BSI Warnung zu gehackten E-Mail Adressen

[tafkas]

Wenn sie keine Email erhalten, ist ihre Emailadresse nicht im Datenbestand.

Wenn ich keine Mail bekomme, woher weiß ich dann

- ob die Mail wegen Überlastung nicht abgeschickt wurde
- schon beim Provider wegen Spam gekippt wurden
- oder warum auch immer nicht ankam

 

[IKWIL]

Ich habe geprüft, das ist nach meiner Meinung das richtige Vorgehen, nichts zu tun ist fahrlässig.

Ab und zu das Passwort zu ändern ist eh nie verkehrt. So eine Meldung sollte einem ggfs. den nötigen Denkanstoss dazu geben. Ein öffentlich weit gestreuter und genereller Hinweis als Sicherheitsbehörde sollte meiner Meinung nach ausreichend sein. Ich sehe keinen Grund, meine sämtliche Emailadressen pauschal mal irgendwo anzugeben (egal unter welchem Deckmantel oder Namen gehandelt wird).

 

[avalon]

Stand in Post #17

Laut BSI sollte die mail innerhalb ein paar Minuten ankommen.

 

[SonOfNyx]

Ich habe geprüft, das ist nach meiner Meinung das richtige Vorgehen, nichts zu tun ist fahrlässig.

Hm, bedingter Einspruch: es stimmt zwar, dass Nichtstun u.U. fahrlässig wäre, allerdings ist die Prüfung nicht zwangsläufig das richtige Vorgehen. Ich bezweifle nach wie vor, dass kompromittierte Rechner hier die Schwachstelle darstellen sollen, insofern wäre ein prophylaktisches Abändern aller Passwörter das sicherste Vorgehen.

 

[avalon]

Ab und zu das Passwort zu ändern ist eh nie verkehrt. So eine Meldung sollte einem ggfs. den nötigen Denkanstoss zu geben. Ein öffentlich weit gestreuter und genereller Hinweis als Sicherheitsbehörde sollte meiner Meinung nach ausreichend sein. Ich sehe keinen Grund, meine sämtliche Emailadressen pauschal mal irgendwo anzugeben (egal unter welchem Deckmantel oder Namen gehandelt wird).

Bei soviel Skepsis würde ich empfehlen den Stecker zu ziehen..

 

[IKWIL]

Bei soviel Skepsis würde ich empfehlen den Stecker zu ziehen..

Ist jetzt ein wenig überspitzt, oder?

Ich bin mir schon bewusst, dass meine Daten im WWW nicht sicher sind und dass ich für Einkäufe meine Daten abgeben muss. Muss ich sie deshalb jedem ohne Grund geben? Wenn er sie haben will, soll er sich halt die Mühe machen, ich kann nur versuchen, ihm die Arbeit nicht abzunehmen bzw. die Arbeit zu erschweren.

 

[avalon]

Hm, bedingter Einspruch: es stimmt zwar, dass Nichtstun u.U. fahrlässig wäre, allerdings ist die Prüfung nicht zwangsläufig das richtige Vorgehen. Ich bezweifle nach wie vor, dass kompromittierte Rechner hier die Schwachstelle darstellen sollen, insofern wäre ein prophylaktisches Abändern aller Passwörter das sicherste Vorgehen.

Einspruch stattgegeben ....

Das abändern der Passwörter hält nur solange, bis so ein Hack wieder passiert...

Ich scheue noch davor zurück, alles zu ändern, weil das auch verdammt viel Arbeit ist...

 

[avalon]

Ist jetzt ein wenig überspitzt, oder? .

Ich bin mir schon bewusst, dass meine Daten im WWW nicht sicher sind und dass ich für Einkäufe meine Daten abgeben muss. Muss ich sie deshalb jedem ohne Grund geben? Wenn er sie haben will, soll er sich halt die Mühe machen, ich kann nur versuchen, ihm die Arbeit nicht abzunehmen bzw. die Arbeit zu erschweren.

Also einen Grund sehe ich schon, selbst in den nachrichten wird davon berichtet.
Und wenn ich dem BSI nicht mehr trauen kann, dann kann ich das Internet in der tat vergessen.
Und außerdem ist das "nur" die Eingabe der email Adresse, die im netz sowieso hundertfach abgelegt ist.

 

[bernie313]

vermutlich bekommt jeder der seine eMail Adresse dort eingibt, von den Schlapphüten, die ehemals die BSI begründet haben, den Bundestrojaner als kostenlose Beigabe.

 

[IKWIL]

Ich scheue noch davor zurück, alles zu ändern, weil das auch verdammt viel Arbeit ist...

Deswegen traust Du lieber einer Mail, deren Richtigkeit Du nicht zu 100% vertrauen kannst? Respekt.

Mit so einer Einstellung hat der Test doch eher was mit Beruhigung des Gewissens zu tun, oder?

 

[avalon]

vermutlich bekommt jeder der seine eMail Adresse dort eingibt, von den Schlapphüten, die ehemals die BSI begründet haben, den Bundestrojaner als kostenlose Beigabe.

Deshalb habe ich alle mailadressen noch cc an die NSA geschickt...

 

[IKWIL]

Und wenn ich dem BSI nicht mehr trauen kann, dann kann ich das Internet in der tat vergessen.

Wie der Verein jetzt heißt, ist ziemlich egal. Spannend, dass bei dem Thema Snowden und NSA ein Aufschrei durch sämtliche Medien und Internetnutzer ging, aber beim BSI ist alles OK. Sorry, für mich nicht nachvollziehbar.

Und ja: ich finde es gut und wichtig, wenn so ein Leck bekannt gemacht wird, dass man informiert und sensibilisiert wird und das man Tipps erhält. Nur die Mailaktion finde ich etwas merkwürdig…

 

[avalon]

Deswegen traust Du lieber einer Mail, deren Richtigkeit Du nicht zu 100% vertrauen kannst? Respekt.

Ja, zur Zeit vertraue ich darauf.

Und wie schon gesagt ist das verdammt viel Arbeit und die Chance eine Webseite zu übersehen, wo man sich mal eingeloggt hat, ist verdammt groß.

Es reicht dabei nur eine, wo das alte Passwort dann noch steht..

Zur mailaktion habe ich schon die Vermutung angestellt, das ein versenden auch bei Nichtexistenz zu viel Traffic verursachen könnte und deshalb so entschieden worden ist.

Hättest du eine andere Lösung?

 

[Holger721]

Wie kann ich meinen iMac am einfachsten nach diesen angeblichen Trojanern durchsuchen?
Sollten die Mailadressen und Passwörter denn wirklich durch Schadsoftware abgefangen worden sein?

 

[tocotronaut]

Zuviel Traffic und zuviel Rechenleistung, da für jede Versendete email erst ein Hashwert generiert werden muss.

Das wird auch der Grund sein, warum die seite am boden ist... Dieses ganze verschlüsselungszeug kostet viel rechenleistung.

 

[avalon]

..
Heute Abend habe ich dann die Adresse meiner Frau eingegeben und vorher zur Demonstration noch mal meine Adresse wo vorher keine Meldung zurück kam.

Komischerweise kam diesmal aber auch hier eine Warnmail zurück. Also soll auf einmal die Adresse doch auf der Liste stehen?

Man sagt ja der Computer irrt nicht..

Möglicherweise verschrieben beim ersten Mal?

 

[SonOfNyx]

Einspruch stattgegeben ....

Das abändern der Passwörter hält nur solange, bis so ein Hack wieder passiert...

Ich scheue noch davor zurück, alles zu ändern, weil das auch verdammt viel Arbeit ist...

Naja, du müsstest nicht alle Passwörter austauschen. Ein Abändern der Passwörter für Email-Konten und ggf Accounts mit Zahlungsinformationen würde schon ausreichen. Ich bin nicht überzeugt, dass ein Email-Provider geknackt wurde, denn dann würde die Meldung lauten "DE-Mail Anbieter GMX geknackt" oder "Google-Mail geknackt". Man könnte an Hand der Datensätze auf einen Blick erkennen, dass die Schwachstelle bei Provider XYZ liegen würde, dies ist jedoch nicht der Fall. Um einzelne Accounts zu hacken, bedürfte es Schadsoftware auf massenweise Rechnern, die Mailprogramme auslesen - in diesem Fall sind die User einfach selbst schuld und unvorsichtig gewesen, das ist dann keine große Nachricht wert -, oder aber kompromittierte Plugins für Browser/Mail-Apps - auch hier muss man von unvorsichtigem Vorgehen der User ausgehen. Ich setze meinen Einsatz immer noch auf geknackte Community-Software.

 

[IKWIL]

Hättest du eine andere Lösung?

Steht in #42 (Wie passend )
Eigenverantwortung heißt das Stichwort.

Was sind die Leute damals auf die Barrikaden wegen der Volkszählung gegangen, heute wird sich für jeden Sch**** irgendwo angemeldet, um vielleicht ein Schnäppchen zu machen oder 10 Cent zu sparen. Da muss man sich nicht wundern, dass das Thema Verantwortung im Umgang mit persönlichen Daten nicht mehr so ernst genommen wird. Aber "Uh" wir werden ausgespäht. Gut, wenn es den Leuten egal ist, dann sollen sie ihre Daten raushauen wie sie wollen. Ich für meinen Teil versuche doch zumindest noch ein Minimum an Selbstbestimmung über meine Daten zu haben – im Rahmen dessen, was überhaupt noch möglich ist.

 

[David X]

"Über die von den Forschungseinrichtungen und Strafverfolgungsbehörden untersuchten Botnetze gibt es bisher keine weiteren Informationen." Quelle

Ich glaube nicht, dass es hier um ein einzelnes Leak handelt, sondern man hat halt Daten von Leuten wie der Shadowserver Foundation, ZeuS Tracker oder ähnlichen bekommen, die jetzt ans BSI weitergegeben wurden. Wobei das Adobe-Desaster mit 150 Mio. gestohlenen Adobe-Usernames inkl. Passwort-Hashes schon von der Größenordnung passen würde.

 

[IKWIL]

Möglicherweise verschrieben beim ersten Mal?

Alleine deswegen würde eine generelle Mail – unabhängig, ob positiv oder negativ – Sinn machen. Aber eine Sicherheitsbehörde, die so was raushaut, ohne die technische Infrastruktur zu bieten, wirkt schon nicht vertrauenserweckend.

Was haben die denn erwartet bei so einer Meldung? Das sie maximal 16 Millionen Positiv-Mail verschicken müssen?