News Identitätsdiebstahl betrifft 3 Millionen Deutsche

[sp33dlink]

War diesmal betroffen bei freenet

 

[Zotac2012]

@duudee

Ich habe ja auch geschrieben "Anbietern" mehrzahl und bei dieser Menge an Daten handelt es siich mit Sicherheit um Datenbanken. Das Primäre Ziel ist ja schnell an Geld oder Ware durch Betrugsbestellungen zu kommen und solch professionelle "Hacker" machen sich in der Regel nicht die Mühe, einzelne User Acc`s von privat PC zu hacken. Da werden natürlich ganz bestimmte Seiten mit einer hohen Nutzerfrequenz ausgewählt. Und das ist ja schon der zweite Vorfall innerhalb weniger Monate wo Millionenfach Daten abgegriffen wurde, scheint also so zu sein, das dies keine größeren Probleme für diese "Hacker" darstellt.


mfg Zotac2012

 

[Engelsen]

Betroffen mit gmx .... Leider sagt die Mail nicht wo, da ich eigentlich überall ein anderes Passwort habe, ist es natürlich nervig das nun überall zu ändern ....

​

 

[mos_fragged]

Hä was bringt es den neuesten Fund in den bestehenden Selbsttest zu integrieren? Angenommen man war im Dezember schon betroffen und hat seine Daten bereits geändert, woher soll man wissen, wenn eine Bestätiungsmail vom BSI kommt, ob die nun für den ersten oder den aktuellen Fund gilt?

 

[Herdware]

Ich fände es besser, wenn man beim Test in jedem Fall eine E-Mail vom BSI bekommen würde. Also auch eine ausdrücklich Bestätigung, dass man nicht betroffen ist. Denn ansonsten bleibt immer die Unsicherheit, ob der Test überhaupt funktioniert hat. Besonders weil zumindest beim letzten mal die Test-Website zeitweise total überlastet war.

Zum konkreten Fall:
Ich halte es für wahrscheinlich, dass die Login-Daten nicht direkt beim E-Mail-Provider geklaut wurden. Es wäre schon merkwürdig, wenn alle großen E-Mail-Provider (und diverse kleine oder private Domains noch dazu) gleichermaßen Hackern zum Opfer gefallen wären.
Am wahrscheinlichsten ist, dass diese Daten aus einem der großen Hackerangriffe auf Onlinenetzwerke in letzter Zeit stammen. Und weil viele Leute überall das gleiche Passwort verwenden, kommt man mit diesen Daten dann halt auch in den eigentlichen E-Mail-Account.
Warum da überhaupt oft E-Mail-Adressen statt Benutzernahmen oder Kundennummern oder sowas für das Login in Online-Accounts verwendet werden müssen, habe sich sowieso nie verstanden. Benutzernamen wären doch nochmal eine zusätzliche Sicherheit, weil die auch erstmal ausgespäht oder erraten werden müssten.

Eigentlich müsste aber das ganze Identitätdiebstahl-Problem mal grundsätzlich angegangen werden. Es muss bessere Methoden geben als E-Mail-Adresse/Benutzername + Passwort.
Eine Idee wäre, dass man den neuen Personalausweis zur Identifikation benutzt. Allerdings möchte ich mich gelegentlich auch bewusst anonym registrieren können, also ohne Preisgabe meiner tatsächliche Identität. Ist schließlich nicht umsonst das gute Recht als Benutzer. Außerdem wäre das nur in Deutschland eine Lösung. Andere Länder (vor allem die USA) haben ja gar keine vergleichbaren Dokumente.
Biometrische Daten, z.B. Fingerabdrücke, wären eine andere Möglichkeit, aber die will ich eigentlich noch weniger in alle Welt verschicken, als meine Personalien. Außerdem funktioniert Biometrie nur bedingt bzw. kann auch ausgetrickst werden.

 

[Turrican101]

Ohne zu wissen was das für Daten sind, die die Hacker haben, sind diese Warnungen doch total nutzlos. Wenn die meine Passwörter von vor 5-10 Jahren haben und die aber gar nicht mehr aktuell sind, dann kann mir das doch egal sein. Aber so bekomme ich evtl. ne Warnung vor einer Gefahr, die gar nicht mehr besteht. Und was ist, wenn andere Hacker dieselben Daten haben und die entdeckt werden? Werde ich dann schon wieder gewarnt "weil Hacker meine Daten haben"?

 

[Klueze]

So jetzt mal für alle: Selbst wenn ihr eine mail bekommt muss das nicht zwangsweise heißen das ihr betroffen seid. Sehr wahrscheinlich ist man eben nicht betroffen wenn man für seine Mail ein einzigartiges Passwort verwendet! Wenn ihr doch angst habt, ändert einfach euer Passwort für eure Mailkonten auf ein einzigartiges und ihr seit das Problem los.

Schade das genau das nirgends steht.

 

[Häschen]

Bin nicht betroffen, ich öffne aber auch keine Passwort loggers oder installiere irgendwelche merkwürdigen Programme/toolbars.
Angeln lass ich mich auch nicht

 

[SuperDaniel]

bin auch bei gmx betroffen, da bin ich ja mal gespannt ob noch nähere angaben kommen woher die daten stammen, den die mail nutze ich eigentlich kaum noch

ich würde es viel besser finden wenn die auch die Daten mitschicken würden, den dieses Passwort kann nur abgepisht sein oder es kommt direkt von gmx, den sonst müssten ja auch die anderen mails betroffen sein

 

[Muerti]

Meine SPAM Email Adresse von Yahoo ist betroffen.
Die anderen Adressen sind nicht in der Liste(auch andere PW). Jetzt wären Infos nützlich wie die Passwortlisten erstellt wurden....

 

[deo]

Dieser E-Mail Test verunsichert und wiegt in trügerische Sicherheit.
Die Mails von den Providern sind nicht vollständig. Was ist zum Beispiel mit Yahoo und Gmail?
Der BSI tut so, als würden Deutsche nur deutsche Anbieter nutzen.

 

[|SoulReaver|]

Die meisten User sind selber schuld. Allein wenn ich in meinem Umkreis schau was für bescheuerte Passwörter da aus Dummheit und Faulheit verwendet werden wundert mich gar nichts. Ich selber habe 5 E-Mail Accounts alle mit guten Passwörtern und nie wo das selbe. Spieleaccounts Forum alles mit einem Extrapasswort die ich alle im Kopf habe. Sicherheithalber auf einem Blatt Papier notiert und nicht wie manche "Schlauberger" auf dem PC . Keine Passwörter im Browser speichern. Und wenn man das mal beachtet ist man ich denke gut sicher. Scheißt man sich selbst nichts im Netz nützt auch das nichts so ist es eben........

 

[Herdware]

Bin nicht betroffen, ich öffne aber auch keine Passwort loggers oder installiere irgendwelche merkwürdigen Programme/toolbars.

Es reicht ja, wenn die einen Battle-Net oder Steam-Account hast, oder einen bei Amazon oder Youtube/Google usw. und irgendeiner dieser Anbieter wird gehackt. Ich glaub nicht, dass die 18 Millionen einzelne E-Mailanwender gehackt oder abgephisht haben.

Eigentlich sollte man annehmen, dass die Anbieter von Onlinediensten die Passwörter nicht speicher, bzw. nur hash-Werte, aber das scheint offensichtlich nicht überall der Fall zu sein, sonts gäbe es nciht imemr wieder solche Fälle.

Die einzige Sicherheit ist, überall einzigartige (und sichere) Passwörter zu benutzen, so dass wenigstens immer nur ein Account kompromitiert ist. Aber das ist schon eine ziemliche Denksportaufgabe sich so viele Passwörter zu merken, weil man heutzutage ja schnell ein Dutzend davon zusammen bekommt.

@|SoulReaver|
Ich bewundere dich für dein Gehirn. Du hattest es bestimmt auch sehr leicht in der Schule.
Mir fällt es leider nicht so leicht, mir dutzendweise verschiedene Passwörter, die man teilweise nur alle paar Monate mal braucht, auswendig zu merken.

Ich hab jetzt zwar auch überall verschiedene Passwörter, aber mit einem bestimmten System zusammengestellt, damit ich sie mir selbst wieder herleiten kann. (Naheliegenderweise verrate ich das System lieber nicht. )
Sollte ein Hacker zwei oder drei meiner Accountdaten haben, könnte er sich deshalb leicht auch alle anderen Passwörter ableiten. Aber ich hoffe mal, dass bei solchen Mengen an gestohlenen Daten kein Hacker mehr von Hand alles durchprobiert und gegebenenfalls intelligent abwandelt, sondern das nur automatisiert abläuft und bei einer nicht funtkionierenden Kombination einfach zum nächsten Datensatz/Opfer übergegangen wird.

 

[Adam Gontier]

Besser wäre es in so einer Situation ohnehin sich einfach eine neue eMail-Adresse anzulegen.

Natürlich ist es mit großem Aufwand verbunden, nur ist der nicht viel größer als überall sein Passwort zu ändern und man ist am Ende zumindest für ne Zeit lang "viel" sicherer unterwegs.

Außerdem kann man mit im selben Moment aufräumen und sich von nicht "mehr glaubwürdigen" Seiten (Adobe, Mindfactory, ..) trennen, falls man deren Dienste nicht mehr nutzt.

 

[Jan]

Artikel-Update: E-Mail-Adressen von Anwendern, die in Folge des ersten Falls per Sicherheitstests informiert wurden, wurden aus der Datenbank entfernt. Sollten Anwender unter derselben E-Mail-Adresse erneut positiv getestet werden, bedeutet dies, dass die Identität auch im 2. Fall entwendet worden ist. Das BSI erklärt:

Die E-Mail-Adressen der bereits im Rahmen des ersten Falls (Januar 2014) benachrichtigten Betroffenen wurden mittlerweile aus dem Sicherheitstest entfernt. Wenn Sie nun erneut testen und wiederum eine Nachricht vom BSI bekommen, sind Ihre Daten auch im neuen Datensatz (April 2014) enthalten gewesen und Sie sollten die empfohlenen Sicherheitsmaßnahmen erneut umsetzen.

Das BSI rät in diesem Fall, die Passwörter erneut zu wechseln, da nicht festgestellt werden kann, ob die Identität im zweiten Fall vor oder nach dem letzten Wechsel des Passwortes entwendet worden ist.

 

[Jan]

Hä was bringt es den neuesten Fund in den bestehenden Selbsttest zu integrieren? Angenommen man war im Dezember schon betroffen und hat seine Daten bereits geändert, woher soll man wissen, wenn eine Bestätiungsmail vom BSI kommt, ob die nun für den ersten oder den aktuellen Fund gilt?

Gute Frage. Ist per Update geklärt.

 

[Helge01]

@Herdware

Ich würde grundsätzlich zu einem Passwort Safe (Keepass2, KeepassX) raten. Da muss man sich nur ein gutes langes Passwort merken.

 

[Herdware]

Besser wäre es in so einer Situation ohnehin sich einfach eine neue eMail-Adresse anzulegen.

Natürlich ist es mit großem Aufwand verbunden...

Viel Aufwand ist untertrieben. Das wäre ungefähr so kompliziert, wie sein primäres Giro-Konto (da smit den Gehaltseingängen) zu wechseln. Die Banken wissen schon, warum sie entsprechende Lockangebote machen. Wenn jemand erstmal dieses Konto bei der Bank hat, bleibt der da auch, solange es irgendwie erträglich ist. Einfach weil Wechseln ein totaler Krampf wäre.

Bei der E-mail-Adresse ist es heutzutage praktisch genauso.

@Herdware

Ich würde grundsätzlich zu einem Passwort Safe (Keepass2, KeepassX) raten. Da muss man sich nur ein gutes langes Passwort merken.

Ich habe mit dem Gedanken gespielt, aber es wäre mir doch einfach zu umständlich. Ich müsste den Passwort-Manager auf einen USB-Stick packen, den ich immer mit mir herum trage. Den dann jedes mal in den entsprechenden Computer einstecken, das Masterpasswort eingeben, das entsprechende Passwort heraussuchen usw., nur damit ich mich irgendwo einloggen kann. Da probiere ich es erstmal so, mit den hergeleiteten Passwörtern.
Vielleicht ändere ich meine Meinung dazu, falls ich wirklich mal Opfer werde und es richtig weh tut.
Wobei es ja zum Glück bei den Dingen, wo es besonders gefährlich wäre, noch zusätzliche Hürden gibt. Z.B. die TANs (aus Generator) beim Onlinebanking oder dass man im Onlineshop auch noch Kreditkartendaten wissen müsste usw.

 

[Daedal]

Der klau von Email Zugangsdaten ist bei weitem noch kein Identitätsdiebstahl. Oder laufen jetzt 3 Millionen Leute mit gefälschten Pässen und Personalausweisen herum? Man kann auch übertreiben...andere berichten da seriöser und korrekt.

 

[KillingJoke]

toll war auch betroffen, habe heute email von Provider und die vom BSI erhalten, habe schon am Freitag reagiert und Passwörter geändert und heute die nicht so "wichtigen"

Allerdings habe ich auch keine Malware oder Virus auf dem Rechner, aber immer der User ist schuld. Idioten!

Solange die ihre Server nicht im Griff haben kannste 500 Stellen als Passwort nehmen, bringt dann eh nichts.

Gruss KJ