Hackerangriff auf das PlayStation Network 2011

Der PlayStation-Network-Ausfall von 2011 war das Ergebnis eines unbefugten Eindringens in das PlayStation Network (PSN) und die Qriocity-Dienste von Sony. Persönliche Daten von rund 77 Millionen Konten wurden entwendet und zudem war es für Benutzer nicht möglich, die betroffenen Dienste zu nutzen. Die Konsolen PlayStation 3 und PlayStation Portable hatten keinen Zugriff auf das PlayStation Network. Der Angriff fand zwischen dem 17. und 19. April 2011 statt. Zu diesem Zeitpunkt gab es 77 Millionen registrierte Benutzerkonten beim PlayStation Network. In weiterer Folge wurde am 20. April das PlayStation Network abgeschaltet. Der Ausfall dauerte 23 Tage.

Am 4. Mai räumte Sony ein, dass persönliche Daten von jedem einzelnen der 77 Millionen Nutzer entwendet wurden. Dieser Vorfall zählt dadurch zu einer der größten Sicherheitsverletzungen überhaupt. Die Anzahl der betroffenen Nutzer übersteigt den TJX hack aus 2007, welcher 45 Millionen Kunden betraf. Regierungsvertreter in unterschiedlichen Ländern äußerten Kritik am Datendiebstahl und Sonys Umgang damit, denn Sony hat erst eine Woche nach dem Vorfall die Nutzer informiert.

Am 26. April gab Sony bekannt, dass man daran arbeite, einige Online-Dienste innerhalb von einer Woche wieder anbieten zu können. Am 14. Mai veröffentlichte Sony die PlayStation-3-Firmware-Version 3.61 als Sicherheitsupdate. Im Rahmen dieses Updates wurden Nutzer aufgefordert, ihr Passwort nach der Anmeldung zu ändern. Zum Zeitpunkt der Veröffentlichung dieses Updates war das PlayStation Network jedoch weiterhin unerreichbar. Kazuo Hirai, zu diesem Zeitpunkt CEO von SCEI, kündigte regionale Wiederherstellungsarbeiten an. Innerhalb der Vereinigten Staaten von Amerika wurden laufend aktualisierte Karten angeboten, anhand welcher man den Fortschritt der Arbeiten mitverfolgen konnte.

Ablauf der Ereignisse

Am 20. April 2011 bestätigte der Sony-Sprecher Patrick Seybold im offiziellen PlayStation-Blog, dass man sich bei Sony bewusst sei, dass bestimmte Funktionen des PlayStation Networks unerreichbar sind. Bei Anmeldeversuchen über die PlayStation 3 erhielten Nutzer die Mitteilung, dass das PlayStation Network gewartet wird. Am darauf folgenden Tag wurden die Nutzer im PlayStation Blog darüber informiert, dass Sony an dem Problem arbeitet, aber ein konkreter Zeitplan oder Termin für die Wiederinbetriebnahme war noch nicht bekannt.

Das Unternehmen gab später bekannt, dass ein unbefugtes Eindringen in die Online-Dienste PlayStation Network und Qriocity die Ursache für die Probleme war. Das Eindringen fand zwischen dem 17. und 19. April statt. Am 20. April hat Sony vorübergehend alle PSN- und Qriocity-Dienste weltweit eingestellt. Sony drückte Bedauern für den Ausfall der Dienste aus und nannte die Reparatur des Systems zeitaufwändig, aber versprach zu einer stärkeren Netzwerkinfrastruktur und zusätzlichen Sicherheit führen zu wollen. Am 25. April bestätigte Sony-Sprecher Patrick Seybold erneut im PlayStation-Blog, dass die Reparatur- und Verbesserungsarbeiten am Netzwerk ein zeitintensiver Prozess sind, erneut ohne Schätzung der Dauer. Am Tag danach kündigte Sony an, eine Lösung für die Wiederinbetriebnahme des PSN und der Qriocity-Dienste zu haben, wobei einige Dienste bereits innerhalb einer Woche wieder im Betrieb erwartet werden können. Darüber hinaus gab Sony öffentlich zu, dass die Entwendung persönlicher Daten das Ergebnis eines unbefugten (und illegalen) Eindringens in Sonys Systeme war.

Am 1. Mai kündigte Sony ein „Willkommen zurück“-Paket für betroffene Kunden an. Zudem bestätigte das Unternehmen, dass das PSN und die Qriocity-Dienste während der ersten Maiwoche wieder verfügbar sein werden.

Am 2. Mai teilte Sony mittels Pressemitteilung mit, dass die Dienste von Sony Online Entertainment (SOE) abgeschaltet wurden, um auf potenziell im Bezug stehende Aktivitäten, die während des ursprünglichen Angriffs stattfanden, zu prüfen. Mehr als 12.000 Kreditkartennummern in verschlüsselter Form von Nicht-US-Inhabern und darüber hinaus Daten von 24,7 Millionen SOE-Konten wurden möglicherweise abgegriffen.

Am 6. Mai gab Sony bekannt in den letzten Phasen des internen Testens für das PlayStation Network zu sein. Am darauf folgenden Tag jedoch hat Sony berichtet, dass man es nicht rechtzeitig schafft, die Dienste innerhalb der zuvor am 1. Mai angekündigten Woche wieder anbieten zu können, weil das Ausmaß des Angriffs auf SOE zu diesem Zeitpunkt noch nicht bekannt war. SOE bestätigte mit dem eigenen Twitter-Konto, dass deren Spiele bis zu einiger Zeit nach dem Wochenende nicht verfügbar sein werden.

Reuters berichtete über dieses Ereignis als einen der größten Einbrüche in die Internetsicherheit überhaupt.

Am 14. Mai waren verschiedene Dienste je nach Land wieder verfügbar, beginnend mit Nordamerika. Diese Dienste beinhalteten: Anmeldung am PSN und den Qriocity-Diensten (inklusive Registrierung und Passwort-Zurücksetzen), Multiplayerfunktionen auf PS3 und PSP, Wiedergabe von erworbenen Videoinhalten, Music Unlimited (PS3 und PC), Zugriff auf Drittanbieterdienste (wie z. B. Netflix), Freundesliste, Chat-Funktionalität und PlayStation Home. Zusätzlich wurde als Maßnahme das Firmware-Update 3.61 für die PS3 veröffentlicht.

Am 23. Mai teilte Sony mit, dass der Ausfall Kosten von 171 Millionen US-Dollar verursachte.

Kritik an Sony

Verspätete Warnung über potenziellen Datendiebstahl

Ursprüngliches PlayStation-3-Modell

Am 28. April, über eine Woche nach dem Zwischenfall, bestätigte der deutschsprachige PlayStation Blog, dass man bei Sony die Möglichkeit „nicht zur Gänze ausschließen“ könne, dass persönliche Daten wie der PlayStation Network Kontoname, Passwort, Heim- und E-Mail-Adressen entwendet wurden. Ebenfalls erwähnt wurde, dass Kreditkarteninformationen betroffen sein könnten.

Persönliche Daten in Klartext gespeichert

Kreditkarteninformationen wurden zwar verschlüsselt, aber Sony gab zu, dass andere persönliche Daten zum Zeitpunkt des Angriffs nicht verschlüsselt waren.

Sonys Verhalten

Wiedergutmachung für die Nutzer

Im Rahmen einer Pressekonferenz in Tokyo am 1. Mai kündigte Sony ein „Willkommen zurück“-Paket an. Zusätzlich zu ausgewählten PlayStation-Inhalten beinhaltete das Paket 30 Tage kostenlose PlayStation-Plus-Mitgliedschaft für alle betroffenen PSN-Nutzer, wobei bestehende Abonnenten 30 zusätzliche Tage erhielten. Sony versprach weitere Inhalte und Dienste über die kommenden Wochen. Ein Jahr kostenloser Schutz vor Identitätsdiebstahl wurde allen Nutzern angeboten, wobei die Details nachfolgend genannt wurden.

Am 16. Mai 2011 kündigte Sony an, dass zwei PlayStation-3- und zwei PSP-Spiele kostenlos aus Listen von fünf bzw. vier (je nach Region) angeboten werden. Diese Spiele waren nur verfügbar in Regionen, welche schon vor dem Ausfall Zugriff auf das PSN hatten.

PS3-Spiele nach regionaler Verfügbarkeit

Spiel	Europa (ohne Deutschland)	Deutschland	Nordamerika	Asien	Japan
Come on, LocoRoco!! BuuBuu Cocoreccho	N	N	N	J	J
Dead Nation	J	N	J	N	N
Echochrome: Overture	N	N	N	N	J
Hustle Kings	N	J	N	J	J
Infamous	J	N	J	N	N
LittleBigPlanet	J	J	J	N	N
Ratchet & Clank: Quest for Booty	J	J	N	N	N
Super Stardust HD	N	J	J	N	N
The Last Guy	N	N	N	J	J
Trashbox	N	N	N	J	N
Wipeout HD/Fury	J	J	J	J	J

PSP-Spiele nach regionaler Verfügbarkeit

Spiele	Europa (ohne Deutschland)	Deutschland	Nordamerika	Asien	Japan
Buzz Junior Jungle Party	N	J	N	N	N
Everybody’s Golf 2	N	J	N	N	N
Everybody’s Stress Buster	N	N	N	J	J
Killzone Liberation	J	N	J	N	N
LittleBigPlanet	J	J	J	J	J
Locoroco Midnight Carnival	N	N	N	J	J
ModNation Racers	J	J	J	J	N
Patapon 2	N	N	N	N	J
Pursuit Force	J	N	J	N	N
What Did I Do to Deserve This, My Lord?	N	N	N	N	J

Änderung der Nutzungsbedingungen

Die Nutzungsbedingungen wurden noch 2011 aktualisiert. Nach einer Reihe von Klagen (insbesondere Sammelklagen) wurden in den USA die Nutzungsbedingungen dahingehend erweitert, dass die Nutzer ihr Recht auf zukünftige Sammelklagen gegen Sony abtreten, wenn es sich um Sicherheitsverstöße handelt. Dies galt auch rückwirkend für laufende Klagen, die vor dem 20. August 2011 in Gang gesetzt wurden.