Dubiose Methoden zur Passwortspeicherung bei all-inkl.com

[Luminatus]

Hallo,

ich bin schon lange Zeit Kunde bei all-inkl.com, bin aber nach einem kürzlichen E-Mail-Kontakt mit dem Support schockiert über deren Strategie beim Speichern von Passwörtern:

1. Passwörter von angelegten E-Mail-Konten werden nicht gehasht, sondern in irgendeiner Form reversibel verschlüsselt (sodass sie im Admin-Panel anzeigbar sind)
2. Der Benutzer eines E-Mail-Kontos hat die Möglichkeit "das Passwort vor dem Admin zu verstecken", was meiner Meinung nach prinzipiell der Fall sein sollte. Dies sorgt dafür, dass das Passwort im Admin-Panel nicht angezeigt wird. Mir wurde aber auf Nachfrage bestätigt, dass auch hier nicht gehasht wird, sondern wiederum nur reversibel verschlüsselt.

Das bedeutet, dass irgendwo bei all-inkl ein Schlüssel liegt, der alle Passwörter zu E-Mail-Konten zum Klartext entschlüsselt, insbesondere ist das dann natürlich für deren Mitarbeiter problemlos möglich. Auch bei einem eventuellen Hack liegen sämtliche Passwörter offen.

Meiner Meinung nach gibt es keinen sinnvollen Grund, Passwörter reversibel verschlüsselt zu speichern. Es gibt keine denkbare Situation, in der der Administrator Passwörter von E-Mail-Konten im Klartext sehen muss. Es reicht, im Zweifelsfall das Passwort ändern zu können.

3. Ich wurde kürzlich bei einer Supportanfrage nach einem Teil meines Passwortes zur Authentifizierung gefragt. Dieses sollte ich unverschlüsselt per Mail an den Kundenberater schicken. Ich habe nicht schlecht gestaunt und dankend abgelehnt. Zum einen werden offensichtlich mindestens Teile meines Administrator-Passwortes im Klartext (bzw. für Mitarbeiter einsehbar) gespeichert. Noch schockierter bin ich aber darüber, dass ich Teile meines Passwortes per Mail verschicken soll.

Auf Nachfrage wurde mir vor allem erklärt, dass mir der genaue Mechanismus beim Speichern von Passwörtern aus Sicherheitsgründen "natürlich" nicht erklärt werden könne, bei einer weiteren Nachfrage blieb die Antwort komplett aus.

Was haltet ihr davon? Habt ihr ähnliche Bedenken? Mache ich mir zu viele Gedanken?

Viele Grüße

 

[Was_denn]

Wenn dir das zu dubios und unsicher ist solltest du dir einen anderen Anbieter suchen wenn du dir das aussuchen kannst .

 

[WhyNotZoidberg?]

wenn das so stimmt, wäre ich dort nicht länger kunde.

 

[pipsich]

https://www.n-tv.de/technik/Das-sind-die-besten-E-Mail-Dienste-article18749201.html

https://posteo.de/de

 

[Barmen]

Diesbezüglich ist Allinkl aus meiner Hoster Suche raus ... bleibt netcup und webgo ... wobei webgo zu 98% das Rennen machen wird.

 

[Luminatus]

Wenn dir das zu dubios und unsicher ist solltest du dir einen anderen Anbieter suchen wenn du dir das aussuchen kannst .

Ein Anbieterwechsel ist natürlich mit erheblichem Aufwand verbunden, deswegen hier die Frage nach anderen Meinungen.

https://www.n-tv.de/technik/Das-sind-die-besten-E-Mail-Dienste-article18749201.html

https://posteo.de/de

Bei mir handelt es sich nicht nur um E-Mail-Services sondern um ein komplettes Webhostingpaket.

 

[Barmen]

@Luminatus

Ich hab mich für webgo entschieden siehe auch https://www.computerbase.de/forum/t...-doch-ein-ganz-anderer.1729789/#post-20693280

 

[WhyNotZoidberg?]

Ein Anbieterwechsel ist natürlich mit erheblichem Aufwand verbunden, deswegen hier die Frage nach anderen Meinungen.

klar ist ein aufwand, ich persönlich hätte aber keine lust dort weiter zu beleiben, wenn ich soetwas erfahre.
lieber in den sauren apfel beißen und umziehen als unsichere passwort-handhabung.

 

[John Reese]

Nichts für Ungut, aber behaupten kann hier jeder vieles und gerade deine Behauptung, all-inkl würde Passwörter zumindest teilweise im Klartext oder "reversibel" speichern ist für uns ja nicht nachvollziehbar.

Basiert sogesehen alles auf "Hörensagen".

 

[Sparta8]

Nichts für Ungut, aber behaupten kann hier jeder vieles und gerade deine Behauptung, all-inkl würde Passwörter zumindest teilweise im Klartext oder "reversibel" speichern ist für uns ja nicht nachvollziehbar.

Basiert sogesehen alles auf "Hörensagen".

Er meint ja, dass er im Admin Panel die Passwörter alle einsehen kann. Deshalb können sie ja nicht gehasht sein.

@Luminatus:
Sie müssen ja keinen Master Key haben der ALLE Passwörter verschlüsselt, sondern jeder Kunden Account hat wahrscheinlich seinen eigenen.
Wechsel halt den Anbieter wenn du unzufrieden bist. Sie werden sicher nicht wegen dir ihre internen Prozesse umstellen.

 

[h00bi]

Es gibt keine denkbare Situation, in der der Administrator Passwörter von E-Mail-Konten im Klartext sehen muss. Es reicht, im Zweifelsfall das Passwort ändern zu können.

Wenn die Benutzer der Mailkonten völlige IT-Vollpfosten sind, ist das ein Traum. Beispiel: Sportverein
Punkt 3 ist aber mies, da stimme ich dir zu.

Basiert sogesehen alles auf "Hörensagen".

Kann ich bestätigen, ist wirklich so.

 

[Luminatus]

Wechsel halt den Anbieter wenn du unzufrieden bist. Sie werden sicher nicht wegen dir ihre internen Prozesse umstellen.

Ich bin prinzipiell zufrieden bei all-inkl. Aber vielleicht gerade weil dort ansonsten alles super ist, bin ich ein wenig erschüttert, dass an dieser Stelle (zumindest aus sicherheitstechnischer Sicht) geschlampt wird. Ich wollte hier nur nach anderen Meinungen fragen. Ist dies so auch bei anderen Hostern üblich?

Selbst wenn es für jeden Account einen eigenen Masterkey gibt, müssen diese am Ende doch wieder irgendwo zusammen abgelegt sein. Das macht also keinen wesentlichen Unterschied.

Wenn die Benutzer der Mailkonten völlige IT-Vollpfosten sind, ist das ein Traum. Beispiel: Sportverein.

Aber wo liegt der Vorteil? Anstatt einem Vereinsmitglied sein altes Passwort zu geben, kann ich das Passwort doch genauso gut zurücksetzen und ihm sagen: Hier hast du ein neues Passwort, du kannst es direkt wieder auf ein Wunschpasswort ändern.

 

[Grag]

Hi Luminatus,

zu deiner Frage:

Ich wollte hier nur nach anderen Meinungen fragen. Ist dies so auch bei anderen Hostern üblich?

Bisher konnte ich mit zwei Anbietern eigene Erfahrungen sammeln:

1. Alfahosting (Webhosting Paket)
2. Strato (Managed Server)

In beiden Fällen können die E-Mail Passwörter zwar geändert werden, jedoch nicht im Klartext vom Kunden eingesehen werden.

Die Passwörter für z. B. die Datenbank können aber bei beiden Anbietern im Adminbereich mit ein paar Klicks eingesehen werden.

Wie die Passwörter gespeichert werden und ob diese vom Anbieter eingesehen werden können, kann wohl nur der jeweilige Anbieter seriös beantworten.

Allerdings bin ich der Auffassung, dass Kundenpasswörter generell nicht von dem Anbieter eingesehen werden können sollten. Daher bin ich leicht geschockt, was deine Erfahrung angeht. Bisher hat mich jedenfalls noch kein Anbieter nach Teilen von meinen Passwörtern oder ähnlich beunruhigendes gefragt.

Zur Authentifizierung sollte normalerweise der Account genutzt werden, über den man i.d.R. als Kunde die Anfrage stellt. Ansonsten könnte man als Anbieter evtl. die Kundennummer abfragen oder bei speziellen Dingen, bei denen man zwingend eine exakte Authentifizierung benötigt auf z. B. das Ticketsystem etc. verweisen. Das macht dann solche Dinge unnötig.

Gruß

Grag

 

[Luminatus]

Dass Datenbankpasswörter eingesehen werden können finde ich verschmerzbar und auch praktisch. Schließlich hat der Administrator das Passwort selbst gesetzt. Kritisch finde ich es allerdings, wenn Passwörter, die nicht der Administrator, sondern z.B. Vereinsmitglieder selbst gesetzt haben, nicht gehasht werden. Hier besteht die (sehr wahrscheinliche) Gefahr, dass diese Passwörter nicht einmalig für dieses E-Mail-Konto verwendet werden, sondern an vielen anderen Stellen auch.

Auf das Kontaktformular im Kundencenter bin ich von All-inkl leider erst nach Ausdruck meiner Bestürzung hingewiesen worden.