Sicherheitslücke im Outlook-Kalender: Hacker können Passwörter stehlen

Nürnberg - Eine Schwachstelle in der Kalenderfunktion von Outlook ermöglicht es Hackern, Passwörter zu stehlen. Hier erfahren Sie, welche Maßnahmen Sie ergreifen können, um sich vor einem möglichen Datenklau zu schützen.

Hacker finden immer neue Methoden, ihre Opfer um sensible Daten wie Adressen oder Kontodaten zu bringen. Auch Passwörter versuchen Cyberkriminelle ständig zu erbeuten. Durch eine Sicherheitslücke in Outlook können sie nun an die Kennwörter des Mailprogramms gelangen. Wie das Unternehmen für Cybersicherheit Varonis Threat Labs meldete, sind davon auch der Windows Performance Analyzer (WPA) und Windows File Explorer betroffen.

Die Schwachstelle (CVE-2023-35636) ermöglicht es Hackern, auf Passwörter zuzugreifen, die durch das NTLM-v2-Protokoll laufen. Normalerweise werden die Passwörter beim sogenannten Hashing verschlüsselt, indem sie in andere Buchstaben und Nummern umgewandelt werden. Mit diesem Hashwert authentifizieren sich Benutzer zum Beispiel beim Aufrufen des Mailprogramms.

Problem beim Kalender

Die Schwachstelle von Outlook betrifft den Kalender des Mailprogramms. Hacker können die Teilen-Funktion dazu missbrauchen, mehrere Header in eine Mail einzufügen. Outlook löst dann einen Authentifizierungsversuch aus, wobei das Passwort an den Absender umgeleitet wird. Dieser greift den Hashwert ab und kann ihn anstelle des originalen Passworts nutzen. Im schlimmsten Fall hat der Angreifer dann Zugriff auf alle mit dem Programm verbundenen Konten.

Die einfachste Methode, sich vor dieser Sicherheitslücke zu schützen, ist es, den Computer stets aktuell zu halten. Im Januar hatte Microsoft bereits seinen ersten Patchday des Jahres. Dabei gab es umfassende Sicherheitsupdates für Windows 10 und 11, die unter anderem dieses Problem beheben. Sollte ein Update nicht möglich sein, empfiehlt "Netzwelt" folgende Vorgehensweise, um sich zu schützen:

Wenn Sie den Verdacht haben, dass jemand Ihr Passwort kennt, sollten Sie es unverzüglich ändern. Passwörter sollten regelmäßig gewechselt und nicht zu einfach sein. Auch sollten Sie keine Passwörter unverschlüsselt irgendwo notieren oder ablegen. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, Passwortverwaltungsprogramme und starke Passwörter zu benutzen.