BSI Warnung zu gehackten E-Mail Adressen

[avalon]

Steht in #42 (Wie passend )
Eigenverantwortung heißt das Stichwort.

Ich für meinen Teil nutze verschieden Passwörter in verschiedenen Kombinationen..

Und trotz einer gewissen Eigenverantwortung gibt es keine 100% Sicherheit.

Ich fahre mein Auto auch nicht mit abgefahrenen Reifen oder runtergebremsten Belägen etc.

Und trotz Eigenverantwortung bin ich nicht davor gefeit, dass mir morgen einer in die Karre fährt.

 

[avalon]

Alleine deswegen würde eine generelle Mail – unabhängig, ob positiv oder negativ – Sinn machen..

Was bei einer falsch geschrieben emailadresse schwerlich möglich ist..

 

[MACombat]

Die bisherige und die jetzige Bundesregierung hat klargestellt, konkludent, dass ihnen der Schutz von Bürgerdaten, das Einhalten von Bürgerrechten und das beachten notwendiger Verfassungsrechte wenig wert ist - der Datenschutz wird offen sabotiert (siehe auch die Personalie der Bundesdatenschutzbeauftragten) - so zumindest wirkt es, und ich sehe nicht das Bemühen, verlorenes Vertrauen wieder herzustellen. Nur zu verschleiern.

Sicher werde ich die BSI Seite nicht bemühen. Alle meine E-Mail-Adressen wurden bereits mit neuen Passwörtern versehen, wie dies auch regelmäßig sinnvoll ist. Meine weiteren Passwörter werden alle im Laufe dieses Monats geändert. Kein Passwort wird doppelt benutzt.

Wie hier schon gesagt wurde - so eine Meldung ist schlicht ein guter Anlass, wieder einmal die Passwörter zu ändern. Für mich aber nicht, meine E-Maildaten auf Bundesseiten zu checken. Auch wenn die relevanten diesen schon bekannt sind. Es geht hier schlicht um das Prinzip.

Es ist schon verfassungsrechtlich traurig genug, dass man den Staat auf wichtigen Gebieten nicht mehr zum Verbündeten hat, wenn es um den Schutz von Grundrechten und der Privatsphäre sowie von Geschäftsgeheimnissen und von Mandanten geht. Man muss sich auch gegen unzulässige Massnahmen absichern. Da verwischen die Grenzen zu den Kriminellen und zu staatlichem Unterlassen/Handeln - wie gesagt, sehr traurig, dass man davon schon auszugehen hat. Es liegt an der Regierung das Vertrauen wieder herzustellen - bisher wird nichts unternommen.

 

[IKWIL]

Was bei einer falsch geschrieben emailadresse schwerlich möglich ist..

Aber dann wüsste ich doch, dass überhaupt eine kommen soll. Wenn dann keine kommt, kann ich doch eher davon ausgehen, dass ein Schreibfehler vorlag.
Hier geht es um Fehlerminimierung und der damit verbunden Unsicherheit.

 

[IKWIL]

Ich fahre mein Auto auch nicht mit abgefahrenen Reifen oder runtergebremsten Belägen etc.

Und trotz Eigenverantwortung bin ich nicht davor gefeit, dass mir morgen einer in die Karre fährt.

Was ist denn das für ein Vergleich? Natürlich kannst Du nichts dafür, dass dir einer in die Karre fährt. Aber immerhin tust Du alles dafür, dass dein Auto so verkehrstüchtig ist, das Du bei angepasster Fahrweise keinem rein fährst --> Eigenverantwortung. Hat aber nix mit dem Fall im ersten Satz zu tun.

Und 100% Sicherheit gibt es nirgends. Aber man das Risiko minimieren. Und meiner Meinung nach gehört das regelmäßige Ändern von Passworten mit dazu. Aber das ist ja mit Arbeit verbunden. Das Verlassen auf irgendeine Mail (bzw. deren Nichterhalt!) hat für mich eher was mit Bequemlichkeit – wenn ich garstig wäre, würde ich Ignoranz sagen – zu tun.

Aber ich will dich – oder jemand anderen – nicht bekehren. Jeder wie er will, sind ja alle alt genug. Ich wollte nur meine Gedanken und Bedenken mit einbringen.

 

[xentric]

Ich verstehs nicht.

Wieso schicken die nicht an jede von ihren angeblichen 16 Millionen Emailadressen einfach ne Email (mit richtigen Deutsch, und von mir aus irgendnen Verifikationslink auf die BSI-Seite) und weisen darauf hin, wenn sie schon rumlabern:

"Es ist unser gesetzlicher Auftrag, die Bürger zu informieren und zu warnen"

dass ihr angeblicher Auftrag ist?

Anstatt, das es ein Großteil es nie erfährt, ein weiter Großteil hier irgendwelche Emailadressen preisgibt und dafür auch noch auf nicht skalieren Server warten soll?

 

[SonOfNyx]

Ich verstehs nicht.

Wieso schicken die nicht an jede von ihren angeblichen 16 Millionen Emailadressen einfach ne Email (mit richtigen Deutsch, und von mir aus irgendnen Verifikationslink auf die BSI-Seite) und weisen darauf hin, wenn sie schon rumlabern:



dass ihr angeblicher Auftrag ist?

Anstatt, das es ein Großteil es nie erfährt, ein weiter Großteil hier irgendwelche Emailadressen preisgibt und dafür auch noch auf nicht skalieren Server warten soll?

Ich würd' mal sagen, weil die Mails alle samt sonst im Spamfilter hängenbleiben würden …

 

[xentric]

Ich würd' mal sagen, weil die Mails alle samt sonst im Spamfilter hängenbleiben würden …

Bei Dir bleibt also jede Emailadresse die du nicht kennst im Spamfilter hängen? Interessant, ..

 

[Orion7]

Wenn ich es richtig sehe, geht es doch prinzipiell um Login-Daten, die aus dem Pärchen

1. Benutzer = E-Mailadresse
2. Passwort

bestehen.
Das nennt das BSI eine "Identität" bzw. "Benutzerkonto".
Für viele solcher Benutzerkonten (z.B. E-Mail Konto, Apple ID, diverse Onlineshops, Konten bei der Bundesnetzagentur und, und, und...) wird die E-Mail Adresse zwingend als Punkt 1 des Pärchens mehr oder weniger erwartet.

Als sicherheitsbewusster Nutzer gibt man ja wohl für jedes Konto ein anderes Passwort vor.
Wenn man nun eine "positive" E-Mail vom BSI bekommt, wie #22, kann man doch gar nicht wissen, welches der Konten betroffen ist. In der Antwort E-Mail vom BSI müsste zumindest ein URL enthalten sein, um welches Konto es geht. Oder stehe ich irgendwo auf dem Schlauch?

 

[SonOfNyx]

Bei Dir bleibt also jede Emailadresse die du nicht kennst im Spamfilter hängen? Interessant, ..

Nein, nicht jede, aber der Großteil aller Rundmails, die nicht explizit an mich persönlich adressiert sind.

 

[tocotronaut]

könnte auch was mit datenschutz zu tu haben...

zumindest ist es in deutschland imho nicht erlaubt z.b. newsletter zu versenden, wenn dem im vorfeld nicht explizit zugestimmt wurde.

 

[OFJ]

... In der Antwort E-Mail vom BSI müsste zumindest ein URL enthalten sein, um welches Konto es geht. Oder stehe ich irgendwo auf dem Schlauch?

Wieso dass denn, Du siehst doch an welche Adresse die Mail gegangen ist.

 

[t_h_o_m_a_s]

..und bekommst den Code gesendet.

 

[osh]

Oder stehe ich irgendwo auf dem Schlauch?

Falls ja, dann stehe ich bequem neben Dir :d
Guter Punkt.

 

[osh]

Wieso dass denn, Du siehst doch an welche Adresse die Mail gegangen ist.

Du hast nicht verstanden, was Orion7 meinte.

 

[t_h_o_m_a_s]

Na dann erklär´doch mal.

 

[MacEnroe]

Sicher werde ich die BSI Seite nicht bemühen. Alle meine E-Mail-Adressen wurden bereits mit neuen Passwörtern versehen, wie dies auch regelmäßig sinnvoll ist. Meine weiteren Passwörter werden alle im Laufe dieses Monats geändert. Kein Passwort wird doppelt benutzt.

Hast du dafür ein Programm, das das automatisch erledigt? Bei mir wären das über hundert
Webseiten, die ich besuchen und suchen müsste, wie man die Daten ändert, ich wäre mehrere
Tage beschäftigt.
Und die lokalen Passwörter, Zugangsdaten zu Programmen, änderst du die auch alle?

 

[imacer]

Wieso dass denn, Du siehst doch an welche Adresse die Mail gegangen ist.

Richtig, man kann erkennen, um welche Mailadresse es sich handelte, aber nicht, welcher Account davon betroffen wäre.
Eine E-Mail Adresse lässt sich ja bei 10 Konten als "Benutzername" einrichten. Zu welchem davon aber das "ausgespähte" Passwort gehört, verrät einem niemand.
So müsste man alle Passwörter der Konten ändern, bei denen die Adresse benutzt wurde.

 

[osh]

Bekommen sie daraufhin eine E-Mail an die angegebene Adresse mit entsprechendem Prüfcode im Betreff, bedeutet das, dass Botnetze Daten zu dieser E-Mail-Adresse gesammelt haben. In der Mail des BSI werden den Betroffenen Tipps gegeben, wie sie ihren Computer reinigen und Zugangsdaten unter Umständen besser gestalten und sichern können.
Über die von den Forschungseinrichtungen und Strafverfolgungsbehörden untersuchten Botnetze gibt es bisher keine weiteren Informationen. Betroffene Nutzer können sich momentan lediglich darüber im Klaren sein, dass ihr Computer mit Malware verseucht ist oder in der jüngeren Vergangenheit verseucht wurde. Es reicht also nicht, ausschließlich die E-Mail-Adresse beim BSI zu prüfen und daraufhin Zugangsdaten zu ändern.

Hat der Test des BSI angeschlagen und wurde bestätigt, dass eine E-Mailadresse betroffen ist, dann sollten alle Rechner, die für die betroffenen Zugangsdaten und E-Mailkonten genutzt wurden, gereinigt werden. Haben Nutzer für E-Mailadressen und verschiedene Online-Dienste stets die gleichen Zugangsdaten genutzt, sollten auch hier alle Zugangsdaten geändert werden.

Es geht also darum, dass Botnetze sich die Zugangsdaten zu E-Mail-Konten im Allgemeinen gesammelt haben, so wie ich das verstehe. Sprich, ein loak auf dem Rechner installierter Schädling (Trojaner) hat die Passwörter mitgelauscht, die beim Mailverkehr eingesetzt wurden und hat diese gesammelt. Sofern man überall sonst andere Passwörter einsetzt, ist nur das Mailkonto gefährdet. Ansonsten sind alle Punkte gefährdet, wo das gleiche Passwort wie beim Mailverkehr eingesetzt wird.

Hab ich das richtig verstanden?

(Quelle: heise.de)

 

[tocotronaut]

Nein, es geht nicht um die Emailkonten an sich!

es geht um Kombination von Benutzernamen (der hier aus einer emailadresse besteht) und Passwort das mal irgendwo im internet verwendet und wurde.

Wenn man sich z.b. bei macuser mit deiner emailadresse und passwort angemeldet hat und diese daten irgendwie in umlauf gekommen sind kann es sein, dass die adresse und das gleiche passwort auch z.b. bei facebook zum login funktionieren.
Bei der Emailadresse selbst kann natürlich ein ganz anderes passwort verwendet worden sein.