Paypal Mail mit Bitte das Passwort zurück zu setzen.

[JX666]

wichtig ist, die Zwei-Faktor-Authentifizierung zu nutzen, habe ich zB bei Paypal per SMS!

Da würde ich zustimmen, allerdings stellt SMS eine eher suboptimale Möglichkeit eines 2FAs da. Ich würde zu einem TOTP Verfahren mit entsprechender App raten.

Viele Grüße

 

[andy_m4]

Das ist nichts ungewöhnliches bei PayPal, meist wenn ungewöhnliche Aktivitäten festgestellt worden.

Ist aber eigentlich idiotisch von Paypal. Weil seit Jahren versucht man den User entsprechend zu sensibilisieren. In dem verschiedenste Webdienste wegen Phishing immer wieder als Policy ausgeben: Wir werden Dich niemals wegen Passwörtern usw. fragen. Wenn da was ist, dann -> Red Flag

Und die Benutzer haben das brav gelernt (wie ja auch der vorliegende Fall zeigt).

Und da fängt Paypal dann tatsächlich an, echte Mails zu verschicken so das der User verunsichert ist und nun eben nicht mehr eindeutig klar ist, das solche Dinge Phishing-Versuche sind (wie der vorliegende Fall zeigt).

 

[s1ave77]

entsprechender App raten.

Nichts gegen Aegis, aber alternativ mal AuthenticatorPro (geistiger Nachfolger von andOTP [R.I.P.]) anschauen.

Ist FOSS, sieht modern aus (mit hervorragendem Darkmode), läßt sich vielseitig anpassen, kann von einigen anderen Tools importieren und besitzt die Möglichkeit lokale (verschlüsselte) Backups anzulegen.

 

[Darkman.X]

Beide sind gut, ich hatte sie vor ca. 12 Monaten mal getestet. Ich blieb aber dann bei Aegis hängen, weil man sich dort den Secret-Key anzeigen lassen kann, falls man sich die Keys nachträglich z.B. in einem Passwort-Manager sichern möchte.
Ja, sicherheitstechnisch ist es nicht toll, die Secret-Keys sich doch wieder auf dem PC zu sichern, aber ich fürchte mich vor der Situation, bei der ich mich irgendwo einloggen muss und mein Handy nicht griffbereit ist (defekt, Akku leer, verloren).

 

[s1ave77]

Ja, sicherheitstechnisch ist es nicht toll, die Secret-Keys sich doch wieder auf dem PC zu sichern, aber ich fürchte mich vor der Situation, bei der ich mich irgendwo einloggen muss und mein Handy nicht griffbereit ist

Bei AuthenticatorPro mache ich regelmäßige lokale (AES-verschlüsselte) Backups des Telefons, die kann ich auch auf dem Tablet wiederherstellen. So habe ich immer 2 Geräte zur Wahl, recht beruhigend .

 

[JX666]

Nichts gegen Aegis, aber alternativ mal AuthenticatorPro (geistiger Nachfolger von andOTP [R.I.P.]) anschauen.

Ist FOSS, sieht modern aus (mit hervorragendem Darkmode), läßt sich vielseitig anpassen, kann von einigen anderen Tools importieren und besitzt die Möglichkeit lokale (verschlüsselte) Backups anzulegen.

Ah cool, vielen Dank für die Verlinkung von Authenticator Pro. Die TOTP App kannte ich bisher noch nicht, sieht aber tatsächlich vielversprechend aus Mit Aegis kannst du aber auch verschlüsselte Backups anlegen, vondaher würde ich sagen, dass es nicht unbedingt ein Alleinstellungsmerkmal von Authenticator Pro ist.

Beide sind gut, ich hatte sie vor ca. 12 Monaten mal getestet. Ich blieb aber dann bei Aegis hängen, weil man sich dort den Secret-Key anzeigen lassen kann, falls man sich die Keys nachträglich z.B. in einem Passwort-Manager sichern möchte.
Ja, sicherheitstechnisch ist es nicht toll, die Secret-Keys sich doch wieder auf dem PC zu sichern, aber ich fürchte mich vor der Situation, bei der ich mich irgendwo einloggen muss und mein Handy nicht griffbereit ist (defekt, Akku leer, verloren).

Eventuell habe ich einen Denkfehler, aber wieso machst du nicht einfach ein Backup deiner Aegis Datenbank? Oder hast du mehr Bedenken, dass du dann tatsächlich kein zweites Endgerät (Smartphone, Tablet etc) zur verfügung hast, womit du die Datenbank öffnen/auslesen kannst?

Bei AuthenticatorPro mache ich regelmäßige lokale (AES-verschlüsselte) Backups des Telefons, die kann ich auch auf dem Tablet wiederherstellen. So habe ich immer 2 Geräte zur Wahl, recht beruhigend .

Wie meinst du das? Machst du dann von deiner AP Datenbank ein Backup oder von deinem gesamten Telefon?

Viele Grüße

 

[s1ave77]

Machst du dann von deiner AP Datenbank ein Backup

Ja, das meinte ich, nicht das ganze Phone .

 

[JX666]

Das macht tatsächlich auch mehr Sinn Full Backup für Phones gibt es auch nicht, oder?

 

[s1ave77]

Full Backup für Phones gibt es auch nicht, oder?

Geht nur mit Root-Rechten, sonst hat die App keinen ausreichenden Zugriff.

 

[JX666]

Das macht Sinn, das geht, könnte ich mir vorstellen, aber nur mit Custom-Roms und/oder TWRP oder?
Nutzt du ein Custom-Rom?

Edit: Viel offtopic, sorry

 

[s1ave77]

Nein, ein per ADB entschlacktes Xiaomi-Original (keine Hersteller Apps in Nutzung). Ist mir zu aufwändig Katz-und-Maus mit Banking-Apps und Co zu spielen, um den Root zu verstecken.

Custom ROM ist nicht zwangsläufig von nöten, gibt oft auch Wege das Original ROM zu rooten (wenn entsperrt und Recovery [TWRP und co.] installiert).

 

[cee_en]

Ist aber eigentlich idiotisch von Paypal. Weil seit Jahren versucht man den User entsprechend zu sensibilisieren. In dem verschiedenste Webdienste wegen Phishing immer wieder als Policy ausgeben: Wir werden Dich niemals wegen Passwörtern usw. fragen. Wenn da was ist, dann -> Red Flag

Sollen Sie den User etwa nicht darüber informieren, dass das Passwort aus Sicherheitsgründen geändert werden muss? Ist halt eine vertrackte Situation. Und sie fragen ja nicht nach dem Passwort direkt.

 

[andy_m4]

Sollen Sie den User etwa nicht darüber informieren, dass das Passwort aus Sicherheitsgründen geändert werden muss? Ist halt eine vertrackte Situation.

Ja. Die Situation ist vertrackt. Allerdings ist ja auch die Frage, wie es so weit kommen konnte das man das Passwort ändern muss. Kann ja nur sein, wenn das entwendet wurde oder dergleichen. Da hat PayPal wohl anscheinend sein Job nicht gemacht.
Aber wenn man schon Mails verschickt, dann bringt man da keine anklickbaren Links unter, sondern ermuntert den Nutzer sich dort via ihrem eigenen Lesezeichen auf deren Webseite einzuloggen.
Witzigerweise geben die das sogar auf ihrer eigenen(!) Webseite an:
https://www.paypal.com/de/webapps/mpp/paypal-safety-and-security (siehe: Betrügerische E-Mails)
Und dann packen sie aber Links in ihre eigenen Mails?

 

[cee_en]

Kann ja nur sein, wenn das entwendet wurde oder dergleichen. Da hat PayPal wohl anscheinend sein Job nicht gemacht.

Das Passwort muss nicht entwendet wurden sein. Und PayPal hat da auch keinen schlechten Job gemacht, oder glaubst du echt, dass PayPal die Passwörter im Klartext speichert? Und für z.B. Loginversuche brauche ich nur eine E-Mail-Adresse und kann dann rumprobieren.

Das die Situation mit der E-Mail nicht ideal ist habe ich ja bereits geschrieben.

 

[andy_m4]

Das Passwort muss nicht entwendet wurden sein.

Na dann sag mir doch, was denn das potentielle Problem sein kann.

Und für z.B. Loginversuche brauche ich nur eine E-Mail-Adresse und kann dann rumprobieren.

Naja. (Erfolglose) Loginversuche allein begründen ja noch keine Passwortänderung.

 

[cee_en]

@andy_m4

Da weder du noch ich Einblicke in die Sicherheitsvorkehrungen von PayPal haben werden wir die konkrete Antwort sowieso nicht finden.

Ich kann nur aus eigener Erfahrung sprechen und das mein damals genutztes Passwort entwendet wurde halte ich für sehr unwahrscheinlich.

Aber als Betreiber würde ich erfolglose Loginversuche, die vielleicht noch in sehr kurzer Zeit von verschiedenen IPs und/oder Geräten passieren, schon als Risiko einstufen und dann den User dazu auffordern, dass Passwort zu ändern.

 

[andy_m4]

Da weder du noch ich Einblicke in die Sicherheitsvorkehrungen von PayPal haben werden wir die konkrete Antwort sowieso nicht finden.

Dennoch kann man überlegen, was ein triftiger Grund dafür wäre. Wenn einem keiner einfällt und Paypal macht es trotzdem, dann ist das schon mal nicht so gut.

Aber als Betreiber würde ich erfolglose Loginversuche, die vielleicht noch in sehr kurzer Zeit von verschiedenen IPs und/oder Geräten passieren, schon als Risiko einstufen und dann den User dazu auffordern, dass Passwort zu ändern.

Aus welchem Grund denn?

 

[FaulerFranz]

https://stadt-bremerhaven.de/virust...er-die-sicherheitsplattform-von-google-nutzt/

Ich vermute mal daher.