Sicherheitsmaßnahmen-Absurdistan bei 1blu

Unter der Überschrift »1blu vermutet Diebstahl von Kunden-Root-Passwörtern« meldet heise, dass sich beim Berliner Webhoster »1blu« möglicherweise Unbefugte möglicherweise Kundenkennwörter verschafft haben. Die ergriffenen Maßnahmen muten allerdings reichlich sonderbar an:

So sperrte das Unternehmen die Root-Passwörter aller Kunden, die noch immer mit den bei der Bestellung vergebenen Standardpasswörtern arbeiteten, ohne diese geändert zu haben. Die betroffenen Kunden sollen per Post neue Root-Passwörter zugeschickt bekommen.

Was ist vorgefallen, so dass nur die ursprünglich vergebenen Kennwörter betroffen sind? Die Klartext­version des Kennworts ist einmalig für das Einrichten des Zugangs und das Drucken der Kunden­benachrichtigung notwendig, danach benötigt der Provider nur noch eine irreversibel verschlüsselte Fassung für die Überprüfung der Kundeneingabe wieder. Mir fallen nur drei mögliche Varianten ein, was vorgefallen sein könnte:

1. Es hat sich jemand Zugang zu den Benachrichtigungen verschafft (ein Druckserver ist nicht unbedingt gut abgesichert – oder wurde das Drucken oder kuvertieren gar an einen Dienst­leister ausgelagert?).
2. die Kennwörter wurden beim Einrichten abgegriffen (dies ist eher unwahrscheinlich, bei Systemen die hierfür verwendet werden, ist die Sicherheitsrelevanz allzu offenkundig).
3. 1blu speichert unnötig Kennwörter.

Entweder, es hat jemand Kennwörter bei der Eingabe abgefangen oder eines der drei obigen Szenarios trifft tatsächlich zu. Im ersten Fall ist das Verhalten des Providers absurd, weil es keinen Unterschied macht, ob das Kennwort geändert wurde oder nicht. Im zweiten Fall ist es absurd, den Kunden den tatsächlichen Grund für das Problem zu verschweigen. Natürlich kann es in diesen Fällen Kunden verprellen, ihnen die Wahrheit mitzuteilen. Doch gemeinhin ist der Schaden größer, wennn sie derartige Ursachen von Dritten erfahren.