Kostenlose VPN-Anbieter haben persönliche Daten von mehr als 21 Millionen Nutzern geleakt. Die Datenbank mit Benutzerdaten wurde vor kurzem durch CyberNews entdeckt. Das Leck stellt ein großes Datenschutz- und Sicherheitsrisiko dar.

Betroffen wurden drei der beliebstesten kostenlosen Android-VPNs: SuperVPN (mehr als 10 Mio. Google Play-Installationen), GeckoVPN (auch mehr als 10 Mio. Installationen) und ChatVPN (mehr als 50 Tausend Installationen). Die Datenbank, die vom 24. Februar datiert wurde, wird jetzt auf einschlägigen Internet-Foren für einen bisher unbekannten Preis verkauft.

Die Ursache des Leaks ist wahrscheinlich fahrlässiges Benutzerlogging und fehlende Sicherheitsmaßnahmen. Die VPNs haben nicht nur Benutzerinformationen gespeichert – sie haben auch die Standard-Logindaten ihrer Server nicht mal geändert, sodass es sehr leicht war, darauf zuzugreifen.

Wie hoch ist der geschätzte Schaden?

Das ist schon nicht das erste massive Datenleck bei kostenlosen VPN-Anbietern. Bei SuperVPN ist bereits im Juli 2020 zu einem Datendiebstahl gekommen.

Es sieht aber so aus, dass diese Anbieter nichts davon gelernt und keine zusätzliche Maßnahmen ergriffen haben.

Das neueste Datenleck ist größer und betrifft mehr sensible Daten. Laut dem anonymen Verkäufer sind in der Datenbank folgende Daten enthalten:

• Mailadressen
• Benutzernamen
• Vor- und Nachnamen der Benutzer
• Herkunftsländer der Benutzer
• Zufällig generierte Passwörter
• Zahlungsbezogene daten
• Status und Ablaufdatum der Abonnements

Alle geleakten Daten sind sensibel, aber die zufällig generierten Passwörter sind besonders problematisch. Denn diese können mit den Google Play-Konten verbunden sein, was die Zahlungsdaten der Benutzer gefährden würde.

In der geleakten Datenbank sind auch weitere Informationen enthalten, darunter:

• Geräte-IDs und -seriennummern
• IMSI-Nummern
• Angaben zu Smartphone-Herstellern und -Modellen

Potenzielle Angreifer können diese Informationen nutzen, um weitere Attacken durchzuführen, wie etwa Man-in-the-Middle-Angriffen. So können auf die Nutzergeräte zugreifen und an Zahlungsdaten kommen.

Auch wenn es noch nicht klar ist, ob das Datenleck echt ist, die vom Verkäufer gelieferten Screenshots sehen authentisch aus. Das ist ein massiver Reputationsschaden für die drei VPN-Anbieter und eine enorme Gefahr für 21 Millionen Benutzer.

Was jetzt?

SuperVPN, GeckoVPN und ChatVPN haben sich noch nicht zu dem Thema geäußert. Aber wenn die geleakten Daten echt sind, kann es nur eines bedeuten: Diese VPN-Anbieter loggen viel mehr, als sie zugeben.

Wenn Sie eine der erwähnten Apps (oder ein anderes kostenloses VPN) verwendet haben, empfehlen wir Folgendes:

1. Überprüfen Sie, ob Ihre personenbezogenen Daten geleakt worden sind.
2. Ändern Sie alle Ihre Passwörter, am besten mit einem Passwort-Generator.
3. Deinstallieren Sie Ihr kostenloses VPN und wählen Sie einen anderen Anbieter aus, der Ihnen Online-Sicherheit garantieren kann.

Online-Sicherheit und Datenschutz sind heute so wichtig wie noch nie, aber die meisten kostenlosen VPN-Anbietern können ein angemessenes Sicherheitsniveau nicht gewährleisten.

Sorgen Sie für Ihre Online-Sicherheit noch heute, bevor es zu spät wird und Ihre Daten an Cyberkriminelle geleakt werden!