Riesen- Leak: Email-Adressen und Passwörter

[Magdalena61]

Ja super.

Ein US-amerikanischer IT-Experte hat im Netz einen riesigen Datensatz mit Millionen von E-Mail-Adressen und Passwörtern entdeckt. Über eine Onlineplattform können Nutzer nun herausfinden, ob sie von dem Riesen-Leak betroffen sind.
...
Wer überprüfen will, ob seine E-Mail-Adresse in der Sammlung auftaucht, kann Hunts Dienst haveibeenpwned.com nutzen. In der Datenbank wird die Adresse mit Abermillionen Informationen aus Datenlecks abgeglichen. Er habe auch die jüngsten Daten dort eingepflegt, erklärte der Microsoft-Mitarbeiter Hunt.

Verbraucher geben dort ihre E-Mail-Adresse ein, die sie für Logins verwenden. Sofern die E-Mail-Adresse in dem Datensatz auftaucht, erfährt der Nutzer, in welchem Leak die Adresse auftauchte, aus sicherheitsgründen aber nicht, welches Passwort verwendet wurde.
Quelle

Kann einer der hier anwesenden Experten mir bitte sagen, ob haveibeenpwned.com "sauber" ist?

Noch eine Frage: Diese "Zwei-Faktor-Authentifizierung"- wie macht man das?

3. Frage: Ist es nicht eher riskant, einen Passwort- Manager zu verwenden? (Was ist ein Passwort- Manager, wo kann man diesen downloaden und wie funktioniert er?

Mir scheint, ich sollte mal wieder meine Passwörter austauschen und Neue konstruieren. Das ist aber nicht in fünf Minuten erledigt, weil ich verschiedene Passwörter verwende und mir diese, damit ich sie nicht verwechsele, sicherheitshalber notiere.
LG

[Lord Gelmbrand]

Mich hat´s (noch) nicht erwischt

Noch eine Frage: Diese "Zwei-Faktor-Authentifizierung"- wie macht man das?

Also bei mir ist das so, dass ich wenn ich mich in meinen Google Account anmelden will, eine SMS mit einem Bestätigungscode zugesendet bekomme nach der passwort Eingabe. Und das jedes mal wenn ich mich in meinen Account anmelde.

[Cratz3r]

Kann einer der hier anwesenden Experten mir bitte sagen, ob haveibeenpwned.com "sauber" ist?

Ich denke schon. Habe die Seite auch schon benutzt und es wird von verschiedenen Stellen darauf verwiesen. Man kann hier prüfen, ob irgendeine Seite, bei der man einen Account hat, der mit einer bestimmten E-Mail-Adresse verknüpft ist, gehackt wurde.

Noch eine Frage: Diese "Zwei-Faktor-Authentifizierung"- wie macht man das?

Das hat Lord Gelmbrand schon richtig beschrieben. Das Verfahren erfordert, dass du dich immer über zwei Kanäle authentifizierst. Der 1. Kanal ist für gewöhnlich die klassische Anmeldung mit Benutzername/E-Mail + Passwort. Der zweite, zusätzliche Kanal kann dann, wie beschrieben, das Handy sein.
Es gibt zum Beispiel Google-Services, zu denen man eine App auf seinem Handy installieren kann und wenn man sich dann irgendwo mit seinem Google-Account anmeldet, bekommt man auf dem Handy eine Push-Nachricht, in der man das bestätigen muss.
Oder man bekommt eine SMS mit einem Code, den man eingeben muss.
Oder es wird eine E-Mail geschickt, in der ein solcher Code ist.

Der Effekt dahinter ist, dass es nicht reicht, das Passwort zu klauen, da es immer noch einen zweiten Authentifizierungsfaktor gibt. Da müsste ein Eindringling dann zusätzlich auch noch das Handy klauen oder den E-Mail-Account knacken. Dadurch wird eine Anmeldung zwar umständlicher, aber auch sicherer. Das Verfahren ist in der breiten Masse relativ neu, wird aber inzwischen bei immer mehr Diensten integriert. Facebook bietet es zB meines Wissens auch bereits an.

3. Frage: Ist es nicht eher riskant, einen Passwort- Manager zu verwenden? (Was ist ein Passwort- Manager, wo kann man diesen downloaden und wie funktioniert er?

Das ist ein Programm, was in erster Linie deine ganzen Passwörter für verschiedene Websites und Dienste verschlüsselt speichert. Das macht es einem einfacher, wenn man für jeden Account ein anderes Passwort verwendet (wie es am besten sein sollte) und sich die nicht alle merken kann. Es wird vor allem in Unternehmen verboten, dass man sich seine Passwörter irgendwo aufschreibt, denn wenn ein Fremder an den Computer geht, bringt das sicherste Passwort nichts, wenn es auf einem Zettel direkt unter dem Bildschirm nachzulesen ist. Da ist ein Passwort-Manager schon vorteilhafter. Der hat in der Regel selbst ein Passwort (das ist dann das einzige, das man sich wirklich merken muss), damit er vor unbefugten Zugriffen geschützt ist. Je nach Programm sind dann auch noch andere Funktionen enthalten, wie bspw. die schnelle Generierung von besonders sicheren Passwörtern, das automatische Ausfüllen von Online-Formularen etc.

Einen Passwort-Manager zu verwenden ist aus meiner Sicht nicht riskant. Im Gegenteil, er macht es einem einfacher, sichere Passwörter zu verwenden und zu managen. Die Programme sind in der Regel selbst so gesichert, dass es keinem Unbefugten möglich ist, die Passwörter auszulesen. Wesentlich sicherer auf jeden Fall, als wenn man sich seine Passwörter unverschlüsselt in einer Textdatei ablegt. Es gibt allerdings Passwort-Manager, die das ganze in der Cloud speichern, was ich nach persönlichem Geschmack eher vermeiden will. Denn auch wenn es da Sicherheitsmaßnahmen gibt - was im Internet ist, kann gehackt werden. Dann doch lieber eine Offline-Lösung, bei der die Daten lokal hinterlegt werden.

Es gibt inzwischen recht viele Passwort-Manager, manche kann man kaufen, andere sind kostenlos. Ich habe bisher noch keinen verwendet, das hier scheint aber ein guter, umfangreicher Test zu verschiedenen Programmen zu sein.

LG

[thomas4]

Kostenlos und meiner Ansicht nach gut zu handhaben ist KeePass, welches Passwörter nach eigenen Vorgaben erstellt, aber auch komplett eigene aufnimmt. Ich arbeite sei Jahren damit, das Ding Gips auch für Android.

[Lord Gelmbrand]

Kostenlos und meiner Ansicht nach gut zu handhaben ist KeePass

Danke für den Hinweis. Ich hab mir KeyPassDroid gleich mal runtergeladen.

[Magdalena61]

Kann einer der hier anwesenden Experten mir bitte sagen, ob haveibeenpwned.com "sauber" ist?

Ich denke schon.

Danke.

Es gibt zum Beispiel Google-Services, zu denen man eine App auf seinem Handy installieren kann und wenn man sich dann irgendwo mit seinem Google-Account anmeldet, bekommt man auf dem Handy eine Push-Nachricht, in der man das bestätigen muss.
Oder man bekommt eine SMS mit einem Code, den man eingeben muss.
Oder es wird eine E-Mail geschickt, in der ein solcher Code ist.

Wie umständlich.
Mir stinkt es immer, wenn ich bei Seiten ausgeloggt bin, die für eine erneute Anmeldung die Bestätigung durch einen Code verlangen, der per SMS zugeschickt wird. Ausgerechnet dann ist nämlich der Akku des Smartphones leer... oder der Empfang zu schlecht, sodass ich extra raus muss auf die Terrasse, damit ich den Code erhalte.

Das Verfahren ist in der breiten Masse relativ neu, wird aber inzwischen bei immer mehr Diensten integriert. Facebook bietet es zB meines Wissens auch bereits an.

Und das soll dann sicher sein? - Wer Daten auf ihrer Reise um die Welt abfängt, der kann auch im Internet kursierende Bestätigungscodes klauen.

Es wird vor allem in Unternehmen verboten, dass man sich seine Passwörter irgendwo aufschreibt, denn wenn ein Fremder an den Computer geht, bringt das sicherste Passwort nichts, wenn es auf einem Zettel direkt unter dem Bildschirm nachzulesen ist.

Wer macht DAS denn?
Login- Daten auf Papier zu notieren ist durchaus sinnvoll, nämlich auch für die Hinterbliebenen im Falle des unerwarteten Ablebens. Aber dann gehören sie- mit Kennzeichnung des Zweckes der Datensammlung - weggeschlossen.

Natürlich sollte man dann, wenn man Login-Daten ändert, nicht vergessen, das Papierchen zu aktualisieren.

Es gibt inzwischen recht viele Passwort-Manager, manche kann man kaufen, andere sind kostenlos. Ich habe bisher noch keinen verwendet, das hier scheint aber ein guter, umfangreicher Test zu verschiedenen Programmen zu sein.

Für so etwas brauche ich einen qualifizierten Vorkoster.
Bis ich DAS alles durchgelesen habe.... du liebe Zeit, ich muss noch einkaufen.
LG

[Cratz3r]

Und das soll dann sicher sein? - Wer Daten auf ihrer Reise um die Welt abfängt, der kann auch im Internet kursierende Bestätigungscodes klauen.

Jein. Einerseits werden diese Nachrichten verschlüsselt übermittelt, können also nicht ausgelesen werden, selbst wenn man sie abfängt. Und auch, wenn einem das gelingen sollte, ist es praktisch unmöglich, genau den richtigen Code abzugreifen.

Stell dir vor, es findet ein Geldtransport statt. In einem LKW wird ein Haufen Geld in einem Safe transportiert. Dieser Safe ist unknackbar - um ihn aufzubekommen, benötigt man einen speziellen Schlüssel. Dieser Schlüssel wird aber separat in einem anderen LKW transportiert. Außer dem Auftraggeber weiß niemand, in welchem LKW der Schlüssel zu welchem Safe ist - selbst die Fahrer nicht. Und nun fahren diese LKWs auf einem gigantischen Autobahnnetz mit Milliarden anderer LKWs verschiedenster Unternehmen umher.
Wenn es nun einer auf diesen einen Geldtransport abgesehen hat, gelingt es ihm vielleicht, den LKW, in welchem der Safe ist, irgendwie abzufangen und zu überfallen. Aber es ist für ihn praktisch unmöglich, dass er dann auch noch genau den einen anderen LKW, in dem der Schlüssel transportiert wird, abfängt - er hat keine Chance, herauszufinden, welcher das ist und wo der herumfährt. Die einzige Möglichkeit, das wirklich verlässlich hinzubekommen, wäre, alle LKWs im gesamten Autobahnnetz abzufangen und bei jedem zu schauen, ob ein Schlüssel darin ist und diesen dann auszuprobieren - und das ist ein Ding der Unmöglichkeit.

Ich hoffe, mit dieser Metapher, die das Verfahren sehr grob beschreibt, wird das ganze ein bisschen einleuchtender. Es ist tatsächlich ein sehr sicheres Verfahren, aber eben auch sehr umständlich. Dafür kann es jeder Laie anwenden.

Es wird vor allem in Unternehmen verboten, dass man sich seine Passwörter irgendwo aufschreibt, denn wenn ein Fremder an den Computer geht, bringt das sicherste Passwort nichts, wenn es auf einem Zettel direkt unter dem Bildschirm nachzulesen ist.

Wer macht DAS denn?

Scheint gar nicht mal so selten zu sein. Manche Firmenadmins zwingen ihre Benutzer dazu, ihre Passwörter bspw. monatlich zu ändern - und da scheint es durchaus Leute zu geben, die sich das dann einfach aufschreiben. Sonst würde es solche Regelungen wohl auch nicht geben.

Login- Daten auf Papier zu notieren ist durchaus sinnvoll, nämlich auch für die Hinterbliebenen im Falle des unerwarteten Ablebens. Aber dann gehören sie- mit Kennzeichnung des Zweckes der Datensammlung - weggeschlossen.

Stimmt schon. Ich denke, dass sich in den nächsten Jahren oder Jahrzehnten irgendwann der Beruf des digitalen Nachlassverwalters (paralell zum herkömmlichen) entwickeln wird, der nach dem eigenen Ableben solche Dinge abwickelt. Wir führen einen immer größeren Teil unseres Lebens inzwischen auch im Internet - nicht nur, aber auch in sozialen Netzwerken wie Facebook, Twitter etc., aber auch bei so alltäglichen Dingen wie Onlinebanking, online Vertragsabschlüssen und vielem mehr. Und die Tendenz ist weiterhin steigend, da immer mehr miteinander vernetzt wird. Da wird es immer wichtiger, dass jemand hinter einem "aufräumt" und dazu dann den zentralen Zugang zu allen Plattformen, Diensten und Anwendungen hat.

Für so etwas brauche ich einen qualifizierten Vorkoster.

Ich will schon seit einer Weile mal anfangen, mit einem Passwortmanager zu arbeiten. Wenn ich irgendwann mal dazu komme, finde ich vielleicht einen guten, den ich empfehlen kann.

LG

[Magdalena61]

Danke für die Erläuterungen der böhmischen Dörfer.

Ich will schon seit einer Weile mal anfangen, mit einem Passwortmanager zu arbeiten. Wenn ich irgendwann mal dazu komme, finde ich vielleicht einen guten, den ich empfehlen kann.

Das wäre sehr gut.
Du sortierst und testest und erklärst mir dann, was ich machen muss.
LG