, seine Systeme seien kompromittiert worden. Dies ist ein bekanntes Muster in der Berichterstattung über Datenlecks: Ein Verkäufer stellt eine Probe oder eine Behauptung in ein Forum, Medien berichten darüber, und das betroffene Unternehmen bestreitet den Vorfall oder ermittelt, bevor eine endgültige Klärung erfolgt. Solange BlaBlaCar oder ein unabhängiger Sicherheitsforscher die Authentizität und Herkunft der Daten nicht bestätigt, sollten Nutzer die Berichte als unbestätigt, aber dennoch als Anlass zu vorsorglichem Handeln betrachten.

Warum Passwort-Hashes und E-Mails dennoch von Bedeutung sind

Selbst wenn sich die Datenleck-Behauptung als übertrieben oder nur teilweise zutreffend erweisen sollte, entspricht die angeblich betroffene Datenart genau dem, wonach Angreifer suchen. Passwort-Hashes sind zwar nicht dasselbe wie Klartext-Passwörter, können aber mit der Zeit häufig geknackt werden, insbesondere wenn ältere oder schwächere Hash-Algorithmen verwendet wurden. In Kombination mit E-Mail-Adressen und vollständigen Namen werden solche Daten häufig für Credential-Stuffing-Angriffe genutzt, bei denen Kriminelle gestohlene Benutzername-Passwort-Kombinationen auf anderen Websites, Banking-Apps und E-Mail-Anbietern ausprobieren.

Geschlechtsangaben und Nutzer-IDs mögen für sich genommen weniger sensibel erscheinen, aber zusammen mit E-Mails und Namen liefern sie Details, die Phishing-Versuche überzeugender machen. Ein Betrüger, der Ihren Namen, Ihre E-Mail-Adresse und Ihre Kontohistorie kennt, kann eine weitaus glaubwürdigere gefälschte Nachricht verfassen als jemand, der nur über eine nackte E-Mail-Adresse verfügt.

Dies ist nicht das erste Mal, dass eine Massenplattform mit Millionen europäischen Nutzern einer solchen Datenoffenlegung gegenüberstand. Der kürzliche Odido-Datenleck, das 6,2 Millionen Datensätze inklusive sensibler Finanzkennungen betraf, erinnert daran, dass große Nutzerbasen branchenübergreifend attraktive Ziele sind und dass die Nachwirkungen solcher Vorfälle oft langsam ablaufen, mit rechtlichen Ansprüchen und aufsichtsbehördlicher Prüfung Monate nach den ersten Berichten.

BlaBlaCars Dementi und die Kluft zwischen Behauptung und Bestätigung

BlaBlaCars bisherige Reaktion besteht darin, die Datenleck-Behauptung zu bestreiten, nicht sie zu bestätigen. Diese Kluft zwischen der Aussage eines Hackers und dem Dementi eines Unternehmens ist in der Frühphase solcher Geschichten üblich, und es kann Tage oder Wochen dauern, bis forensische Untersuchungen, die Einschaltung von Strafverfolgungsbehörden oder unabhängige Forscher die Frage endgültig klären. Leser sollten vorsichtig sein, unbestätigte Forumsbeiträge als erwiesene Tatsachen anzusehen, aber auch anerkennen, dass Unternehmen manchmal Zeit benötigen, um das volle Ausmaß eines Eindringens zu bewerten, bevor sie eine vollständige Stellungnahme abgeben.

Für Nutzer ist entscheidend, dass das Risiko einer Datenoffenlegung besteht, unabhängig davon, ob die volle Zahl von 140 Millionen letztlich bestätigt wird. Partielle Datenlecks, gesammelte Daten oder alte Zugangsdatensammlungen, die als „neue“ Lecks neu verpackt wurden, sind in diesem Bereich üblich, und jedes dieser Szenarien könnte dennoch echte Nutzerinformationen gefährden.

Was das für Sie bedeutet

Wenn Sie ein BlaBlaCar-Konto besitzen, ist der vernünftigste Schritt im Moment Vorsorge, nicht Panik. Ändern Sie Ihr BlaBlaCar-Passwort, insbesondere wenn Sie es seit längerem nicht aktualisiert haben, und stellen Sie sicher, dass es einzigartig ist und nicht für andere Dienste wiederverwendet wird. Falls Sie dasselbe Passwort auf anderen Plattformen verwendet haben, insbesondere bei E-Mail- oder Bankkonten, aktualisieren Sie es auch dort, denn die Wiederverwendung von Zugangsdaten ist eine der einfachsten Methoden für Angreifer, aus einem einzigen Leck mehrere kompromittierte Konten zu machen.

Die Aktivierung der Zwei-Faktor-Authentifizierung, sofern verfügbar, bietet einen bedeutenden zusätzlichen Schutz, selbst wenn Ihr Passwort doch in einer geleakten Datenbank auftaucht. Es ist auch ratsam, in den kommenden Wochen auf ungewöhnliche Anmeldebenachrichtigungen oder unbekannte Aktivitäten in Ihrem Konto zu achten, da dies ein frühes Anzeichen für den Missbrauch von Zugangsdaten sein kann.

Kernpunkte

Die Behauptungen über ein BlaBlaCar-Datenleck bleiben unbestätigt, doch das behauptete Ausmaß – 140 Millionen Nutzerdatensätze – macht diese Geschichte zu einer, die man genau verfolgen sollte. Nehmen Sie die Berichte ernst genug, um Ihr Passwort zu aktualisieren und Ihre Kontosicherheit zu überprüfen, ohne vom schlimmsten Fall auszugehen, bevor eine Verifizierung erfolgt ist. Wie bei früheren großflächigen Datenoffenlegungen, die europäische Nutzer betrafen, kann es einige Zeit dauern, bis das vollständige Bild sichtbar wird. Daher ist es für den Einzelnen die wirksamste Reaktion, informiert und proaktiv zu bleiben.