Ich möchte mir etwas Zeit nehmen, um über das Thema Account-Sicherheit zu sprechen; insbesondere, wie ihr zur Sicherheit eures Accounts beitragen könnt und was wir unsererseits tun, um für die Sicherheit eurer Accounts zu sorgen.

Wenn ihr etwas aus diesem Blog-Beitrag mitnehmt, sollte dies Folgendes sein: Im Interesse der Sicherheit solltet ihr heutzutage ein einzigartiges Passwort für jeden Account festlegen, der euch am Herzen liegt. Wenn ihr derzeit ein Passwort für Guild Wars 2 verwendet, das ihr außerdem anderswo benutzt, solltet ihr euer Guild Wars 2-Passwort umgehend zu einem neuen, einzigartigen Passwort ändern.

So stehlen Hacker Accounts

Die meisten Empfehlungen, die über die Jahre in puncto Sicherheit gemacht wurden, haben sich auf die Wahl eines sicheren Passworts konzentriert. Das legt nahe, dass Hacker sich in erster Linie auf Accounts mit schwachen Passwörtern stürzen und dabei womöglich alle Wörter des Lexikons auf Übereinstimmung hin prüfen. Aber das ist nur selten der Fall.

Die Wahrheit ist: Hacker stehlen Spiel-Accounts, weil sie den Accountnamen und das Passwort bereits kennen. Sie kennen die Informationen, weil sie diese (sei es durch Sicherheitsübertretungen oder Spyware) bereits aus einem anderen Spiel oder von einer anderen Webseite gestohlen haben, auf der das Opfer den gleichen Accountnamen und das gleiche Passwort benutzt hat.

Wenn die Lektion, die ihr im Laufe der Zeit aus den geläufigen Sicherheitsempfehlungen gelernt habt, jene ist, dass ihr ein einziges kompliziertes Passwort festlegen solltet, das ihr euch merkt, um es dann überall zu benutzen, ist das genau die Lektion, die sich mit den heutigen Gegebenheiten am wenigsten verträgt. Um heutzutage die Sicherheit von Accounts auf verschiedenen Webseiten zu gewährleisten, ist ein einzigartiges Passwort für jeden Account gefordert.

Wir haben bei ArenaNet gewisse Möglichkeiten, Hackversuche in Echtzeit zu beobachten, und die dadurch gewonnenen Erkenntnisse sind faszinierend. Wir konnten beobachten, wie Hacker tausende verschiedener IP-Adressen nutzen, um Millionen von Accountnamen und Passwörter zu testen, von denen fast keiner auch nur in unserer Datenbank existiert, um Übereinstimmungen zu finden. Dabei raten sie nicht und führen auch keinen Brute-Force-Angriff durch, um Passwörter zu knacken; vielmehr prüfen sie bei jedem Versuch ganz spezifische Kombinationen aus Accountnamen und Passwörtern. Zum Beispiel den Accountnamen “joe.user@example.com” und das Passwort “alligator101”. Wenn sie nicht gleich eine Übereinstimmung finden, versuchen sie es möglicherweise mit einer Variation wie “alligator100” oder “alligator102” und nehmen sich dann den nächsten Eintrag auf ihrer Liste vor. Das Interessante dabei ist, dass die meisten Passwörter auf diesen Listen wirklich gut sind. Für jeden Account auf der Liste der Hacker, der ein Passwort wie “twilight” (ein echtes Beispiel, ಠ_ಠ) benutzt, gibt es Dutzende von Accounts mit guten und starken Passwörtern. Der Großteil der Benutzer weiß also, wie man ein gutes Passwort wählt; der Grund dafür, dass Hacker immer noch Opfer finden, liegt darin, dass sie das gleiche Passwort auf mehreren Webseiten verwenden.

Die Rahmenbedingungen für Sicherheit haben sich definitiv geändert. Bei der Veröffentlichung unseres ursprünglichen Guild Wars-Spiels konnten wir nicht beobachten, dass Hacker solch ellenlange Listen gestohlener Accountnamen und Passwörter überprüfen. Indenletzten Jahren jedoch isteine unglaublichgroße Anzahl an Spielefirmen und Webseiten Opfer von Übergriffen auf ihre Account-Datenbanken geworden. Diese Berichte über Sicherheitsverletzungen – 77 Millionen Accounts hier,25 Millionen Accounts dort, und unzählige Millionen mehr – mögen sich wie abstrakte Zahlen lesen, die zu groß sind, um real zu sein, doch das sind sie nicht. Die in Datenbankübergriffen gestohlenen Informationen sind für Hacker, die die gestohlenen Accountinformationen bei jedem neu veröffentlichten Spiel benutzen können, jede Menge Geld wert.

Wenn ihr also jemals angenommen habt, dass es sicher ist, euch ein starkes Passwort für mehrere Accounts zu merken und es dann für mehrere Accounts zu verwenden, ist dies heute sicherlich nicht mehr angemessen. Heute ist es vielmehr von entscheidender Bedeutung, für jeden Account ein einzigartiges Passwort festzulegen, der euch am Herzen liegt und den ihr behalten möchtet.

E-Mail-Authentifizierung

Wir haben ein Feature namens E-Mail-Authentifizierung implementiert, das darauf angelegt ist, auch dann die Sicherheit eures Accounts zu gewährleisten, wenn ein Hacker euren Accountnamen und euer Passwort kennt.

Und das funktioniert so. Wenn ihr euch zum ersten Mal einloggt, bitten wir euch, eure E-Mail-Adresse zu verifizieren. Wenn Ihr euch danach von einem anderen Ort aus einzuloggen versucht, senden wir euch eine E-Mail mit der Aufforderung, diesen Login-Versuch zu bestätigen oder abzulehnen.

Denkt also daran, wenn ihr eine unerwartete E-Mail zur Authentifizierung erhaltet. Wenn die Anmeldung von einem Ort aus versucht wird, an dem ihr nicht spielt, könnt ihr davon ausgehen, dass ein Hacker euren Accountnamen und euer Passwort kennt! Einzig und allein das System zur E-Mail-Authentifizierung verhindert, dass er sich mit euren Daten einloggt! Ändert in diesem Fall euer Passwort umgehend.

Leider werden Accounts, selbst nach Implementierung dieses Systems noch gehackt. Und so passiert es: Erstens hat circa ein Drittel der Spieler seine E-Mail-Adressen noch nicht verifiziert. Spieler mit nicht verifizierten E-Mail-Adressen können die E-Mail-Authentifizierung nicht nutzen. Zweitens haben Hacker in vielen Fällen auch die Login-Informationen für den E-Mail-Account gestohlen, sodass sie Zugriff auf die Authentifizierungs-E-Mail haben und somit ihren eigenen Login-Versuch authentifizieren können. Insbesondere kommt es dazu, weil Spieler sich mit dem Passwort in ihren E-Mail-Account einloggen, das sie auch für Guild Wars 2 und andere Accounts verwenden.

Um euch zu schützen, solltet ihr daher eure E-Mail-Adresse verifizieren und unterschiedliche Passwörter für E-Mail- und Spiel-Accounts verwenden.

Zwei-Faktoren-Authentifizierung

Wenn ihr die E-Mail-Authentifizierung eingerichtet habt, könnt ihr noch weiter zur Sicherheit eures Accounts beitragen, indem ihr euren E-Mail-Account mit Zwei-Faktoren-Authentifizierung verseht. Und das ist in jedem Fall eine gute Idee. Diese Art der E-Mail-Authentifizierung, schützt euren Account auf ähnliche Weise, wie dies bei der für Spiele typischen Zwei-Faktoren-Authentifizierung geschieht: Das Spiel fordert bei jedem Login-Versuch von einem neuen Ort aus, dass ihr diesen durch Zwei-Faktoren-Authentifizierung autorisiert.

Wir wissen, dass unsere Kunden auch eine integrierte Implementierung der Zwei-Faktoren-Authentifizierung wünschen, und wir möchten dies ebenfalls. Was dies anbelangt, sind wir als Unternehmen gefragt, schneller zu handeln – und das werden wir auch. Unsere hauseigene Zwei-Faktoren-Authentifizierung per Smartphone befand sich bereits in der Testphase, wir werden diese aber auf Eis legen und stattdessen den Google-Authenticator in Guild Wars 2 integrieren. Er verfügt seinerseits bereits über robuste Implementierungen seiner Authentifizierung für die meisten Smartphone-Plattformen. Wir erwarten, dies in den nächsten zwei Wochen ausliefern zu können.

Die Zwei-Faktoren-Authentifizierung ist ein großartiges Hilfsmittel, mit dem sicherheitsbewusste Kunden ihre Accounts schützen können. Uns ist jedoch bewusst, dass es einige Zeit dauern wird, den Großteil unserer Kunden dazu zu bewegen, die Zwei-Faktoren-Authentifizierung zu nutzen. Bis dahin werden jeden Tag neue Accounts erstellt, die Accountnamen und Passwörter nutzen, die Hackern bereits bekannt sind und die anschließend gleich gehackt werden. Wir benötigen also so schnell wie mögliche  eine Lösung, die alle Spieler und nicht nur die sicherheitsbewusstesten schützen kann. Daher starten wir jetzt unsere nächste Initiative: Eine schwarze Liste für Passwörter.

Schwarze Liste für Passwörter

Seit wir beobachtet haben, wie Hacker ständig Accounts scannen, die es noch gar nicht gibt, möchten wir sichergehen, dass neue Kunden beim Erstellen ihrer Accounts nicht die Passwörter benutzen, auf die die Hacker bereits warten. Aus diesem Grund fassen wir alle Passwörter, nach denen Hacker Accounts prüfen,  in einer schwarzen Liste zusammen, – sie umfasst bereits 20 Millionen Einträge und wächst stetig weiter. So können wir verhindern, dass neue Kunden eines dieser Passwörter wählen. (Die schwarze Liste umfasst nur Passwörter, keine Accountnamen.)

Dieses System macht Hackern den Diebstahl neuer Accounts bedeutend schwerer, da neue Accounts nicht mehr den Informationen entsprechen, auf die die Hacker sie prüfen. Der Anteil der gehackten Accounts lag vor Einführung dieser Liste bei ca. 1,5 %; nach Einführung der Liste ist er für neu erstellte Accounts auf ungefähr 0,1 % gesunken.

Weil diese Maßnahme sich für den Schutz neuer Accounts als so erfolgreich erwiesen hat, möchten wir sie zum Schutz bereits existierender Accounts weiter ausbauen. Allerdings ist es für uns schwerer herauszufinden, ob das Passwort eines bereits existierenden Accounts den Hackern bekannt ist: Es ist schwierig, zwischen dem Login-Versuch eines echten Kunden und dem eines Hackers zu unterscheiden. Wir werden daher auf Nummer sicher gehen und alle existierenden Kunden bitten, ihre Passwörter zu ändern und sämtliche alten Passwörter auf die schwarze Liste setzen.

Wir bitten also alle existierenden Kunden: Ändert euer Passwort. Wenn ihr es ändert, wird das System es euch nicht gestatten, erneut euer altes Passwort oder ein Passwort, das gegen einen existierenden oder nicht existierenden Account getestet wurde, zu wählen. Nach der Änderung eures Passworts könnt ihr euch sicher sein, dass es innerhalb von Guild Wars 2 einzigartig ist. (Einzigartig bleibt es jedoch nur dann, wenn ihr es nicht für weitere Spiele oder Webseiten verwendet – tut dies also nicht!)

In den kommenden Wochen werden wir alle Spieler dazu aufrufen ihre Passwörter zu ändern und jene Benutzer, die nicht bereits freiwillig ihr Passwort geändert haben, dazu verpflichten.

Wenn ihr euch übrigens jetzt, da Millionen von möglichen Passwörtern auf die schwarze Liste gesetzt wurden, schwer dabei tut, euch ein neues einzigartiges Passwort auszudenken, empfehlen wir euch, eins aus vier zufällig gewählten Wörtern zusammenzusetzen, wie es dieser Comic zeigt. Verwendet ein Passwort wie “korrekt Pferd Batterie Klammer”. Wie der Comic euch bereits vorrechnet, lassen sich selbst, wenn alle ihre Passwörter aus denselben 2.000 häufigsten Wörtern wählen, 16 Trillionen mögliche Passwörter bilden. Schon bald werden wir einen Zufallsgenerator für Passwörter einführen, der diese Art von Passwörtern generiert.

Datenbankübergriffe

Derzeit geht scheint es das Gerücht zu geben, dass ein Übergriff auf die Datenbank von Guild Wars  für die gehackten Account verantwortlich ist. Wir verfügen über extrem strikte Sicherheitsvorkehrungen, die verhindern, dass Netzwerkübergriffe unsere Kundendatenbanken erreichen. Zudem beschäftigen wir ein Team, das konstant die Augen nach Anzeichen von nicht-autorisierten Zugriffen offen hält, und wir sind überzeugt, dass es keinen Übergriff dieser Art gegeben hat.

Wir nehmen das Thema Sicherheit sehr ernst. Das könnt ihr sicher an diesem Blog-Beitrag erkennen. ArenaNet schützt eine ganze Menge an Informationen und Daten und dabei steht der Schutz unserer Kunden an erster Stelle.

Auch Firmen wie Blizzard und Valve haben vermutlich Sicherheitsmaßnahmen implementiert, dennoch wurden sie Opfer von Übergriffen auf ihre Account-Datenbanken. Werden auch wir eines Tages Ziel eines Hacker-Angriffs sein, der unsere Sicherheitsvorkehrungen überwältigt?

Sollte das jemals geschehen, werden wir dies offen zugeben und sofort Schritte unternehmen, um einen ausgedehnten Hack-Angriff auf Accounts zu verhindern. Und noch etwas: Weil wir alle Spieler von Guild Wars 2 dazu anhalten, einzigartige Passwörter für Guild Wars 2 verwenden, gibt es nichts, was ein Hacker von Guild Wars 2 stehlen könnte, um damit andere Spieler oder Webseiten zu knacken. Ein einzigartiges Passwort zu wählen, bedeutet daher in jeder Hinsicht einen Vorteil für euch. Die Verwendung eines einzigartigen Passworts ist der sicherste Weg, eure Accounts vor gegenwärtigen Angriffen, aber auch vor zukünftigen Gefahren (z.B. Übergriffe bei anderen Unternehmen) zu schützen.

Sicherheit bei Transaktionen

Uns sind einige wenige Fälle bekannt, in denen Hacker Edelsteine über von ihnen gehackte Accounts gekauft haben. Diese Art des Übergriffs ist selten, weil es im Spiel Beschränkungen gibt, die die Übertragung der Werte eines Accounts in solchen Fällen verbieten.

Wir haben neue Beschränkungen auferlegt, die verhindern, dass Hacker die in gestohlenen Accounts gespeicherten Kreditkarten verwenden und geben Benutzern darüber hinaus die Option gespeicherte Kreditkarten zu löschen.

Selbstverständlich kann jeder Kunde, der merkt, dass ein Hacker unautorisierte Belastungen seiner Kreditkarte vorgenommen hat, unseren Kundensupport kontaktieren, um sich den Betrag zurückerstatten zu lassen.

Bewährte Verfahren

Dieser Blog-Beitrag beschäftigt sich insbesondere mit Hackern, die gestohlene Kundendaten dazu missbrauchen, sich Zugang zu neuen Accounts zu verschaffen, weil dies den Großteil der heute beobachteten Fälle ausmacht. Doch je mehr wir zur Lösung dieses Problems beitragen, um so mehr werden sich die Hacker nach anderen Tricks umsehen – es ist also wichtig, anderen Aspekten der Account-Sicherheit gegenüber wach zu bleiben.

• Phishing: Wenn euch eine E-Mail dazu auffordert euer Passwort einzugeben und auf eine Webseiten verlinkt: Tut dies nicht! Die Seite könnte fingiert sein. Ruft stattdessen die echte Seite für die Account-Verwaltung auf, indem ihr “account.guildwars2.com” eingebt, oder verwendet ein Lesezeichen.
• Social Engineering: Wenn jemand vorgibt, ein Mitarbeiter von ArenaNet oder NCsoft zu sein und nach eurem Passwort fragt, gebt es nicht preis. Unser Kundensupport benötigt euer Passwort nicht.
• Trojaner und Spyware: Ladet keine Software herunter, führt sie nicht aus und öffnet keine Anhänge von E-Mails, wenn ihr euch nicht 100 %ig über ihre Quelle sicher seid. Malware kann einen Keylogger auf eurem System installieren, der eure Passwörter kopiert und überträgt.
• E-Mail-Sicherheit: Hütet die Sicherheit der mit eurem Guild Wars 2-Account verbundenen E-Mail-Adresse genau so wie die eures Guild Wars 2-Accounts selbst. Verwendet auch hier ein starkes, einzigartiges Passwort, das ihr noch nie anderswo eingesetzt habt.

Die Wurzel allen Übels

Warum geben sich Hacker solche Mühe, Accounts zu stehlen? Weil sie Geld damit machen.

Es gibt Gold-Händler die euch Gold gegen echtes Geld verkaufen möchten. Dazu müssen sie das Gold sammeln und es dann anbieten. Sie sammeln Gold, indem sie gestohlene Accounts leer räumen und damit botten. Sie bieten es an, indem sie gestohlene Accounts zum Spammen missbrauchen.

Wenn niemand Gold von diesen Händlern kaufen würde, gäbe es keinen finanziellen Anreiz für den Diebstahl von Accounts. Hacker-Übergriffe, Account-Plünderung, organisiertes Botting oder Spamming mit Werbung würden kaum vorkommen.

Schon beim ursprünglichen Guild Wars sehnten wir uns wehmütig danach und riefen unsere Spieler immer wieder dazu auf, Gold-Händlern ihre Unterstützung zu versagen. Uns war aber klar, dass wir gegen Windmühlen kämpfen. Wenn jemand etwas kaufen will, wird er es kaufen.

Für Guild Wars 2 haben wir den Kauf von Gold daher legitimiert, aber auf eine Weise, die dem Spieler die Macht gibt und nicht dem Gold-Händler. Spieler, die Gold kaufen wollen, können dies jetzt im Spiel auf einem offenen Markt mit anderen Spielern tun und Gold gegen Edelsteine eintauschen, die der Empfänger für die Mikrotransaktionen seiner Wahl nutzen, nicht aber zurück in bare Münze umtauschen kann. Solange Spieler ihr Gold auf diese Weise kaufen, wird den Gold-Händlern kein Geld zugespielt, sodass der Anreiz zum Hacken von Accounts verschwindet.

Unsere Schutzmaßnahmen greifen also tief in das Design von Guild Wars 2, und wir werden dies zu nutzen wissen, um aus Guild Wars 2 eine sicherere Umgebung als ein traditionelles MMO zu machen.

Doch alles einfach schwarz-weiß zu sehen, wird der Sache nicht gerecht. Wie sehr wir uns auch bemühen werden, Profit als Anreiz zu eliminieren, fest steht, dass Guild Wars 2 ein beliebtes Spiel ist, und jedes beliebte Spiel ist ein Magnet für Hacker. Daher werden wir Sicherheit in allen Situationen an die erster Stelle setzen. Durch neue Features wie E-Mail-Authentifizierung, Zwei-Faktoren-Authentifizierung und eine schwarze Liste für Passwörter werden wir weiter zur Sicherheit der Accounts beitragen. Wir pflegen einen offenen Dialog mit unseren Spielern, was die wahren Bedrohungen angeht und wie man sich gegen diese schützen kann. Und nicht zuletzt können wir uns auf unser GM-Team verlassen, das denen, die trotzdem Hackern zum Opfer fallen, zur Seite steht.

Wenn es um die Sicherheit geht, steckt der Teufel im Detail – danke also, dass ihr drangeblieben seid. Bitte ändert euer Passwort und befolgt die anderen Tipps dieses Beitrags, um die Sicherheit eures Account zu gewährleisten; wir werden währenddessen der Account-Sicherheit weiterhin oberste Priorität einräumen und unermüdlich daran arbeiten, unsere Kunden zu schützen.

-Mike O’Brien