Der Webhosting-Anbieter DreamHost hat bestätigt, dass Hacker während eines monatelangen Cyberangriffs Kunden-E-Mails und Zugangsdaten gestohlen haben – und das Unternehmen hat es offenbar erst bemerkt, als die Dinge sichtbar auseinanderzufallen begannen. Der Vorfall wurde letzten Donnerstag offengelegt, nachdem er einen mehrere Tage andauernden Ausfall ausgelöst hatte, während dem DreamHost einige Kundenpasswörter zurücksetzte – ein klassisches „Wir haben es repariert, bitte fragt nicht, wie lange es kaputt war“-Manöver.

In einer Datenschutzverletzungsmitteilung an den Generalstaatsanwalt von Kalifornien erklärte der Webhoster, der Angriff habe im August begonnen und es Hackern ermöglicht, Session-Tokens zu erbeuten – die digitalen Armbänder, die Nutzer eingeloggt halten, nachdem sie ihre Passwörter eingegeben haben. Mit diesen Tokens in der Hand kann ein Angreifer in ein System spazieren, als wäre er der rechtmäßige Nutzer, ganz ohne Passwort – was für Hacker genau so praktisch ist, wie es klingt, und für alle anderen genau so unpraktisch.

Das Unternehmen gab an, Hacker hätten eine nicht näher bezeichnete Schwachstelle im Dateimanager von DreamHost ausgenutzt – dem Tool, das Kunden zum Speichern ihrer Dateien verwenden. Auf Anfrage von TechCrunch weigerte sich ein DreamHost-Sprecher zu erklären, warum das Unternehmen den Cyberangriff erst letzte Woche entdeckt hat, und verwies auf laufende Ermittlungen – eine Formulierung, die noch nie jemanden angesichts einer viermonatigen Erkennungslücke beruhigt hat. Der Sprecher weigerte sich auch zu sagen, worin die Schwachstelle eigentlich besteht.

DreamHost bot jedoch eine Klarstellung an: Die Schwachstelle habe nichts mit den kürzlich entdeckten Sicherheitslücken in der PHP-Websoftware zu tun, denn offenbar ist es wichtig klarzustellen, dass dieses besondere Feuer nicht von dem anderen, berühmteren Feuer verursacht wurde.

Zur Anzahl der betroffenen Kunden sagte der Sprecher, sie liege „deutlich unter 10 %“, wollte aber keine genauere Zahl nennen. Zum Kontext: DreamHost wirbt mit rund 400.000 zahlenden Kunden in seinem Netzwerk – „deutlich unter 10 %“ ist also eine beruhigend vage Art zu sagen: „eine Zahl, die groß genug ist, dass wir lieber nicht wollen, dass Sie nachrechnen.“