News Collection #1: Datenleak mit über 773 Millionen E-Mail-Adressen

[dr. lele]

@habla2k ich glaube für alle neu generieren kann Keepass2 nicht. Das speichert ja auch nur ein Passwort pro Dienst, da wäre es doof, wenn auf einmal alle weg wären. Ich habe die Key-Datenbank in der Dropbox liegen, so kann ich auch auf Android und anderen Geräten darauf zugreifen.

Was meinst du mit Recovery?

 

[nciht]

Ah... meine Spammailadresse ist betroffen... jetzt haben die mein Spammailpasswort, dass ich für alles unwichtige verwende auch geknackt... naja...

 

[habla2k]

@habla2k ich glaube für alle neu generieren kann Keepass2 nicht. Das speichert ja auch nur ein Passwort pro Dienst, da wäre es doof, wenn auf einmal alle weg wären. Ich habe die Key-Datenbank in der Dropbox liegen, so kann ich auch auf Android und anderen Geräten darauf zugreifen.

Was meinst du mit Recovery?

Eine Möglichkeit ranzukommen, falls man das MasterPW vergisst.

Naja, ich würde sowieso für jeden Account ein PW generieren lassen, das heißt ich kenne das PW sowieso nicht. Da wäre es cool, wenn man für alle hinterlegten Accounts mit einem Knopfdruck die PWs neu generieren könnte. Falls eine Mail Adresse zum Beispiel bekannt ist und man alle PWs dafür neu vergeben möchte. (ist aber auch nicht so entscheidend, falls das nicht geht)

 

[Christock]

Da ich schon länger mit dem Gedanken spiele mir einen PW Manager anzuschaffen hätte ich dazu mal eine banale Frage: Wenn ich unterwegs bin (oder auf der Arbeit oder was auch immer, sprich: Nicht an meinem Heimrechner), wie komme ich dann in meine diversen Accounts mit den generierten Passwörtern?
Bei Passwörtern, die ich mir gemerkt habe, ist es ja durchaus praktisch, dass ich auch bei einem Freund mich noch einloggen kann, ich gehe mal davon aus, dass ich das dann nicht mehr kann?
Falls es eine Funktion übers Smartphone dafür gibt muss ich dazu sagen, dass ich keines besitze und diese nicht nutzen könnte.

Für die Verwendung bei Freunden und Bekannten könntest du eine Lösung per USB-Stick realisieren, den du zur zusätzlichen Sicherheit gesondert verschlüsseln kannst, wenn du magst, und auf den du die portable Version deines Passwort-Managers und deine Datenbank ziehst. Für die Verwendung auf der Arbeit wird es unter Umständen schwieriger, weil du deinen Admin fragen müsstest, ob er deinen Passwort-Manager ins System einbindet.
Oder aber du legst dir ein Smartphone zu, dass du ausschließlich offline als mobiles Gerät für deinen Passwort-Manager verwendest. Sagen dir diese Lösungen nicht zu, hättest du in der Tat ein Problem mit der mobilen Nutzbarkeit.

 

[new Account()]

Dir ist schon klar, dass du bei dem entsprechenden Dienst das neue PW auch wieder angeben musst?

 

[Der-Orden-Xar]

Eine Möglichkeit ranzukommen, falls man das MasterPW vergisst.

Nö.

Du könntest die DB ohne (echte) Sicherung irgendwo hinkopieren. müsstest dann natürlich das Backup immer mit ändern.
Aber es ist ja gerade auch der Sinn von Keepass, dass niemand ohne die richtigen Zugangsdaten die Datenbank entschlüsseln kann.
Und wenn du eben dein Masterpasswort vergisst, kommst auch du nicht mehr daran.

 

[new Account()]

Für die Verwendung bei Freunden und Bekannten könntest du eine Lösung per USB-Stick realisieren, den du zur zusätzlichen Sicherheit gesondert verschlüsseln kannst, wenn du magst, und auf den du die portable Version deines Passwort-Managers und deine Datenbank ziehst. Für die Verwendung auf der Arbeit wird es unter Umständen schwieriger, weil du deinen Admin fragen müsstest, ob er deinen Passwort-Manager ins System einbindet.

Viel zu umständlich. Einfach KeePass portable + Datenbankdatei auf den USB-Stick und fertig.

 

[dr. lele]

wäre es cool, wenn man für alle hinterlegten Accounts mit einem Knopfdruck die PWs neu generieren könnte.

Nee das geht nicht, dann könnte man sich ja auch bei den Diensten nicht mehr anmelden... Das Passwort ist ja dann für den Dienst falsch.

 

[Sennox]

Immer diese Passwort-Manager Prediger O.o
Gibt es denn einen den es für ALLE Plattformen gibt?
Also: Diverse Linux Derivate, Windows 7 bis 10, Mac, Android, IOS
Zusätzlich dazu gibt's noch die Konsolen.
In meinem Fall würde das alles (außer vllt. IOS) zutreffen, ich bin gelegentlich auch mal an anderen Maschinen tätig und brauche manchmal ein Passwort für einen meiner Accounts.
Natürlich gibt es User für die so ein Manager prima geeignet ist aber es gibt auch ebenso welche wo dieser eher zu einem weiteren Hindernis wird.

Falls jemand dafür eine sinnvolle und halbwegs komfortable Lösung hat bin ich ganz Ohr.
Die Konsolen kann man dabei erst mal ausklammern, ein weiteres Passwort neben dem Manager würde ich mir wohl noch merken können ^^

 

[Döspaddel]

Warum sollte man einen Passwortmanager (der eventuell auch Lücken aufreisst) verwenden
wenn man die PW im Kopf hat?
Was soll daran leichtfertig sein?

Wie lang sind denn deine Passwörter und haben sie Sonderzeichen? Die Passwörter, die ich mir auf Dauer merken könnte, wären mir mittlerweile einfach zu kurz und unsicher. Mit KeePass kann ich mir Passwörter mit 20+ Zeichen erstellen, ohne dass ich mir irgendwas davon merken muss.

Eine Möglichkeit ranzukommen, falls man das MasterPW vergisst.

Nein, denn das wäre wieder eine potenzielle Sicherheitslücke.

 

[new Account()]

Also: Diverse Linux Derivate, Windows 7 bis 10, Mac, Android, IOS

Enpass: https://www.enpass.io/downloads/

 

[Decorus]

Ich sehe leider nicht, welcher Dienst betroffen ist.

Ich vermute es ist eine Sammlung aus einem alten Leak

Hier ist Hunts Liste mit den über 2000 vermutlich betroffenen Webseiten:
https://pastebin.com/UsxU4gXA

 

[Nureinnickname!]

Musst es ja nicht machen. Kannst ja auch alles geleakte runterladen und selbst durchsuchen nach dein Passwort 😁

Naja 1. Wäre dies wahrscheinlich eben so Illegal wie das Hochladen, und 2. Würde ich den Upload eh nicht finden xD

 

[Christock]

Viel zu umständlich. Einfach KeePass portable + Datenbankdatei auf den USB-Stick und fertig.

Das bringt dir aber nichts, wenn du KeePass auf der Arbeit wegen fehlender Administratorenrechte nicht ausführen kannst. Und abgesehen von der optionalen zusätzlichen Verschlüsselung sage ich doch sonst das Gleiche?!

 

[konkretor]

@Decorus danke, hatte ich auch gerade schon gefunden.

Wenn er doch die Webseiten hat, wieso zeigt er sie dann nicht dazu an.


Nachtrag, gerade in der Liste einer Webseite gefunden die ich früher genutzt habe. Das Passwort dürfte Steinalt sein und eh nicht mehr verwendet.

 

[Sennox]

Enpass: https://www.enpass.io/downloads/

Wow, das ist tatsächlich mal einen Blick wert.

 

[new Account()]

Das bringt dir aber nichts, wenn du KeePass auf der Arbeit wegen fehlender Administratorenrechte nicht ausführen kannst. Und abgesehen von der optionalen zusätzlichen Verschlüsselung sage ich doch sonst das Gleiche?!

Mir wäre neu, dass man für KeePass/das Lesen einer Datei Administratorrechte bräuchte.
Da muss der Arbeitgeber schon generell USB-Sticks oder das ausführen von unregistrierten Programmen verbieten.

 

[Der-Orden-Xar]

Naja 1. Wäre dies wahrscheinlich eben so Illegal wie das Hochladen, und 2. Würde ich den Upload eh nicht finden xD

1. Deswegen gibt es die PW ja auch nur als HASH. Du musst dann selbst noch den SHA1 deiner PWs bilden und vergleichen. (Oder mit Tools wie einem Keepass Plugin, wenn du Keepass verwendest).

2. Im Artikel schon fast verlinkt (aber nur fast^^) https://haveibeenpwned.com/Passwords

 

[dec7]

Meine primäre Mail die ich seit 20+ Jahren nutz ist auch betroffen, wär nen Wunder wenn nicht da ich die für alles ausser Wichtiges nutze. Und da meine wichtigeren Mail Adressen nicht betroffen sind, ists mir auch egal.
Leute sollten nicht zu sehr panik schieben.

 

[Nureinnickname!]

1. Weiß ich dass die Passwörter gehasht werden, komme ja nicht aus Dummbach, und

2. sind laut der Webseite keiner meiner Passwörter bekannt, sind eh zu kompliziert, aber wer die Zeit hat die paar Milliarden Jahre zu warten, um aus dem Hash das Passwort im Klartext zu bilden bitte xD

Wenn jeder in der Lage wäre richtige Passwörter zu verwenden, gäbe es solche Probleme garnicht erst, bzw würde es niemanden interessieren, weil ist ja gut und schön, das er mein gehashtes Passwort hat, und? Was will der jetzt damit anfangen? xD

3. Wenn man natürlich zu blöd ist sich ein Kompliziertes Passwort auszudenken, und nur 123456 oder Hallo123 verwendet ist man selber schuld, dummheit muss eben bestraft werden

Edit : Wenn ich schon sehe dass das Passwort 123456 über 23.000.000 mal verwendet wurde, zweifel ich echt an der Intelligenz der Menschheit