Windows-Passwort als Schutz vor Hackern?

[Martinus33]

Hallo,
ich habe gelesen, dass beim Schutz seiner Websites neben all den Sachen rund um Hoster, htaccess, Datenbank usw. oft der eigene PC vergessen wird. Was hilft der sicherste Hoster, SSL usw., wenn alle Passwörter auf dem Desktop in der Datei "meine-passwörter" liegen und noch nicht mal ein Virenscanner vorhanden ist...

In diesem Sinne wird in dem Artikel dann auch das System-Passwort erwähnt, also in meinem Fall das von Windows. Ich habe gar keines, weil "physisch" nur ich Zugang zum PC habe. Ich lebe alleine, der PC steht zu Hause. Da hatte ich keine Lust, mich morgends jedes Mal mit einem kryptischen langen PW anmelden zu müssen.

Wäre ein solches Windows-Passwort in meinem Fall dennoch ein wirksamer Schutz vor Hackern, die "online" Zugang erzwingen wollen zum PC? Ich dachte immer, am Windows-PW müssen die im Regelfall eh nicht vorbei??

 

[Jasmin83]

wenn du eh nur spiele spielen willst und sonst nichts mit dem computer machst, ist das sowieso alles sinnfrei.. das systempasswort bringt nur was, wenn andere personen zugang zu deinem rechner haben oder sich von außerhalb einwählen wollen. ansonsten wenn du erstmal angemeldet bist und jemand versucht dann auf deinen pc zuzgreifen ists gar nicht mehr so schwer.. sinnvoller wäre eine passwortabfrage, jedesmal bevor du was installieren willst

 

[chr1zZo]

Für ein Windows Passwort brauch ich nicht mal 2min um es zu Hacken. Und Datenbanken und co, dafür gibt es Bruteforce, auch ne Minuten Sache. Du kannst dir daher gerne ein Passwort legen, aber bist nur gegen Otto Normal Spione gesichert. Festplatten verschlüsseln wäre noch etwas.

 

[dude90]

Man speichert auch keine Passwörter in einer unverschlüsselten Datei.
Die richtigen Profis nehmen Stift und Papier und kleben Zettel überall auf den Bildschirmrand.

Ich glaube auch da ging es eher um Linux/Unix.
In Windows gibt es doch gar keine Passwortabfrage bei Programmen die Admin Rechte benötigen. (bzw. eine Rechteverwaltung gibt es erst Recht nicht)
Da kommt doch nur das komische Fenster bei dem sowieso jeder einfach auf weiter klickt.
Bei Linux kommt stattdessen eine Passwortabfrage.

Und so lange du keinen Serverdienst wie SSH oder ähnliches, bei dem man sich aus der Ferne auf deinem Rechner einloggen kann hast, ist es eigentlich auch egal.
Falls du so etwas hast, wäre ein sicheres Passwort angebracht, denn sonst kann jeder den aktiven User wechseln wie er lustig ist und auf alles zugreifen.

Und Datenbanken und co, dafür gibt es Bruteforce, auch ne Minuten Sache. Du kannst dir daher gerne ein Passwort legen, aber bist nur gegen Otto Normal Spione gesichert. Festplatten verschlüsseln wäre noch etwas.

Bitte was?
Denkst du jeder Hacker hat den CIA Hauptserver von Langley Zuhause stehen?
Per Brute Force in Minuten geknackt.
Aber Festplatten verschlüsseln mit genau dem selben Algorithmus soll plötzlich sicher sein?

 

[okni]

Ne das Windows-Passwort kannst du dir sparen, habe ich auch noch nie auf meinen Stationären Rechnern verwendet, anders bei dem Notebook da verwende ich eines.

 

[Martinus33]

Nicht nur Spiele, ich bin damit jeden Tag im Web unterwegs, privat und beruflich, auch WLAN-verbunden.

Bei Wordpress gibt es für alles Plugins, bestimmt auch gute, die den Login auf z.B. max. 10 Versuche beschränken. Na ja, echte Profis schaffen es immer irgendwie, aber ich glaube nicht, das es die auf mich abgesehen haben. Es geht mir mehr um das übliche, vollautomatische Hacken online, wo Programme die Schwachstellen suchen.

Wie gesagt, es geht um ONLINE-Hacking.

 

[purzelbär]

Windows Passwort verwende ich auch keines und eine Datei mit meinen Benutzerkonten und Passwörtern kommt mir nicht auf die Festplatte und schon gleich gar nicht auf die Windows Partition. Die Datei mit den Benutzerkonten und Passwörtern ist auf einem USB Stick und der wird nur dann angeschlossen und die Datei geöffnet wenn ich ein Benutzerkonto und/oder Passwort brauche. Danach wird der USB Stick wieder entfernt. Wichtiger ist das du ein Virenschutz Programm verwendest, dich vergewissert hast das dein Windows nicht infiziert ist(mit mind. 2 verschiedenen Scanern überprüfen)und das deine Programme, Browser, AddOns usw stets aktualisiert sind.

Was hilft der sicherste Hoster, SSL usw., wenn alle Passwörter auf dem Desktop in der Datei "meine-passwörter" liegen und noch nicht mal ein Virenscanner vorhanden ist...

Das lässt mich aufhorchen......sag mir jetzt bitte nicht das du unter Windows kein Virenschutz Programm verwendest

 

[fliger5]

Für ein Windows Passwort brauch ich nicht mal 2min um es zu Hacken. Und Datenbanken und co, dafür gibt es Bruteforce, auch ne Minuten Sache. Du kannst dir daher gerne ein Passwort legen, aber bist nur gegen Otto Normal Spione gesichert. Festplatten verschlüsseln wäre noch etwas.

Erklär mal bitte. 2min egal wie lang das Passwort ist?

Und Bruteforce ist vllt bei einem 6 stelligen Passwort ne Minutensache.

 

[Hc-Yami]

Zurücksetzen reicht doch:
http://www.chip.de/downloads/Offline-NT-Password-Registry-Editor_38788134.html

 

[Kamikazedoc]

Windows-Passwort kann man leicht aushebeln, musstes schon 2x bei Freundinnen machen, weil die Damen sich aus ihrem System ausgesperrt haben. Anleitungen finden sich kiloweise im Netz, einfach mal googlen.

Bruteforce bei nem ordentlichen (langen) Passwort dauert schon ne Weile, wenn man viele Kombinationen durchgehen muss.

 

[Martinus33]

@purzelbär:
Nee, keine Sorge, ich mache das genauso wie du. Das war nur ein hypothetisches Extrem-Beispiel.

darthbomber, Hc-Yami:
Das betrifft aber den Fall, dass man vor dem PC steht, oder?

Noch mal, mir geht es ausschließlich um den Online-Zugang auf einen PC, der munter genutzt wird für alle denkbaren privaten und beruflichen Zwecke.

Wenn ich es richtig verstehe, ist das Grundproblem, dass es halt nur ein einfaches PW ist. Ein einfacher PW-Schutz, das kann offenbar jeder allein mit Googles Hilfe in kurzer Zeit knacken bzw. mit entsprechender SW. Sehe ich das richtig?

 

[okni]

Noch mal, mir geht es ausschließlich um den Online-Zugang auf einen PC, der munter genutzt wird für alle denkbaren privaten und beruflichen Zwecke.

Wenn du neben der Windows Firewall ein gescheites AV-Programm benutzt, wo auch ein guter Freewarescanner ausreicht, und dazu immer regelmäßig Windows und die sonstigen Programme aktuell durch Updates hältst und nicht im Internet jeden Mist anklickst und herunterlädst, und im Browser einen Adblocker verwendest, dann bist du meiner Meinung recht gut geschützt auch ohne Windows-Passwort.

Aber einen 100 % Schutz gibt es nicht solange du mit dem Internet verbunden bist, du kannst nur durch die oben genannten Maßnahmen die Risiken minimieren.

 

[Kamikazedoc]

darthbomber, Hc-Yami:
Das betrifft aber den Fall, dass man vor dem PC steht, oder?

Was mein Beispiel betrifft, setzt es die physische Anwesenheit am jeweiligen Rechner voraus, ja.

 

[Martinus33]

Dass Sicherheit immer ein Mosaik ist und alleine ein Win-PW keine Wunder bewirkt, war mir klar. Dass das Gesamturteil so vernichtend ausfällt, hat mich aber nun doch etwas überrascht.

Würde es ein wenig was bringen, hätte ich mir vielleicht ein kompliziertes PW über 100 Stellen zurechtgelegt, auf einem Stick gespeichert und dann vor dort immer reinkopiert beim Win-Login.
Aber wie soll ich den Stick öffnen und von dort kopieren, wenn ich noch kein Win habe? Und wenn es eh nur "1%" mehr Sicherheit bringt...

Dann weiter wie bisher, guter Virenscanner, autom. Win-Updates, keine PW auf dem PC gespeichert, "Kopf ein" im Internet ect. müssen dann reichen.

 

[M@rsupil@mi]

Wichtiger als irgendwelche "Sicherheitssoftware", die im Fall der Fälle eh was durchlässt, ist es IMO einen Account zu verwenden, der KEINE Admin-Rechte hat.

 

[purzelbär]

Dann weiter wie bisher, guter Virenscanner, autom. Win-Updates, keine PW auf dem PC gespeichert, "Kopf ein" im Internet ect. müssen dann reichen.

Das tut es in der Regel auch. Eines vielleicht noch: wenn du hinter einem Router sitzt: verwende nie das Standard Passwort des Herstellers des Routers sondern erstelle ein eigenes Passwort für den Router das nur du kennst. Und wenn du W-Lan verwendest sollte es natürlich die WPA 2 Verschlüsselung sein denn es gibt leider noch Menschen die denken die einfachere WEP Verschlüsselung wäre sicher genug.

 

[Daaron]

Bei Wordpress gibt es für alles Plugins, bestimmt auch gute, die den Login auf z.B. max. 10 Versuche beschränken.

Das Blöde ist: ein erschreckend großer Anteil der Top50 - Plugins für Wordpress öffnet gravierende Sicherheitslücken. Egal was die Dinger versprechen, im Zweifel reißen sie ein Loch ins System, durch das jeder halbgewalkte Angreifer einfach reinspazieren kann.

..und eine Datei mit meinen Benutzerkonten und Passwörtern kommt mir nicht auf die Festplatte und schon gleich gar nicht auf die Windows Partition.

Doch, kann man wunderbar machen, wenn die Datei entsprächend verschlüsselt ist. OpenOffice/LibreOffice bietet sich hier an, die verschlüsseln mit AES256, was zum aktuellen Zeitpunkt schlichtweg nicht knackbar ist.

Wenn ich es richtig verstehe, ist das Grundproblem, dass es halt nur ein einfaches PW ist. Ein einfacher PW-Schutz, das kann offenbar jeder allein mit Googles Hilfe in kurzer Zeit knacken bzw. mit entsprechender SW. Sehe ich das richtig?

Das Knacken des Windows-Passworts erfordert physischen Zugang zur Festplatte. Wenn du selbigen Zugang hast, dann brauchts nichts anderes als ne Linux LiveCD und ein bisschen Basis-Wissen. Im Endeffekt gehts darum: Im Login-Screen ist ein Knopf für die Eingabehilfe (Rollstuhl). Die damit gekoppelte Funktion musst du umlenken und ne Admin-Konsole öffnen....
Ein Windows-Passwort von außen zu knacken geht hingegen nicht ohne BruteForce, und das dauert.

Da ein Windows-Passwort dir bei deinem Problem aber eh nicht wirklich helfen würde... Wenn dein Rechner an ist, dann bist du ja höchstwahrscheinlich auch eingeloggt. Wenn jemand jetzt per Trojaner in dein System eingedrungen ist, kann er eh schalten und walten.

 

[purzelbär]

Doch, kann man wunderbar machen, wenn die Datei entsprächend verschlüsselt ist. OpenOffice/LibreOffice bietet sich hier an, die verschlüsseln mit AES256, was zum aktuellen Zeitpunkt schlichtweg nicht knackbar ist.

Können ja aber ich hab es mir halt so angewöhnt das die Zip Datei mit meinen Passwörtern nix auf meiner Festplatte zu suchen hat und stattdessen auf dem USB Stick ist zu dem nur ich Zugang habe und den nur ich an dann ans System anschliesse wenn ich das will.

 

[Daaron]

USB-Sticks, bzw. Flash-Speicher allgemein, verfallen mit der Zeit. Gerade USB-Devices sind alles andere als zuverlässige Langzeitspeicher. Kann also durchaus sein, dass dein Stick eines Tages nur Datensuppe enthält, wenn du ihn am nötigsten brauchst.

 

[Krik]

Wichtiger als irgendwelche "Sicherheitssoftware", die im Fall der Fälle eh was durchlässt, ist es IMO einen Account zu verwenden, der KEINE Admin-Rechte hat.

Ich sehe das ähnlich. Die Windows-Benutzerrechtesteuerung ist so ausgereift, dass ein Trojaner und ähnliches gar nicht so leicht Admin-Rechte erlangen kann. Davon mal abgesehen sind die durchschnittlichen Hacker nur auf eine Hand voll Programme spezialisiert. Wenn er zB in den Apache oder in einer MySQL-Datenbank einbrechen kann, dann heißt das noch lange nicht, dass er auch an den Sicherheitsmechanismen von Windows vorbeikommt.

Von daher ist kein Verlust, seinen Admin-Account mit einem Passwort zu sichern und im Allgemeinen "nur" ein weniger privilegiertes Konto zu verwenden. Wie oft braucht man die erweiterten Rechte schon?

Jede zusätzliche Hürde - und sei sie noch zu klein - kann sich für einen Angreifer als potentiell unüberwindbares Hindernis herausstellen. Und wenn man dafür nur ein extra Konto anlegen muss, in das man sich vielleicht ein, zwei Mal im Monat einloggen muss, ist das ein vertretbarer Aufwand.