Steam Accountdaten speichern und Offlinemodus

[Kausu]

Hallo,
ich war mir nicht ganz sicher, ob die Frage eher in den Sicherheitsbereich passen würde, oder hier hinein gehört. Naja notfalls kann sie ja verschoben werden :-)

Der Offlinemodus ist recht praktisch und bei, mir relativ seltene, Steamausfälle kann er hilfreich sein und ein spielen ermöglichen. Blöd ist nur, man muss die Accountdaten speichern lassen. Bisher habe ich die immer wieder gelöscht.
Mittlerweile bin ich mir aber nicht mehr so sicher, was nun sicherer ist. Wo und vor allem wie, werden die Accountdaten denn gespeichert? Das regelmäßige Anmelden scheint ja auch nur bedingt sicherer zu sein. Ein einfacher Keylogger könnte ja ausreichen und die Zugangsdaten werden ausgespäht.

Stellt es also ein Sicherheitsrisiko dar, die Accountdaten zu speichern?

 

[punkrockfan]

Steamguard? login von anderem/unbekannten Browser dann nur per Code an Deine Emailadresse von Steam.

Dazu eine Emailadresse nur für Steam mit dortiger two-way-verification für den login, zusaätzlich zum password also ne SMS aufs Handy etwa

 

[Kausu]

Danke für die Antwort, aber genau so mache ich es schon Ich bin mir nur nicht sicher, ob das Abspeichern der Accountdaten - was ja für den Offlinemodus notwendig ist, eine Sicherheitslücke darstellt, aber der Steamguard müsste hier ja eingreifen.

 

[punkrockfan]

jo, steamguard greift

 

[Rios]

Bei welchen Mail-Anbieter macht ihr das mit der two-way-verification? Gibt es da einen guten, kostenlosen?

 

[punkrockfan]

gmail.

kannst Dir auch ne Tan Liste ausdrucken, immer zehn Stück, falls mal ohne Handy

 

[Rios]

Aber wenn ich das für Steam mache, muss ich es auch für diverse Online-Shops machen.
Das find ich etwas umständlich.
Ich überlegs mir mal. Sicherer ist es ja schon.
Aber ist das nicht etwas zu viel? Ich meine ich der Hacker müsste meinen Steam-Account und meinen Mail Account hacken.
Wenn man ein die gängisten Sicherheitsratgeber befolgt und starke Passwörter wählt + SteamGuard reicht es doch, oder?

 

[Kausu]

Darum nutze(n) ich (wir) ja eine extra Adresse für Steam. Da musst dann nicht dauernd zum Handy greifen. Eigentlich müsste er deinen Steamaccount nicht hacken, ich hoffe ich denke jetzt nicht falsch oder zu einfach (dann einfach korrigieren). Deine Emailadresse kapern würde reichen. Dann könnte er sich von Steam den Guardcode schicken lassen und wäre drin.

Für die Sache mit den Onlineshops gibt es noch anwendungspezifische Passwörter, wenn du ein Emailprogramm oder halt die SMS Codes. Solange die Browsersitzung noch nicht beendet wurde, musst du dich nicht neu anmelden.

 

[Rios]

Also ich glaube, um sich einen SteamGuard Code zuschicken zu lassen, muss er sich erstmal mit dem Steam Account einloggen.
Sicher bin ich mir da aber auch nicht.

Das was du in deinem letzten Absatz mit den Onlineshops geschrieben hast, verstehe ich nicht. Was meinst du?

 

[Kausu]

Also ich habe mal versucht mich mit meinen Smartphone einzuloggen, natürlich ging es nicht, aber der Code für Steamguard kam sofort.

Na du brauchst nicht dauernd nach deinen Handy zugreifen, wenn du auf Shoppingtour bist. (Außer du machst nicht die Tabs zu, sondern immer den Browser).
Der Rest ist eine Funktion von gmail, bei dem du einzelne Passwörter bekommst, die dann auch nur für diese Anwendung/Gerät gelten.
https://support.google.com/accounts/answer/185833?hl=de

EDIT:

Du hast ja oben geschrieben:
"Aber wenn ich das für Steam mache, muss ich es auch für diverse Online-Shops machen.
Das find ich etwas umständlich"
Ich dachte du meinst damit, dass du dann immer die zweistufige Anmeldung nutzen musst. Vielleicht meintest du aber auch etwas anderes.

 

[punkrockfan]

Klar, man schickt Steam ne Emailadresse und bekommt den Guardcode, falls es sowas überhaupt gibt?

Ohne Accountnamen dazu, ohne Keyscan von Spielen die auf dem Account sind. Wo lebt Ihr denn?

Schonmal n Spiel für Steam über Paypal/Lastschrift gekauft? Wer schickt Steam dann letzten Endes einen Kontoasuzug zum Kauf auf den Account?

Der Besitzer doch wohl, alles easy sonst braucht Ihr mit 30 ja Euren ersten Betablocker :-)

 

[Kausu]

Klar, man schickt Steam ne Emailadresse und bekommt den Guardcode, falls es sowas überhaupt gibt?

Ohne Accountnamen dazu, ohne Keyscan von Spielen die auf dem Account sind. Wo lebt Ihr denn?

Schonmal n Spiel für Steam über Paypal/Lastschrift gekauft? Wer schickt Steam dann letzten Endes einen Kontoasuzug zum Kauf auf den Account?

Der Besitzer doch wohl, alles easy sonst braucht Ihr mit 30 ja Euren ersten Betablocker :-)

Ich versteh nicht, was du meinst. Das hat doch keiner geschrieben. Er wollte doch nur wissen, ob man sich erst einloggen muss.
Accountnamen (kann man sich zuschicken lassen), Scans bräuchte man gar nicht. Wer den Code für Guard erst einmal hat, kann die Emailadresse und Kontaktdaten ändern. Sicherlich gekaufte Spiele bringen nicht viel, aber manche Leute machen sich einen Spaß drauß andere einen VAC zu verpassen oder nach gespeicherten KK Daten zu schauen. (Wobei witzigerweiße die hier als einziges wirklich sicher wären)

Übrigens kann man beim Paypalkaufabschluss ganz leicht die Rechnungsadresse ändern, ob dies in diesem Fall benutzt werden würde sei dahin gestellt, aber dies bringt hier nicht viel.

 

[punkrockfan]

Eigentlich müsste er deinen Steamaccount nicht hacken, ich hoffe ich denke jetzt nicht falsch oder zu einfach (dann einfach korrigieren). Deine Emailadresse kapern würde reichen. Dann könnte er sich von Steam den Guardcode schicken lassen und wäre drin.


nicht er, DU denkst da zu einfach in Deinem Post, wäre ja zu dolle wenn`s so ginge :-)

Und die Rechnungsadresse beim Paypalkauf...da gehen keine Belege hin, die kommen per mail und die Zahlungen sind, umsichtig gemacht, auf den Auszügen des Besitzers, Dein Perso ist bei Deiner Bank hinterlegt, Deien Bankkarte wird ungleich nicht auch noch der Kidnapper Deiner Emailadresse haben um sich auf Deiner Bank vor Ort Duplikate zu holen um alleine mit der Emailadresse dann Deinen Steam Account zu kapern, das ist alles hypotetisch überängstlich

 

[Kausu]

Überängstlich bin ich nun wirklich nicht. Ich interessiere mich nur dafür
Gut, die Paypalsache weiß ich nicht, gebe ich zu. Ich nutze halt meistens meine KK. Die Sache mit dem Steamguard funktioniert aber zu 100%. Ich habe es schon einmal mit meinen und den Account von meinen Bruder getestet (natürlich mit seiner Erlaubnis^^) Banktechnisch habe ich doch gar nichts geschrieben. Das finde ich wirklich etwas weit hergeholt und etwas viel Mühe für einen einfachen Steamaccount

 

[punkrockfan]

Eben :-)

Je nachdem ob prepaid KK oder per Lastschrift hat man da unterm Strich aber auch die Zahlungen auf ner Bank als letzte Stufe und Auszüge.

Mehr Eigentumsnachweis als das im Fall der Fälle an Steam geht ja wohl nicht, schlimmstenfalls ist ein Account wenn mal gekapert aber doch wohl rückholbar

 

[Rios]

Also ich habe mal versucht mich mit meinen Smartphone einzuloggen, natürlich ging es nicht, aber der Code für Steamguard kam sofort.

Aha okay, dann braucht der Angreifer als nicht meinen Steam-Account.
Er bräuchte nur meinen Email-Account, dort bekommt er den Code für Steamguard und damit kann er sich dann bei Steam einloggen? Oder braucht er trotzdem mein Steam-Passwort?

---

Und ich wollte mal wissen, ob ich das Prinzip der two-way-verification richtig verstanden habe:
Wenn jemand mein Email-Account hackt, kann er ja das Passwort (von Amazon zB) über Email-Reaktivierung umändern.
Ein effektiver Schutz dagegen ist dann die two-way-verification beim Email-Account, da es somit fast unmöglich ist, dass der Angreifer meinen Email-Account hackt, richtig?

---

...Dazu eine Emailadresse nur für Steam mit dortiger two-way-verification...

Ist es auch okay, wenn ich eine Email-Adresse mit two-way-verification für alle "sensiblen" Accounts verwende, oder muss für jeden Account eine eigene Email-Adresse eingerichtet werden, da du ja "nur für Steam" schreibst?

 

[Kausu]

Wie punkrockfan schon richtig geschrieben hat, man darf und sollte nicht paranoid werden (nicht als Beleidigung gedacht!).
Richtig und gut ist es sich mit den aktuellen Schutzmaßnahmen auseinanderzusetzen und dann auch zu nutzen. Verschlüsselung ist auch eine ganz nette Sache - nützt nur wenig, wenn viele Empfänger selber keine Nutzen und dann die Email nicht öffnen können, aber das ist ja ein ganz anderes Thema.
Unmöglich wirds nie, fast ist ja auch schon dicht dran, es wird nur schwerer und wenn jemand wirklich bei dir reinkommen wollen würde, tja, dann würde er es auch schaffen. Aber trotzdem bleibt es ein guter zusätzlicher Schutz. Womit man den Schutz aber noch erweitern kann, ist kein Smartphone für die SMS zu nutzen. Irgendein altes Prepaidhandy - macht sich dann auch gut für mTan.

EDIT:

Dein Passwort wird trotzdem noch benötigt. Steamguard schützt "nur" vor unautorisierten Rechnern, aber das Passwort wird nicht außer Kraft gesetzt.
Sicherlich kannst du die Adresse für mehrere sensible Accounts nutzen. Ich glaube eher er meinte, dass du deine Spamanbieteranmeldung nicht über diese laufen lassen solltest und eventuell sehr sensible Sachen (Bank etc. ) evtl. woanders laufen lassen könntest.

 

[Rios]

Keine Sorge ich nehm es nicht als Beleidigung auf
Ich finde den Thread gut!
Es doch ganz interessant ist, sich darüber zu unterhalten, wie man sich schützen sollte und was zu weit geht.

Hab ich denn das Prinzip der two-way-verification verstanden? (siehe #16)

...Sicherlich kannst du die Adresse für mehrere sensible Accounts nutzen. Ich glaube eher er meinte, dass du deine Spamanbieteranmeldung nicht über diese laufen lassen solltest und eventuell sehr sensible Sachen (Bank etc. ) evtl. woanders laufen lassen könntest.

Sorry, aber ich steh grad aufm Schlauch, was meinst du mit Spamanbieteranmeldung?


----

Bei gmail darf ich dann aber auch nicht "dont ask for codes again on this computer" anklicken, sonst wäre der Schutz des Emails-Account genau so unsicher vor Keyloggern wie mein Steam-Account, richtig?

 

[punkrockfan]

Bei gmail darf ich dann aber auch nicht "dont ask for codes again on this computer" anklicken, sonst wäre der Schutz des Emails-Account genau so unsicher vor Keyloggern wie mein Steam-Account, richtig?


Es geht ja darum dass der Account sicher von anderen PCs ist falls mal jemand die Adresse hat und das Passwort knackt.

So ne Angst vor Keyloggern auf nem brav benutzen System? :-(

 

[Kausu]

[...]


Sorry, aber ich steh grad aufm Schlauch, was meinst du mit Spamanbieteranmeldung?

Bei gmail darf ich dann aber auch nicht "dont ask for codes again on this computer" anklicken, sonst wäre der Schutz des Emails-Account genau so unsicher vor Keyloggern wie mein Steam-Account, richtig?

Einige meiner Freunde melden sich bei jeden Mist an, egal welcher Anbieter dahinter steckt. Manchmal wollen sie nur ein paar Bonuspunkte für irgendetwas abkassieren und manchmal irgendetwas anderes. Werbemails müssen nichts schlimmes sein, aber Spambomben halte ich gerne von wichtigen Sachen getrennt. Hat jetzt weniger sicherheitstechnische Aspekte.
Aber wer sein E-Mailadresse wirklich einfach rausschmeißt ohne nachzudenken, der sollte sich dafür vielleicht eine extra Adresse zulegen.

Ich bin mir nicht sicher, aber ich glaube dieses "nicht mehr Nachfragen", läuft über Cookies oder ähnliches. Da ich Cookies und andere temporäre Daten immer löschen lasse, funktioniert dieses Option beim nächstesn Start bei mir nicht mehr.
Natürlich kann man diese two-way-verification groß und breit technisch erklären, aber eigentlich handelt es sich nur um ein zusätzliches Hindernis bzw. eine Schutzfunktion, was überwundern werden muss, bevor der Accountzugang erfolgen kann.
Mit den Keyloggern hast du nicht ganz unrecht, der einmalige Code nützt evtl. Angreifern nicht viel. Am Ende musst du wissen, was du mit deinen Rechner machst und wie deine Gewohnheiten sind, ob du regelmäßig die Webanwendung nutzt und dich dann diese Hürde nerven würde, oder ob du eher ein Programm nutzt und dich nur selten einloggst, oder ob du gar sagst "ach das nehme ich gerne mit".
Man kann sich zwar heute schnell etwas einfangen, aber nur auf Sicherheitsprogramme und Angebote sollte man sich nicht verlassen und davon Angst machen lassen. Brain.exe einschalten und dann schützt die einen vor vielen - nicht allen, aber dem offensichtlichsten.