Eine Frage an die IT-ler

[MissClara]

... ich habe gerade eine Sicherheitswarnung von Ebay-Kleinanzeigen bekommen... Logisch, dass ich mein Passwort ändern werde. Aber dennoch wäre es toll, wenn mir jemand erklären könnte, was folgender Satz bedetuet:

" Dein Passwort befindet sich auf einer öffentlich zugänglichen Liste offengelegter Passwörter. Wir haben daher dein Passwort zurückgesetzt."

Wie darf ich das verstehen - "offengelegter Passwörter"? Stehen meine persönlichen Daten auf irgendeiner Hackerliste?? Oder bedeutet das "nur", dass mein Passwort so ein Idioten-Passwort ist, auf das jeder kommen kann..?

 

[holg]

Zuallererst bitte nicht auf irgendwelche links in der email klicken.
Das könnte eine phishing-mail sein, auch wenn sie echt aussieht.

Lieber selbst eBay Kleinanzeigen im browser eingeben und einfach mal versuchen, dich einzuloggen. Wenn das ohne Probleme geht, war die Mail ein Fake.
Ansonsten wirst du beim einloggen aufgefordert, ein neues Password zu erstellen.

Die Formulierung selbst ist etwas schwammig. Das KANN bedeuten, dass Ebay Kleinanzeigen gehackt und deine Kontoinformationen erbeutet wurden. Es kann aber auch bedeuten, dass dein Passwort einfach zu erraten ist, oder viele andere dasselbe verwenden.

ZU Passwörtern haben sich die Empfehlungen von Sicherheitsexperten in der letzten Zeit erheblich geändert.
Das BSi schreibt aktuell: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/sichere-passwoerter-erstellen_node.html

Passwortmanager helfen. So weiß ich die meisten meiner Passwörter selbst gar nicht. Allerdings sollte man darauf achten, wie der Passwortmanager selbst die Dinger speichert. Letztens wurde einer erfolgreich gehackt, der eine Cloud nutzte. Ein gewisses Risiko bleibt also immer.
Zwei-Faktor-Authentifizierung ist sehr nervtötend, hilft aber ungemein.

[MissClara]

Danke dir für die Übersetzung!!! Ja, ich klick auch nie auf Links in Emails, die Daten wollen. (Wobei selbst Kaspersky neulich per Link mir mitgeteilt hat, ich sollte meine Einzugsermächtigung erneuern, was ich total strange fand, aber sich nach Anruf in der Hotline nicht als Spam herausstellte - wie soll man da noch durchblicken..?)

Hier war es tatsächlich ausgelöst dadurch, dass ich mich seit Langem wieder einloggen wollte und dabei das Passwort zurückgesetzt wurde und diese Email kam. Laut Ebay angeblich kein Hacker-Versuch bei ihnen - aber, wer weiß..

Danke dir. Dann muss ich wohl doch mehr Gehirnschmalz benutzen bei der Passwortvergabe. Da kann man echt ein wenig irre werden, bei den ganzen Accounts, die man mittlerweile so hat.. Passwortmanager muss ich mich mal mit befassen..

[Pickman]

Hi MissClara,

wurdest Du in dieser ominösen E-Mail namentlich angesprochen?

Cheers

Pickman

[Araragi]

Ich schreibe meine Passwörter mittlweile auf kleine Zettel und verstecke diese mal kodiert, mal unkodiert in meinen Büchern. Passwortmanagern traue ich einfach nicht so recht
Ich lasse die PW auch nie vom Browser speichern, sofern Kontodaten oder anderes virtuelles Gut damit verbunden sind.

[Arawn]

frosch-LURCH-%&i_ä~PeL_4
frosch-LURCH-§rEf65_::FloB
frosch-LURCH-(5)..nU*==u!$

Ein Bekannter von mir erstellt Passwörter nach o. g. Schema. Den frosch-Lurch merkt er sich, den Rest notiert er. Ich habe ihn nicht gefragt, ob er sich den Rest handschriftlich notiert.

Ich selbst verzichte auf das Su… Präfix, hab meine Passwörter dafür aber binär in Katzenwäscheleinen geknotet.

[MissClara]

[Araragi]

[Pickman]

[Arawn]

@ Pickman

Ich bin schon von Menschen nicht namentlich angeredet worden, die mich jahrelang kannten.

Aus einer namentlichen Anrede lässt sich nicht ableiten, dass die Mail vertrauenswürdig ist.

Ich habe hier eine Mail in einem besonderen Ordner, in der ich mit meinem vollen Namen angesprochen werde, die aber verdächtig auf mich wirkt. In dieser Mail werde ich darüber informiert, dass der Dienstleister wegen neuer Datenschutzrichtlinien laut Gesetz meine Identität erneut prüfen müsse. Darunter befindet sich eine Schaltfläche, die mit einer URL verknüpft ist, deren Host-Komponente zwar den Namen des Dienstleisters enthält, die aber wegen der Domain auf mich verdächtig wirkt. Die URL enthält auch meine Email-Adresse. Hätte ich die Schaltfläche angeklickt, hätte ich dem Host die Gültigkeit der Email-Adresse bestätigt. Außerdem kann der Absender von einer erhöhten Wahrscheinlichkeit für die Richtigkeit der Zuordnung meiner Mail-Adresse zu meinem Namen ausgehen. Falls die Mail ein Phishing-Versuch war, hätte ich also durch das Anklicken der Schaltfläche die Wahrscheinlichkeit für weitere Versuche erhöht.

[Pickman]

[V.K.B.]

Auch wenn ich's immer wieder mal verlinke:


Quelle: XKCD

Vergesst den Quatsch mit den Sonderzeichen. Damit schießt ihr euch nur ins Bein, wenn ich dann zum Beispiel mal euer Passwort auf einer amerikanischen Tastatur eingeben wollt, die nicht komplett beschriftet ist. Von sich-merken-können mal ganz zu schweigen.

Ganz simple Rechnung: Es gibt [Alphabet] hoch [Zeichenzahl] Möglichkeiten, ein Passwort zu erraten oder durchzuprobieren. Ein Sonderzeichen zu nehmen erhöht lediglich das Alphabet um 1, also die Basis. Ein Zeichen mehr zu nehmen erhöht hingegen den Exponenten.

Fazit: "leiderfälltmirgeradekeinsicheresPasswortein" ist ein wesentlich sichereres Passwort als "Æ$-–ë%".

[Pickman]

[BrianG]

[Maunzilla]

Online-Dienste und Server haben normalerweise eine Sicherheitseinrichtung, die es nicht zuläßt, tausende Passwörter pro Sekunde einzugeben. Nach ein paar falschen Versuchen wird der Zugang für eine Weile gesperrt. Insofern macht es nichts, wenn das Passwort nicht allzu komliziert ist. Die PIN beim Geldautomaten hat auch nur 4-6 Ziffern.

Passwortmanager sind unpraktisch, wenn man mehrere Geräte mit unterschiedlichen Betriebssystemen verwendet, die alle synchronisiert werden müssen. Online-Diensten, die meine Passwörter speichern (angeblich verschlüsselt, aber wer kann das nachprüfen?) traue ich nicht.
Daher verwende ich in den meisten Fällen das gleiche (bzw. minimal abgewandelte) Passwort und nur für besondere Dienste, wo es um Geld geht, kompliziertere. Und ich habe natürlich eine Liste (handgeschrieben), wo ich alle vermerke. Denn viele Dienste nutzt man nur sehr selten, oder automatisiert, so daß man sich nicht alles merken kann.

[Arawn]

[V.K.B.]

[V.K.B.]

[V.K.B.]

Korrektur:

[Maunzilla]

Theoretisch haben die Zeichenfolgen
00000000000000000000000000000001
und
10000000000000000000000000000000
den selben Schwierigkeitsgrad. Dennoch braucht man bei ersterer nur zwei Versuche, und bei letzterer... ähm.. ziemlich viele. ^^"

[Arawn]

Aber nur, wenn sich Angreifer der Größe nach durch die Zahlen arbeitet.

[V.K.B.]