MS-Konto - Anmeldeverhalten

[cumulonimbus8]

Moin!

MS hat mich mit einer Mail ins Schleudern gebracht demnach eine «Ungewöhnliche Anmeldeaktivität für das Microsoft-Konto» aufgefallen wäre.
Weiß ich nichts von. Jedenfalls folge ich dem Link zu MS und soll mich im Web anmelden. Danke, dass dazu eine 2FA erzwungen wird… Wie auch immer spinnt da was und ich komme aus der Sackgasse ein neues Passwort festzulegen nicht raus 😟 Und das Alte als Neues wieder zu aktivieren geht nicht ja es ja alt wäre 😠.

Nach geraumer Zeit meint Skype ich wäre nicht angemeldet (Rechner 2). Dass es das neue Passwort will nehme ich hin, aber so lange im Schwebezustand (beide Rechner)?
Das eigentliche Konto am System hat bisher noch nicht Laut gegeben. Unlogisch. Da bei mir Update nur manuell geht (auch unlogisch…) habe ich dieses vorhin angestoßen. Mit Reboot. Skype an Rechner 1 will das Passwort. OK. Und dann kommt doch glatt wieder so eine beklopptem Mail wie oben! Wieder all den 2FA-Zirkus durchziehen. Alles in Ordnung.

Nun die Frage die mir Sorgen macht: ich verwende ein MS-Konto für WIN, automatisches Login. Warum wird dort nicht als allererstes das neue Passwort verlangt?
Warum scheint das Konto korrekt angemeldet? Nur weil ich das in Skype tat?

Mit anderen Worten - würde ich willentlich das Passwort ändern um Fremde abzublocken schient das nicht durchzuschlagen. Gerade bei so einer seltsamen Mail.
Was geht hier vor bei MS, das so sehr mit der Sicherheit tönt?

CN8

 

[Tevur]

Also bei dem Titel der Mail klingeln bei mir alle Phishing-Alarmglocken...

 

[cumulonimbus8]

Nope, die ist sicher von MS.
Weil - wäre nicht die erste an diese spezielle Adresse.
Nur eben hatte bei der vorigen die MS-Site durchgedreht und mir ein anderes Passwort abgepresst. Bloß wenn - warum werden dann nicht auch alle Logins sofort neutralisiert?

CN8

 

[.one]

Als zahlender Kunde kommt man das Telefon in die Hand.

 

[cumulonimbus8]

Na, ich zahle wie jeder andere - indirekt. Aber was sollte ich da am Telefon erfahren?
Ich muss[te] das PW wechseln, aber das hat außer dem neuen keine wirklichen unmittelbaren Auswirkungen. Geht so Sicherheit?

CN8

 

[Wilhelm14]

Ich nutze ein lokales Konto, kann das also nicht mit Sicherheit bestätigen. Aber wenn man ein "Online-Konto" für die Windows-Anmeldung nutzt, ist das nicht gleich für One Drive, Skype, Store,... mit zuständig? Ich hätte ja gedacht, dass genau darin der Vorteil eines Online-Kontos bestünde. Und wenn du in Skype Rechner 1 das Passwort geändert hast, ist das vielleicht für alles andere gleich mit geändert. Das sollte ja immer derselbe Benutzer/Passwort sein. Die Dienste melden sich nicht mit verschiedenen Konten an.

PS: Was heißt geraumer Zeit? Leerlauf oder konntest du nach Passwortänderung noch Skypen? Dass das Passwort nicht mehr stimmt, merkt der Dienst vielleicht erst, bei der nächsten Benutzung.

 

[cumulonimbus8]

Das sollte so weit zutreffen.
Nur - dann hätte Rechner 1 (auf 2 wurde das Drama angestoßen) nicht bei Skype nachfragen dürfen.
Ich fress’ nicht, dass ich PW ändere und die mir von MS um die Ohren gehauene Sicherheit nicht greift und alles Angemeldete abmeldet.

CN8

 

[Terrier]

Was sollen wir nun tun?
Diese Meldung gibt es ja nun schon seit zig Jahren und Infos auch im Web.
Warst du es der sich z.B. von einem anderen Gerät an einen anderen Ort angemeldet hat oder warst du es nicht, ist doch die Frage.
https://www.verbraucherschutz.com/n...to-team-ist-die-nachricht-echt-oder-phishing/

Hat alles seine Richtigkeit, Sie haben sich beispielsweise am Urlaubsort im Ausland eingeloggt oder ein anderes Gerät verwendet, können Sie die Benachrichtigung löschen. Sind Sie nicht der Auslöser dieser Meldung, sollten Sie unbedingt darauf reagieren. Schließlich kennt ein unbekannter Dritter Ihr Passwort für das Microsoft-Konto.

Ich war es bisher immer und habe die Meldung gelöscht.

Mit Skybe habe ich allerdings nichts am Hut, aber die Threads im Web die ich gesichtet habe von 2014 bis heute auch nicht alle.

 

[cumulonimbus8]

Warst du es der sich z.B. von einem anderen Gerät an einen anderen Ort angemeldet hat oder warst du es nicht, ist doch die Frage.

Das ist nicht die Frage.
Die Frage ist warum Passworte so inkonsistent abgefragt werden!

CN8

 

[Wilhelm14]

Ich fress’ nicht, dass ich PW ändere und die mir von MS um die Ohren gehauene Sicherheit nicht greift und alles Angemeldete abmeldet.

Welche Sicherheit? Skype war doch abgemeldet, oder? Konntest du denn nach Passwortänderung noch Skypen oder E-Mails abfragen usw.? Wenn man das E-Mail-Passwort ändert, merkt man das ja auch erst, beim nächsten Versuch abzurufen.

Edit: Wenn Skype nach dem Reboot erst das neue Passwort haben will, hätte sich beim Reboot eigentlich der Nutzer gar nicht bei Windows anmelden können? Meinst du das?
Edit 2: Ich weiß auch hier nicht. Aber geht das nicht auch irgendwie mit Token usw. und da war noch einer gültig. Oder für den Fall, dass das Internet ausfällt und man doch noch lokal den Rechner an bekommt.

 

[cumulonimbus8]

Ich änder das PW. Skype war währenddessen angemeldet! Und hat sich erst nach - keine Ahnung, 20 Minuten? - abgemeldet.
An Rechner 1 tat sich nichts dergleichen - bis zum Reboot wegen Update.
Das gibt alles keinen Schuh - wen MS so laut Sicherheit predigt! (Um meine Sicherheit besorgt sein will.)

Mailpassworte sind ja nun auch keine Systempassworte..!

CN8

 

[Terrier]

Ich verstehe nicht, was du meinst.
Wenn man ein Passwort eingerichtet hat, was den Sicherheitsanforderungen entspricht, dann kann sich auch kein Fremder einloggen, egal ob für Skybe oder für das MS Konto.
Microsoft merkt in 1. Linie nur, ob man sich von einem anderen Gerät (Bekannte) oder anderen Ort ( im Urlaub) einloggt.
Genau dann bekommst du diese Benachrichtigung zur Sicherheit.
Da hat sich dann je normal kein anderen eingeloggt.
Da brauche ich auch nicht andauernd mein sicheres Passwort ändern.
Du sollst entscheiden, kontrollieren und sicherstellen, dass dein Passwort auch wirklich sicher ist.

Wenn also wirklich dein Passwort geknackt wurde von einer Fremden Person, dann war es auch kein sicheres Passwort.
Microsoft kontrolliert nicht persönlich dein Passwort.

 

[cumulonimbus8]

Ich verstehe nicht, was du meinst.

Dann lies was im Eingangspost steht! Unten steht die Frage.

«Wenn man ein Passwort eingerichtet hat, was den Sicherheitsanforderungen entspricht, dann kann sich auch kein Fremder einloggen, egal ob für Skybe oder für das MS Konto.»
Das will ich hoffen. Aber das ändert nichts das ran, dass mir MS Sicherheit um die Ohren haut, ein neues PW abpresst - aber dann keine Anmeldung mit dem Alten unmittelbar cancelled. Das ist gewiss keine Sicherheit für und sorge um mich mit der ich zugeschüttet werde!

«Da brauche ich auch nicht andauernd mein sicheres Passwort ändern.»
MS hat es in Dialogen und mit 2FA geschafft mir ein neues abzupressen. Theoretisch könnte dann, wenn sich das wiederholt, jeder Fremdangriff und mein Nachfassen (die MS-Mail ist ja auch so unheimlich informativ - welche IP, welche Uhrzeit z.B., welches PW) eine neues PW erzwingen. Wahnsinn in Dosen.

CN8

 

[Terrier]

Die Pressen dir nicht jedes Mal ein neues Passwort ab.
Auch wenn die Anleitung nicht für die neuste Windows 10 oder 11 Version geschrieben wurde
https://www.verbraucherschutz.com/n...to-team-ist-die-nachricht-echt-oder-phishing/
Wie in dem Link beschrieben wird, kommt da irgendwo eine Frage wie.

Bestätigen Sie zum Wiederherstellen des Zugriffs, dass Sie die letzte Aktivität selbst ausgeführt haben.

Wenn man da klickt, hat sich die Sache erledigt, auch ohne neues Passwort.

Das MS merkt, wenn man den Ort oder das Gerät wechselt und dich warnt und einen Sicherheitsklick von dir haben möchte ist ja nun nicht unbedingt ein Nachteil.
Ich war es, ich habe die Aktivität selbst ausgeführt. Punkt aus Ende.

 

[cumulonimbus8]

Die Pressen dir nicht jedes Mal ein neues Passwort ab.

Ich bin dem Dialog im Web nicht mehr aus der Sache rausgekommen. Ohne neues PW keine Anmeldung mehr, auch nicht per 2FA - MS mag wissen warum.
Wäre meiner Erinnerung nach nicht das erste Mal; das hier wäre wohl das 4. PW…

CN8

 

[Wilhelm14]

Das will ich hoffen.

Davon kannst du ausgehen. Du hast meine Ausführungen, wenn auch nur Vermutungen, gelesen.
Unsicher wäre es, wenn man 20 Minuten lang nach Passwortänderung noch mit dem alten Passwort etwas machen könnte. Wahrscheinlich war Skype im Idle und hat erst nach 20 Minuten die Verbindung geprüft und gemeckert.

Wenn es nur ein neuer Rechner oder Browser ist, musst du das Konto eigentlich nur bestätigen. Und ja, auch mit 2FA. Das will z.B. Steam, der Spiele-Client auch. Wenn ich an einem fremden Rechner das Konto zum ersten Mal anmelde, schickt mir Steam einen Code als Zweitfaktor an eine E-Mail-Adresse.

Edit: Oder musstest du beim Reboot des zweiten Rechners wieder ein neues Passwort vergeben? Oder doch nur einmalig 2FA durchhampeln?

 

[Giggity]

Ich hab auch eine Mail mit dem gleichen Inhalt bekommen. Login aus den USA via IMAP. Doch das ist jetzt verschwunden bei den Aktiväten.

Ich hab das PW geändert

 

[cumulonimbus8]

Unsicher wäre es, wenn man 20 Minuten lang nach Passwortänderung noch mit dem alten Passwort etwas machen könnte.

Unsicher - so sehr sich sich MS doch im meine Sicherheit bemüht - ist es wenn von einem PW abhängige Loggings nicht mit Passwortänderung abgebochen werden sondern weiter bestehen!
Besonders wenn MS das alles erzwingt.

Edit: Oder musstest du beim Reboot des zweiten Rechners wieder ein neues Passwort vergeben? Oder doch nur einmalig 2FA durchhampeln?

Nein. Rechner 1 wurde rebootet. Keine Frage nach dem Kontopasswort (!!), Skype merkt erst da, dass ein neues PW existiert.


@Giggity
Die Mail ist durchaus echt, aber an sich völliger Murks.
War es doch ein Angriff reicht der Vernunft nach ein Anmelden mit der Angabe «ich wars nicht».

CN8

 

[cloudman]

Aus dem Passwort wird ein token generiert der eine bestimmte Laufzeit hat.
Bevor der token abgelaufen ist bleibt die Session bestehen. Erst danach musst du das neue Passwort eingeben
Wenn du neu bootest oder dich aus Skype abmeldest wird natürlich ein neuer Token erstellt.
Ich sehe da keine Probleme.
Auf einen anderen Rechner kann sich kurz nach der Änderung auch niemand mehr anmelden. Natürlich dauert es vieleicht ein paar Minuten bis alle Server synchronisiert sind.

 

[NotNerdNotDau]

Das ist die übliche Sicherheitsüberprüfung und die kam bei mir auch vor ein paar Tagen.
Ich habe dann die PIN (Zahlen) eingegeben und die Sache war danach erledigt.

Es könnte aber auch durchaus sein, dass man irgendwann zum Ändern des klassischen Kennworts aufgefordert wird. War bei mir allerdings bisher noch nie der Fall.

Nicht auszuschließen ist natürlich, dass tatsächlich irgendwas Krummes über die Zugangsdaten versucht worden ist. Das ist aber nicht explizit aus der Meldung zu erkennen und man könnte es nur vermuten.