News Collection #1: Datenleak mit über 773 Millionen E-Mail-Adressen

[kampion]

Erfundenes Beispiel für Computerbase:
"70%Zuck3R12CO"

Gutes PW! Dauert nur 162 Millionen Jahre um es zu knacken

 

[Euphorikus]

Genau so ist es Sven, danke ! Deswegen die Frage wo man die Daten in Textform downloaden kann, damit ich sie auf meinem PC selbst überprüfen kann..

 

[nciht]

162 Millionen Jahre

mit bf-Methode nehme ich an. Korrekter wäre dann aber "dauert bis zu 162 Millionen Jahre", denn theoretisch kann man mit der Methode auch schon beim ersten Treffer richtig liegen. Is halt try and error... sowas wird hier aber nicht benutzt um an die Passwörter entsprechender Konten zu kommen...

Deswegen nützen solche "guten" Passwörter quasi null, wie diese schöne News zeigt. Du kannst auch ein Passwort haben, wofür man ne Milliarde Jahre braucht um das mit modernsten Supercomputern via bf zu knacken. Wird die Schmutzfilmchenseite gehackt, wo du das pw hast und die Login-Daten geklaut, wissen deine Kumpels trotzdem, was für Fetische du hast...

 

[ThomasK_7]

Die Webseite erkennt also, IP-Adresse xyz gibt folgende E-Mail Adressen ein.

Anschließend überprüfe ich "natürlich" auch noch meine Passwörter und die Webseite erkennt...

Das sollte man nun wirklich nicht online machen!

Ein entsprechender noch deutlicherer Hinweis in der News sollte noch verbessert werden!

..dennoch sollte im Zweifel das eigene Passwort auf keiner Website für die es nicht bestimmt ist, eingegeben werden

ist meinem Empfinden nach zu sachte formuliert.

Fragt man die Passwortverwendung einfach solo und am besten offline ab, bekommt man ja maximal den Hinweis, ob schon Jemand anderes dieses PW benutzt. Das kann man kompromittiert selber sein oder das eigene Passwort ist eben doch nicht einmalig.
Dieser Informationsgehalt allein ist aber wenig aussagekräftig.

 

[Christock]

oder ums kurz zu machen: Die Komplexität des Passworts und der Einsatz von PW Managern ist komplett unerheblich, ob man dort auftaucht oder nicht. Bei den Emailadressen ohnehin...

Das ist aber auch nur auf den ersten Blick richtig. Denn der erste Schritt zu Übernahme von Accounts ist die Kenntnis der mit ihnen verbundenen Mail-Adresse. Wenn das potenzielle Opfer für diese auch noch ein unsicheres Passwort verwendet, kann sich der Angreifer leicht Zugang zum Mail-Account und zugleich zu den hinsichtlich des Passwortzurücksetzungsverfahrens damit verbundenen anderen Accounts verschaffen. Hat der Nutzer hingegen ein sicheres Passwort, ist das Auftauchen der Mail-Adresse in der Datenbank kein Problem, und genau dort kommen ja die Passwort-Manager ins Spiel.

 

[doof123]

Der Mensch lädt auch im Internet zu viel Müll ab. Deshalb gibt's diese schiere Datenflut.
Manche spreaden noch xfache PW's da rein.

 

[Xes]

Deswegen nützen solche "guten" Passwörter quasi null, wie diese schöne News zeigt. Du kannst auch ein Passwort haben, wofür man ne Milliarde Jahre braucht um das mit modernsten Supercomputern via bf zu knacken. Wird die Schmutzfilmchenseite gehackt, wo du das pw hast und die Login-Daten geklaut, wissen deine Kumpels trotzdem, was für Fetische du hast...

Deswegen beschrieb ich in Beitrag #129 ja wie man ein derartiges Passwort einfach per Schema erstellt.
Dann macht es garnichts aus wenn eine der Seiten geknackt wird und ein Bot dieses Kennwort über diverse Seiten jagt.
Da brauch es schon einen Menschen (oder gegebenfalls eine KI) die drüber schaut, idealerweise mindestens zwei der nach dem Schema erstellten Passwörter hat und daraus abliest wie die Kennwörter abhängig zur Seite aufgebaut sind.

 

[SVΞN]

Das sollte man nun wirklich nicht online machen!

Vollkommen richtig! Da bin ich zu 100% bei dir!

Wer bitte geht auf eine Webseite, gibt da zuerst einmal ein paar seiner E-Mail Adressen ein und anschließend auch noch einige seiner [vermeintlich] dazugehörigen Passwörter? Das ist einfach fahrlässig und leichtsinnig.

Die Leute die sich hier auf die Füße getreten fühlen, sind die, die das gemacht haben und sich jetzt selbst fragen, warum sie sowas dummes getan haben.

 

[Phanos]

Es wird bald so weit sein,

Alexa wie ist mein Passwort für das Onlinebanking.

Viel Spaß damit!

 

[Beitrag]

Dann lieber jedes PW ein wenig abändern und im Kopf haben.

Mach das mal bei den drölfzig verschiedenen Diensten, die alle einen Account wollen. Ich hab das bei den wichtigen Sachen so gemacht und dennoch manchmal Probleme mir zu merken, wo ich jetzt genau welches Passwort hatte. Der Passwortmanager ist selbst ein Risiko für sich, das ist richtig. Aber wenn man es nicht schafft sich für alles oder zumindest alles wichtige ein eigenes Passwort zu merken, dann ist es mMn noch wesentlich sicherer einen Passwortmanager zu nutzen als Kompromisse einzugehen und nur wenige verschiedene Passwörter zu nutzen.
Außerdem ist so ein Manager sehr komfortabel.


Optimal ist aber auch der nicht. Wenn man sich dann irgendwo einloggen möchte und da gerade keinen Passwortmanager hat...

 

[doof123]

Das ist aber auch nur auf den ersten Blick richtig. Denn der erste Schritt zu Übernahme von Accounts ist die Kenntnis der mit ihnen verbundenen Mail-Adresse. Wenn das potenzielle Opfer für diese auch noch ein unsicheres Passwort verwendet, kann sich der Angreifer leicht Zugang zum Mail-Account und zugleich zu den hinsichtlich des Passwortzurücksetzungsverfahrens damit verbundenen anderen Accounts verschaffen. Hat der Nutzer hingegen ein sicheres Passwort, ist das Auftauchen der Mail-Adresse in der Datenbank kein Problem, und genau dort kommen ja die Passwort-Manager ins Spiel.

Oder einfach ein PW, das sich differenziert, nutzen.

 

[Dante2000]

Und welcher Passwort Manager wäre hier empfehlenswert? Schön wäre Open Source und/oder ein Kompromiss aus Sicherheit und Komfort.

Ich kann KeeWeb sehr empfehlen. Lässt sich sowohl lokal als auch in diverse Cloud Dienste einbinden. In Zusammenspiel mit lokalen Key Files ist dann auch die Datenbank selbst bei Google Drive abgesichert. Selbst wenn sie dein Passwort hätten, so bringt es ihnen nichts ohne dem Key Files.

KeeWeb ist für mich der beste Anbieter, da hier in sehr vielen Bereichen gegenüber Keepass Ablegern verbessert wurde. So lassen sich dort problemlos Bilder und andere Daten per Drag & Drop Einbinden. Auch die Bedienung ist Keepass X, Keepass 2 und vielen anderen Ablegern vorraus.

 

[Sester]

"70%Zuck3R12CO" -> "70%Zuck3R" relativ einfach zu merkendes Standardkennwort mit Zahlen, Groß&Kleinbuchstaben und Sonderzeichen. Computerbase hat 12 Zeichen und beginnt mit den Buchstaben COmputerbase.

So ähnlich mach ich das auch. Zwei Standardpws mit dienstspezifischem Anhängsel. Bei wichtigen Sachen dann die Anfangsbuchstaben von einem Spruch/Satz, mit etwas l33tspeak, den man sich leicht merken kann, z.B. Der BMWE36325i war mein 3rstes schönes Auto. Die 9700NonPro war die geilste GraKa von Ati 3ver.

 

[anyone23]

So ähnlich mach ich das auch. Zwei Standardpws mit dienstspezifischem Anhängsel.

Das habe ich früher auch mal so gemacht, aber im Grunde ist das auch sehr unsicher. Wer z. B. von deinem Amazon-Account das Passwort 70%Zuck3R12AMA erfährt, der kann dann auch auf deine weiteren Passwörter für andere Seiten schließen z. B. 70%Zuck3R12EBA für eBay usw. Wenn da kein komplexeres System dahinter steckt, ist das wirklich sehr unsicher.

Das mit den Passwörtern ist wirklich eine sehr verzwickte Sache. Ich habe bestimmt an die 50 verschiedenen Passwörter für Onlineshops, Mailanbieter, Onlinebanking und da man für jeden Anbieter ein vollständig neues Passwort verwenden soll, ist es unmöglich das alles zu merken. -> Deshalb geht es imo ohne Passwortmanager heutzutage nicht mehr.

Für mich ist das auch einer der Gründe, weshalb ich mittlerweile kaum noch neue Accounts anlege und falls möglich immer Gastbestellungen o. ä. nutze.

 

[habla2k]

So ähnlich mach ich das auch. Zwei Standardpws mit dienstspezifischem Anhängsel. Bei wichtigen Sachen dann die Anfangsbuchstaben von einem Spruch/Satz, mit etwas l33tspeak, den man sich leicht merken kann, z.B. Der BMWE36325i war mein 3rstes schönes Auto. Die 9700NonPro war die geilste GraKa von Ati 3ever.

Klar, das jetzt für 10 verschiedene Seiten und dann besuchst du drei davon mal ein paar Monate nicht. Und dann weißt du bestimmt trotzdem noch ganz genau wie dein lustiger Satz war und welche Zeichen du davon für dein Passwort benutzt hast.

Das ist genauso, wie Leute, die sich mit Absicht falsche Antworten für ihre Sicherheitsfragen ausdenken: "Wie heißt deine Mutter?" "Fluxkompensator".

So und wenn man irgendwann dann mal am Account was ändern will musst du dich an diese Antwort erinnern. Viel Spaß.

Dann lieber n Open Source Tool, das mir 20 stellige sichere Zeichenketten erstellt, die ich mir nicht merken muss sondern nur auf Copy drücke und einfüge.

Dann kann man sich so einen netten Passwortsatz überlegen als MasterPW und muss sich nur diesen einen merken. Das bekommt man dann vielleicht sogar hin.

Ergänzung (17. Januar 2019)

Das habe ich früher auch mal so gemacht, aber im Grunde ist das auch sehr unsicher. Wer z. B. von deinem Amazon-Account das Passwort 70%Zuck3R12AMA erfährt, der kann dann auch auf deine weiteren Passwörter für andere Seiten schließen z. B. 70%Zuck3R12EBA für eBay usw. Wenn da kein komplexeres System dahinter steckt, ist das wirklich sehr unsicher.

In diesem Fall wäre es aber 70%Zuck3R6AM und 70%Zuck3R4EB.

 

[Sester]

Ich habe davon 3 Stück. Wlan, Paypal und Onlinebanking.
Bei den anderen haben ich ein Standardpasswort mit Dienstanhängsel nach Sester Art. Z.B.
535t3r 3b k03l5ch (3b = ebay als bsp. ohne leerzeichen)

 

[_Reaper]

und spätestens wenn ich meine mailadresse auf dieser seite überprüfe haben sie auch diese - nein danke

Vollkommen richtig! Da bin ich zu 100% bei dir!

Wer bitte geht auf eine Webseite, gibt da zuerst einmal ein paar seiner E-Mail Adressen ein und anschließend auch noch einige seiner [vermeintlich] dazugehörigen Passwörter? Das ist einfach fahrlässig und leichtsinnig.

Die Leute die sich hier auf die Füße getreten fühlen, sind die, die das gemacht haben und sich jetzt selbst fragen, warum sie sowas dummes getan haben.

Was ist bloß kaputt bei manchen hier ?
Das zweite mal das CB einen Artikel mit der Website veröffentlicht und das zweite mal, dass sich die Leute über absoluten Unsinn beschweren. Man gibt auf der Website eine E-Mail Adresse ein. Das wars. Nix Passwort. Da wurde letztes mal schon in riesigem Ausmaß drüber debattiert. Die E-Mail Adresse wird dann gehasht und gegen die DB gefragt. Was ist daran jetzt bitte so schlimm? Und zeig mir doch mal bitte wo du auf der Seite dein Passwort in Kombination mit deiner E-Mail Adresse eingeben kannst.

 

[ConiKost]

Die Website gibts schon ein paar Jahre.
Die sammeln einfach alle Leaks, von denen die Daten erhältlich sind/waren.

Und die Passwortliste kann man sich herunterladen und dann sein eigenes Passwort gehashed darin suchen, falls man der Website nicht traut.

Schon klar. Ich bezog mich auf den Treffen für diesen neuen Leak speziell.
Da eben dort die Adresse enthalten sein soll, spricht für zumindest einen teilweise ziemlich alten Datenstand. Da können durchaus neue Daten drin sein, keine Frage.

 

[localhostDE]

Gutes PW! Dauert nur 162 Millionen Jahre um es zu knacken

Nette Seite. Bei mir wird nachfolgendes angezeigt. Hört sich viel an

Ein herkömmlicher PC könnte dein Passwort innerhalb von
11 Dodevigintillionen Jahren knacken.

 

[conker_ts]

Ich würde ja einen Teufel tun und auf einer Seite wie Pwned eines meiner Passwörter eingeben und auch jedem empfehlen dies ebenfalls nicht zu tun.

Wer ein einfaches Passwort und keinen ordentlichen Passwortmanager verwendet, weiß das in der Regel selbst und sollte sich spätestens jetzt mal Gedanken machen.

Du sollst auch nicht dein Passwort auf dieser Seite eingeben sondern deine Email
Gut, da gibts auch die Möglichkeit, das PW prüfen zu lassen, aber ok, etwas schwachsinnig, sowas zu machen

Ansonsten ja, der Betreiber könnte tatsächlich eine wunderbare Sammlung aktueller Email Adressen damit erstellen ...