Appell zur Passwortänderung!!!

Ihr Lieben.
Sind wieder gute Tipps hier am Start. Leider heißt es nicht umsonst:"Der Betrüger ist klüger!"
Ich bin ja im Bezug auf Computer absoluter Laie, was nützt es, wenn ich die Paßwörter verschlüssele oder wechsele und die Gannoven diese bei Shops, Emailanbietern oder anderen Firmen knacken? Logisch, der Firefox fragt mich, ob er das Paßwort speichern soll. Das mache ich aber nie. Was nicht auf dem Rechner gespeichert ist, kann auch keiner klauen odr knacken. Die stehen hier in alphabetischer Reihenfolge aufgeschrieben auf einem Blatt Papier.

Ich weiß nicht, ob Ihr die Sendung gesehen habt: Datenspur im WEB....
Wenn ich mich richtig erinnere 32 000 neue Viren - täglich!

Avast free Antivirus habe ich auch. Habt Ihr denn da Eure korrekte Email eingegeben oder es auch schonmal mit einer erfundenen probiert?

L.G. Udo

Zitat von BMP I

Das mache ich aber nie. Was nicht auf dem Rechner gespeichert ist, kann auch keiner klauen odr knacken. Die stehen hier in alphabetischer Reihenfolge aufgeschrieben auf einem Blatt Papier.

So unwahrscheinlich wie es klingen mag: Was ist bei bei einem Wohnungseinbruch, wenn der Einbrecher ein wenig intelligenter ist, als irgendein Penner, der nur Kohle für den nächsten Schuss braucht?
Gute Nacht Sicherheit!

Ich verwende schon seit Jahren verschlüsselte Passwort-Safes.
Früher war es Clean Sweep. - Im Moment Identity Safe.
Ach, das kostet ja Geld! Tja, dass ist mir meine Online-Identität aber wert!

Man braucht sich nur noch ein einziges Passwort zu merken und kann dieses dementsprechend sicher gestalten.
Meines hat über 60 Stellen und alles ist nach AES256 verschlüsselt.
Ebenso, wie jeden meiner Accounts!

So handhabe ich es auch.
Einzig in Foren, wie diesem hier, lasse ich Fünfe gerade sein und begnüge mich mit einer Zahlen-Kombi.

Wenn ich das Masterpasswort einmal pro Sitzung eingegeben habe, benötige ich für jeden meiner Logins eine viertel Sekunde. - Nämlich nur einen Tastenanschlag auf "Enter"!
Identity Safe erkennt automatisch die Website, deren Zertifikat und deren Verschlüsselung.
Oder aber ich rufe die Seite direkt aus dem Tresor auf. - Auch diese Möglichkeit gibt es.

Und wenn ich einen neuen Account anlegen möchte, dauert es auch nur geschätzte 5-20 Sekunden!
Man wählt nur noch aus sogenannten (vorher einmalig angelegten) "Identitäts-Karten" aus und erstellt ein sicheres neues Passwort.

Meine habe ich so angelegt, dass sie sich in "privat" (Foren und andere soziale Netzwerke), "Adressen" (Accounts, die nur den realen Namen und die Anschrift erfordern) und "Geschäftlich" (Wenn es um Bankverbindungen, PayPal, Autionen und Shops geht) aufteilen.

Während man ohne Passwort-Tresor anfängt,
Max Mustermann
Lärchenweg 5
einzutippen, mache ich nur "Click" und hämmere ein wahlloses neues Passwort ein, welches mit Sonderzeichen, groß/klein und Zahlen nur so gespickt ist.

Fertig!

Merken muss ich mir ja nur mein Master-Passwort! - Den Rest übernimmt das Prog!

Zitat von ManEater

jo, und irgendwann kackt der Rechner ab und reisst die Festplatte ins Nirvana mit

Bei mir gerade einmal 8 Wochen her!
Zwei heimische PC-Shops haben insgesamt ca. 10h daran herum gefummelt.
Einhellige Meinung: Exitus! Da kann man nichts mehr auslesen. Daten futsch!
Zitat: "Da lässt sich nicht mal mehr ein Sektor auslesen!"

Nur komisch: Nachdem ich schon längst eine neue SSD und eine neue HDD verbaut hatte, und den Rechner wieder eingerichtet hatte, gab ich die defekte Platte einem Kollegen (Dr. PC genannt) von mir, mit nach hause.
Nach einer Stunde rief der mich an und sagte "Alles Tutti! Was brauchst du alles? Verzeichnis YX? Laufwerk C, D, G???? Fotos? Videos? Porno-Sammlung?"
"Ach ja, dein Admin-Passwort ist nicht besonders sicher!"

Und der macht das nur Hobby-mäßig!

Da frage ich mich doch, warum das die "Profis" nicht geschafft haben!
Immerhin hatte der eine Laden mir einen schriftlichen Kostenvoranschlag gegeben.

HDD-Diagnose: 30€
Bei Erfolgreicher Datenrettung: 95€ + Etwaiges Speichermedium.

Spezialisierte Datenretter im Netz, nehmen gerne 500€ bis unendlich.

Zitat von ManEater

... das passiert immer dann, wenn mans gerade nicht braucht und überhaupt keine Zeit für sowas hat ...

Wann braucht man so etwas?

Zitat von ManEater

der Ersatzrechner der dann greifbar ist weigert sich das Backup Laufwerk zu lesen ...

War bei mir nicht der Fall!
Ich habe mir sogar mehrere bootfähige Speichermedien angelegt, für den Fall der Fälle.

Allerdings hatte sich bei mir seit längerer Zeit, Trägheit, Leichtsinn und trügerische Sicherheit eingeschlichen.

Bis vor drei Jahren machte ich noch wöchentliche Images.

Aus wöchentlich wurde monatlich, und aus monatlich halbjährlich, usw.

Als es vor Ostern geknallt hat, war mein letztes zu gebrauchendes Image von der aufgerauchten Platte, 1½ Jahre alt.
In 1½ Jahren passiert viel auf einem Rechner! Besonders wenn es der gemeinsam genutzte Familien-PC ist!!!

Nie wieder! Ich habe jetzt ein aktuelles Image-Tool am Start und einen Vier-Platten-NAS.
Und sowas wie Fotos und Musik wird zusätzlich noch auf mobile Datenträger und Cloud-Dienste verteilt.

Aber allein einen zerschossen Rechner wieder so einzurichten, wie man ihn sich über Monate konfiguriert hat, macht nicht unbedingt Spaß und raubt einem den Schlaf, für einige Tage...

Zitat von ManEater

und du musst dringend fristgerecht schnell noch am Sonntagabend eine Überweisung rauslassen ...

Okay, das ist mir wirklich noch nie passiert...

Zitat von Headhunter66

Da frage ich mich doch, warum das die "Profis" nicht geschafft haben!

Das kann ganz unterschiedliche Ursachen haben. Es muß keinesfalls mit Unfähigkeit zu tun haben, sondern kann daran liegen wie der Kontakt zum auslesenden Rechner hergestellt wird. Ich habe hier zb unter anderem so eine Digitus Docking Station mit USB2.0 und E-SATA Ausgang, die ich in der Regel auch via E-SATA anspreche. Erst kürzlich hatte ich wieder eine defekte Platte eines Kunden und die sagte in der Docking Station keinen Piep mehr. Rein zufällig - und weil ich sie mit einer anderen baugleichen Platte verwechselte - steckte ich die in einer ganz anderen Situation an einen Digitus USB 2.0 mobilen Adapter... und da kam was. Es gab zwar Fehler wegen der defekten Sektoren und eine Partition von dreien wurde nicht erkannt, aber auf den Rest kann man mit viel Geklacker zugreifen, meistens... in der Docking Station erscheint die Platte nach wie vor komplett tot. Es hängt also je nach Situation durchaus davon ab welches Gerät den Kontakt herstellt und was dieses Gerät noch tolleriert.

Ich arbeite am PC schon lange mit LastPass - ist aber auch suboptimal: gestern habe ich "aus diesem gegebenen Anlass" (FloppyK's Warnung) mein Passwort hier fürs Forum geändert in ein willkürliches (erzeugtes) Chaos aus Buchstaben, Zahlen, Sonderzeichen. Klappt prima. Und heute früh am iPad dann Rätselraten. Was nützt also ein Passwortgenerator am PC, wenn man für die Zugänge am Tablet und Handy das neue Passwort auch braucht? Verschicken per Mail an sich selbst ist nicht so sinnvoll, aufschreiben und Zettelchen mit sich rumtragen auch nicht. Jetzt geht die Grübelei wieder los...

Vor einem halben Jahr oder so bin ich vom Steganos Password Manager auf Keepass umgestiegen -- das gibt es zumindest mal für praktisch alle Betriebssysteme, auch iPad und Android.

Trotzdem stellt sich dann natürlich die Frage, wie man den Bestand praktikabel synchron hält, am liebsten natürlich ohne das Passwortfile zum Austausch in die Cloud zu legen... Da habe ich auch noch keine wirklich gute Lösung.

Seltsam, wenn ebay einen niedrigen Sicherheitsstandard als unsere Boardsoftware hat. Hier lagern m.W. keine Klartextpaßwörter, sondern nur einwegverschlüsselte Prüfsummen. Die sind noch nicht mal identisch bei 10 Usern mit dem gleichen Paßwort, wenn der Algorithmus sowas wie Usernummer oder Anmeldedatum mitverwurstet.

Zudem lagern hier ja meist im Vergleich zum Online-Händler weniger sensible und mehr erfundene oder veraltete Daten.

Zitat von Headhunter66

Identity Safe.

Ach, das kostet ja Geld! Tja, dass ist mir meine Online-Identität aber wert!

Man braucht sich nur noch ein einziges Passwort zu merken und kann dieses dementsprechend sicher gestalten.

Meines hat über 60 Stellen

Wer hat schon die Disziplin sich ein 60-stelliges PW zu merken und zu jeder Online-Sitzung einzutippen ? Sonst eine gute Idee.
Zum Preis hab ich noch nix gefunden außer kostenlos. Ne lokale Kopie wäre mit aber doch lieber als die Abhängigkeit, das die Norton-Cloud immer funktioniert.

Zitat von Old_Surehand

Trotzdem stellt sich dann natürlich die Frage, wie man den Bestand praktikabel synchron hält,

Die Datei nach jeder Änderung lokal sychronisieren geht schon. Aber wehe Du machst das 1x in die falsche Richtung

Sicherheit ist nur relativ. Siehe die mobile-Tan Hacks oder das Ende von Truecrypt (was auch immer dahinter steckt )

Andreas

Zitat von Old_Surehand

Trotzdem stellt sich dann natürlich die Frage, wie man den Bestand praktikabel synchron hält, am liebsten natürlich ohne das Passwortfile zum Austausch in die Cloud zu legen

Ich verstehe unter Cloud Dienste wie von Amazon, Microsoft und Google.

Ich habe das bei mir so gelöst: Ich habe einen separaten FTP-Zugang zu meinem Webspace (der ganze Server gehört nicht mir) eingerichtet und dort die kdbx platziert. Das Verzeichnis ist zusätzlich durch .htaccess geschützt.

Keepass kann man das Ganze dann mit Öffnen... URL öffnen beibringen. Schreiben als auch Lesen ist sowohl bei Windows als auch per Android problemlos möglich.

Bei der App nutze ich diesen "Schnelllogin" nicht.

Zur Sicherheit habe ich bei meiner index.php ein Sicherungsscript geschrieben, was die jeweiligen kdbx (Verwandten habe ich dort auch eine kdbx eingerichtet) wöchentlich in einem Archivordner speichert, falls eine App oder ein Programm die kdbx mal "kaputt schreiben" sollte.

Der Server ist mehrfach gespiegelt und hat seinen Standort in Deutschland, von daher sehe ich da die Verlustmöglichkeiten als gering an.

Wenn man die kdbx in zwei Anwendungen geöffnet hat und in einer speichert, bekommt das zumindest keepass unter Windows mit und weißt darauf hin, sodass man nicht die woanders gemachten Änderungen aus Versehen wegwirft.

Ich nutze das jetzt so seit ca. 2011 und frage mich heute, wie ich nur jemals ohne leben konnte

Und: Wenn ich kein Internet habe, brauche ich i.d.R. auch kein Passwort. WLAN Passwörter hole ich mir notfalls per Mobiltelefon aus meiner kdbx. Wenn der Server mal "down" sein sollte (was ja zu 99% nicht der Fall ist, öffnet die Android App eine automatisch erstellte und bei jedem Login aktualisierte lokale Kopie).
Im äußersten Notfall kann man da dann auch unterwegs seine EC-Karten PN mal nachschauen, wenn man diese Karte schon länger nicht mehr benutzt hat.

gilmore: Das mit TC war gestern ja der Hammer. Heute hat sich ja angeblich ein Entwickler zu Wort gemeldet und gesagt, man habe "keine Lust mehr gehabt"... Ziemlich abruptes Ende, was m.E. eher für einen NSL spricht, wie bei Lavabit.
Hatte Snowden nicht noch gesagt, dass die TC nicht geknackt bekommen? Ich behalte meine alten Versionen von TC jedenfalls. Die Empfehlung auf Bitlocker umzusteigen, kann ja wohl nur ein schlechter Scherz sein (auch wenn es natürlich sehr komfortabel und praktisch wäre, allerdings auch für NSA und Konsorten)

Zitat von gilmore

Wer hat schon die Disziplin sich ein 60-stelliges PW zu merken und zu jeder Online-Sitzung einzutippen ?

Ich!
Wie lange hast du gebraucht, diesen Satz zu schreiben? Der hat fast 90 Zeichen! ;^)
Wenn du die Leerzeichen weglässt, gar nicht mal so ein schlechtes Passwort! Es hat Groß/Kleinschreibung, enthält Zahlen und sogar ein Sonderzeichen...

Mir eine Eselsbrücke zu bauen um mir mein Passwort zu merken, hat keine 2 Minuten gedauert. Ohne das sich Telefonnummern, Geburtsdaten, oder andere zu erratende Elemente darin finden.

Du könntest mich nachts um 3 aus der Tiefschlafphase reissen und ich könnte trotzdem spontan mein Master-PW eingeben.

Worauf man nur sehr achten muss, ist dass sich kein Keylogger auf dem Rechner einnistet! Oder einem schwere Sachen auf den Kopf fallen...

Zitat von gilmore

Zum Preis hab ich noch nix gefunden außer kostenlos. Ne lokale Kopie wäre mit aber doch lieber als die Abhängigkeit, das die Norton-Cloud immer funktioniert.

Für den PW-Tresor nutze ich auch keine Cloud.
Liegt bei mir verschlüsselt lokal gespeichert und eine Kopie auf einem zusätzlich PW-geschützten USB-Stick.

Standardmäßig speichert Identity Safe immer lokal auf deinem Rechner.

Zitat von gilmore

Die Datei nach jeder Änderung lokal sychronisieren geht schon. Aber wehe Du machst das 1x in die falsche Richtung

Sicherheit ist nur relativ. Siehe die mobile-Tan Hacks oder das Ende von Truecrypt (was auch immer dahinter steckt )

Andreas

Auf meinen Mobilgeräten hat so etwas lebenswichtiges nichts zu suchen!
Relativ unwichtige PW's (Foren-Accounts etc.) lasse ich von den Android-Browsern oder Apps, wie Tapatalk speichern.
Alles was teuer werden könnte, bleibt daheim!

Allerdings synchronisiere ich die heimischen PW-Speicher regelmäßig.
Das geht problemlos im eigenen Netzwerk oder zwischen verschieden Nutzer-Konten.
Wobei beim Import nicht stumpf überschrieben wird, sondern ergänzt.
Es gehen dabei keine PW's oder logins verloren, sondern werden schlimmstenfalls dubliziert.
Diese doppelten Sachen lösche ich dann händisch...

Zitat von gilmore

Seltsam, wenn ebay einen niedrigen Sicherheitsstandard als unsere Boardsoftware hat. Hier lagern m.W. keine Klartextpaßwörter, sondern nur einwegverschlüsselte Prüfsummen. Die sind noch nicht mal identisch bei 10 Usern mit dem gleichen Paßwort, wenn der Algorithmus sowas wie Usernummer oder Anmeldedatum mitverwurstet.

Das ist bei ebay auch so, es wurden "nur" die verschlüsselten Passwörter entwendet. Hacker haben heutzutage aber ganz gute Werkzeuge, um solche Bestände effizient nach einfach konstruierten oder kurzen Passwörtern zu durchforsten, wenn sie lokal auf der Festplatte liegen. Und zwar "dank" der Rechenleistung moderner Grafikkarten und umfangreichen Beständen früher gestohlener Passwörter.

Meine PWs bestehen aus so Wörtern wie"§GlHU/&%789$´?0)8/6%///UMjsldhsKKK)))999665%$%§"-HM:::-erscheinen mir doch relativ sicher -und gespeichert werden sie aufm Zettel....da ich alleine wohne,kein Problem...

Zitat von Old_Surehand

Hacker haben heutzutage aber ganz gute Werkzeuge, um solche Bestände effizient nach einfach konstruierten oder kurzen Passwörtern zu durchforsten, wenn sie lokal auf der Festplatte liegen. Und zwar "dank" der Rechenleistung moderner Grafikkarten und umfangreichen Beständen früher gestohlener Passwörter.

Ach Quatsch, da reicht doch Google

Einfache MD5 verschlüsselte Passwörter lassen sich damit ganz einfach "knacken".

Hier ein paar Beispiele von Wörtern als MD5-Hashwerte, die so in einer MySQL auf einem Webserver gespeichert würden. Das ist das, was ein "Hacker" bekommt, wenn er in die Datenbank einbricht.

9d8824ad9546780d354e61d706e50c2d

2d7ebe944b3b0e6cc1240fff3843dc3e

805895568f3a633ab3f7953f16e1e0e9

Das letzte "Passwort" ist das gleiche wie das darüber, lediglich um ein Ausrufezeichen erweitert. Einfach mal ausprobieren und bei Google als Suchbegriff einsetzen.

Hier der Hashwert eines "sicheren" Passworts, das nicht aus einem Wörterbuch stammt:
a8e25b080a85258158976e98d6765f69

Das stimmt, aber unsere Forensoftware nutzt schon seit vielen Jahren (seit 2004, wenn ich mich nicht irre) kein MD5 mehr dafür, sondern gesalzene SHA1-Hashes, und ebay wird sicher auch kein MD5 mehr dafür nutzen.

Richtig. Nur nutzt das leider alles nichts, wenn man stets nur ein Passwort universell überall verwendet und der Billig-Shop bei dem man sich ja unbedingt registrieren muss um was zu bestellen, schlampig mit den Daten umgeht.

Wenn ich mal überlege, wie viel Spam meine Mutter bei ihrem alten Mailaccount bekam... Die Adresse stand zwar nirgends öffentlich, jedoch hatte sie zahlreiche Newsletter genutzt. Es gibt Anbieter, die speichern die Maillisten einfach als Textdatei auf dem Server, ohne .htaccess etc. Die kann man dann mit etwas Kreativität abgreifen. Und wer weiß, wer die Daten verkauft hat.

Ich nehme für jeden Account eine eigene Weiterleitung bei meiner Domain. So hatte ich mal dakine@ angelegt, da ich dort eine Brieftasche bestellt hatte (wobei die falsche geliefert wurde und das Ganze eine unschöne Geschichte war, was den Support anging).
Vor einem halben Jahr bekam ich dann Spam - an die Dakine Adresse! Angeblich sei was mit meinem PayPal-Konto nicht in Ordnung... haha ich hab ja gar keins. Ich leitete die Mails an Dakine weiter mit der Frage, warum sie meine Adresse weitergegeben haben. Eine Antwort bekam ich erst bei meinem dritten Schreiben, bei der man versicherte, man gebe keine Adressen weiter.... klar

Nun habe ich die Weiterleitung einfach gelöscht und bekomme seitdem keine solche Nachrichten mehr an irgendeine meiner zig Weiterleitungsadressen. Ob da ein Mitarbeiter die Daten verkauft hat oder es ein Sicherheitsleck gibt? Wer weiß. Da ich dort ohnehin nie wieder etwas bestellen wollte, war das Löschen eigentlich ohnehin schon längst überfällig.

Da lobe ich mir eine eigene Domain -> man kann auch unterwegs neue Adressen erfinden und die hinterher einrichten. Man muss nur eine *@-Adresse einrichten und erhält jede Nachricht an Adressen, die sonst noch nicht eingerichtet sind. Klar landet hier des Öfteren mal Spam, vor allem an webmaster@ oder administrator@, hält sich aber in Grenzen. Diese Adresse rufe ich auch nicht mobil ab, sondern nur am PC als Nurtext und ohne Bilder.

Auch die serverseitigen Filterlisten sind hier sehr vorteilhaft. Wenn mal Spam an eine ausprobierte Adresse kommt, sperre ich diesen envelope-to einfach.

Alles in allem nutze ich familienintern mittlerweile Google Hangouts. Mails sind einfach zu unhandlich mit Empfänger, Betreff, Signatur etc. wenn man nur eine Zeile austauschen will.

Wenns nun was mit Anhang sein soll, kommt doch die Mail zum Einsatz - mittlerweile gehört der Server auch zum DE-Mail Verbund (ob das was bringt sei dahin gestellt). Die Unterhaltungen und Links die ich via Hangouts verschicke sind absolut belanglos - soll Google damit machen was es will. Von mir aus sollen sie es an Werbetafeln kleben. Auf allen Plattformen läuft ohnehin Ghostery und eingeloggt bin ich nur via Chrome den ich wiederum ausschließlich für Hangouts nutze. Google hat auch weder meinen echten Namen, noch meine Telefonnummer, es sei denn sie haben sich die Nummer selbst irgendwie besorgt.

Zitat von Ulrich Eichstädt

wenn man für die Zugänge am Tablet und Handy das neue Passwort auch braucht? Verschicken per Mail an sich selbst ist nicht so sinnvoll, aufschreiben und Zettelchen mit sich rumtragen auch nicht. Jetzt geht die Grübelei wieder los...

Keepass kann da weiterhelfen. Allerdings gibt es Software, die den Login nicht speichert, man die Software aber jeden Tag braucht
In dem Fall nehme ich dann ein einfacheres, merkbares Passwort. Sonst muss man auch mit Keepass jedes mal sein komplexes Masterpasswort eintippen.

Für die Universität (deren Server vor einem Jahr von Russland aus gehackt wurden, laut Rundmail) nehme ich auch so ein merkbares Passwort, weil ich im Notfall immer schnell einloggen können muss.

Naja ... Google hat Deinen Namen und Deine Nummer, sobald jemand aus Deinem Umfeld Dich mit Namen und dieser Email oder diesem Google+-Account in sein Android-Adressbuch einträgt.

Richtig, gilt leider auch für FaceBook und wie sie alle heißen. Den Google+ Account kennen allerdings tatsächlich nur drei Familienmitglieder und da ist überall die Synchronisation der Kontakte abgeschaltet.

Facebook hat die Nummer und Namen bestimmt, obgleich ich keinen Account dort habe. Verdammte Kommilitonen

Inoffizielles Telefonbuch 2.0.

Bisher hat mich Herr Zuckerberg aber noch nicht angerufen

Und irgendwas muss Google ja auch haben, immerhin nutze ich einige Dienste ja "kostenlos". Man zahlt eben mit ein paar Fußspuren.

Wer das nicht will muss sich aus allem raushalten und darf keine Freunde/Bekannte haben die achtlos mit Kontaktdaten umgehen. Heute wohl unmöglich. Sei's drum

Ihr Lieben.
Gestern sah ich zufällig eine brisante Reportage in der ARD. Es klingt alles plausibel und was hier machbar ist, erinnert schon an einen Thriller wie "The Game" beisielsweise. Dauert knapp 30 Minuten, Link: http://mediathek.daserste.de/sendung-verpas…?datum=20140707

Ich fands sehenswert und wenn Privatleute schon solche Möglichkeiten haben, wie mag es dann erst bei Behörden und Organisationen mit Sicherheitsaufgaben...

L.G. Udo

Ja, hab ich auch gesehen, lohnt sich wirklich. Es geht um Identitätsdiebstahl -- eine Reporterin versucht in einem Experiment über ein paar Tage, ihren Kollegen zu "hacken", und holt sich dafür auch Hilfe von Hackern. Es wird detailliert beschrieben, über welche Tore und mit welchen Tricks sie immer weiter in seine geschützten digitalen Bereiche eindringt und ist dabei spannend gemacht.

Vor allem kriegt man auch einen ganz guten Einblick, was die wirklich wichtigen Schwächen waren, die ausgenutzt wurden, und kriegt einen anderen Blick auf Funktionen, die man selber nutzt. Ich habe daraufhin schon ein paar Sachen bei mir geändert.

Marcus