POV: Emailzugang gehackt, Passwort geändert, Kontaktadresse geändert

Hört sich schlimm an.

Ich würde eine Kontaktaufnahme mir gmx über diese Seite versuchen:

Kontaktieren Sie uns

Da findet man

Zitat

Allgemeine Kontakt-Option: Hilfe-Chat

Für Anfragen zu allen Themen rund ums GMX Postfach können Sie unseren Hilfe-Chat (Sprechblasen-Symbol rechts unten auf dieser Seite) verwenden. Hilfe-Chat starten

Kontakt-Optionen für bestimmte Fälle

Verwenden Sie eine der folgenden Kontakt-Optionen, wenn die entsprechende Aussage auf Sie zutrifft.

Ich habe ein Anliegen zu den Themen Login, Passwort und Fremdzugriff.

Alles anzeigen

Sofort Konto sperren lassen und einen neuen Zugang schicken lassen.

Beim nächsten Mal 2 Faktor Authentifizierung aktivieren und ein sicheres Passwort verwenden. Ebenso für alle Dienste unterschiedliche Passwörter verwenden.

Eigentlich sollte auch bei gehackten Diensten niemals das Passwort in die Hände der Bösewichte fallen (Hash), aber man weiß ja nie, wie Anbieter die Passwörter speichern.

Ebenso kann irgendwo ein Keylogger installiert sein.

Ich glaube, ich muss mein Passwortsystem auch noch mal überdenken.

Ich hatte mal etwas Ähnliches.

Sofort gmx anschreiben und erklären, dass eine fremde Person auf das eigene Konto zugegriffen hat. Damals konnte der Anbieter sehen, dass der fremde Zugriff von einem anderen Standort aus kam und ich konnte ein neues Passwort festlegen. War relativ unkompliziert.

Nebenbei, falls wir es hier noch nicht hatten:

Unter dieser Adresse kann man feststellen, ob eine (eigene) E-Mail_Adresse auf Spamlisten u.ä. im Netz verteilt wird.

Einfach mal ausprobieren, die Impressumsadresse meiner (inzwischen veralteten) Homepage hatte es mal erwischt. Eine Spamflut (wie bei mir) ist allerdings noch harmlos gegenüber "feindlicher" Accountübernahme.

Was die anderen sagen. gmx-Konto unbedingt erstmal schnellstmöglich für den Fremden sperren lassen. Dafür notfalls in Warteschleifen hängen, um es telefonisch zu regeln, oder über Chatbots, was auch immer, alles, was schnell geht. Anschließend über welche Identifizierung auch immer beweisen, dass man der eigentliche Kontobesitzer ist.

Falls deine Bekannte evtl. eine Handy-App hat, über die sie noch in ihren Mails eingeloggt ist (manche Anbieter lassen zu, dass verschiedene Geräte angemeldet bleiben können), sollte sie versuchen, darin das Passwort wieder zu ändern (wenn der Hacker vergessen hat, "alle Geräte auszuloggen" oder das System das nicht automatisch tut).

Zeitgleich aber auch sehr wichtig:

Wenn sie dasselbe (oder ein sehr ähnliches) Passwort wie für ihren Emailaccount auch bei anderen Seiten benutzt (Amazon oder andere Onlinegeschäfte vor allem, aber auch Steam oder andere Spieleplattformen, oder sowas wie Tinder usw.): Unbedingt auch dort die Konten kontrollieren, ob man noch Zugriff hat, und sofort das Passwort ändern!

Denn da Zugang zum Emailpostfach bestand und der Hacker damit auch Passwörter bei vielen anderen Seiten ändern kann (über die Funktion "Passwort vergessen", bei der man dann einen Link auf die Emailadresse kriegt), kann der Hacker deine Bekannte von all diesen Seiten aussperren und dann gehen die Missbrauchsmöglichkeiten erst so richtig los.

Denn gerade wenn z.B. Zahlungsmittel bei Amazon etc. hinterlegt sind, kann der Hacker anschließend einfach vom Konto Zeug bestellen und sich liefern lassen, auf Kosten des Gehackten. Sollte das deiner Bekannten schon passiert sein: Keine Panik, aber möglich direkt Amazon benachrichtigen. Dann Lastschrift von der Bank rückbuchen lassen. Geht, sodass man das Geld nicht los ist - aber man sollte nicht zu lang damit warten.

Evtl ändert der Fiesling auch nicht die Passwörter auf den anderen Konten, daher auch in den folgenden Wochen vorsichtshalber die Kontobewegungen bzw. Aktivitäten auf den Plattformen immer mal wieder prüfen bzw. besser noch besser prophylaktisch die Passwörter ändern. Man hat ja nicht unbedingt Überblick über sämtliche Accounts, die man irgendwo vielleicht mal mit diesem gmx-Passwort auch noch angelegt hatte.

Sollte sie das Passwort NUR für den Mailaccount genutzt haben und sonst ganz andere, dürfte die Gefahr deutlich geringer sein. Bin aber auch kein Profi...

P.S.: Kleinen Denkfehler hatte ich: Amazon etc. auch checken, wenn dort NICHT dasselbe Passwort verwendet wurde, denn die Emailadresse reicht ja aus, um selbst ein neues festzulegen!!

Ergänzend (falls ich es nicht überlesen habe) zum bereits geschriebenen würde ich noch die Nutzung eines Passwortmanagers mit automatisierter Passworterzeugung empfehlen - ich persönlich verwende selbst erstellte Passwörter schon seit Jahren nicht mehr.

Philio Ich hab da auch schon häufiger drüber nachgedacht, aber irgendwie Sorge, dass alle Passwörter aus dem Manager irgendwie "leaken" könnten. Ich finde es so ein seltsames Gefühl, wenn das dann "irgendwie, irgendwo" abgespeichert ist und ich nicht durchschaue, wie das System funktioniert und die Sicherheit nicht beurteilen kann.

Ich weiß, vermutlich irrational, weil alle anderen Varianten ja eben auch sehr große Risiken haben. Aber psychologisch ist es bei mir sehr stark ausgeprägt, dass mich "die Cloud" total nervös macht und ich da eigentlich nichts rumfliegen haben will. Hat dagegen jemand ein Heilmittel?

pepe

Hier sind neben deinem Link auch noch zwei deutschsprachige Adressen (Unis) aufgeführt. Das Hasso Plattner Institut mache ich immer wieder.

Uni Bonn habe ich jetzt einmal ausprobiert. Bei mir geht es bei den Leaks die Emailadresse und ums Passwort, mit denen ich eingeloggt war. Die Uni Bonn verrät im Gegensatz zu den beiden anderen Adressen, welches Passwort betroffen ist. Früher, als man noch nicht an Hacker dachte, habe ich ein sehr einfaches Passwort wiederholt verwendet. Und genau das erscheint auf den Listen der Leaks. Ich kann also empfehlen, falls sich Leaks bezüglich des benutzten Passworts herausstellen sollten, mit der Seite der Uni Bonn zu überprüfen um welches Passwort es sich handelt und dann die Passwörter auf den entsprechenden Webseiten/Shops zu ändern, damit keine weiteren persönlichen Daten, die man dort angegeben hat, abgegriffen werden können.

Zitat von Joker13

Philio Ich hab da auch schon häufiger drüber nachgedacht, aber irgendwie Sorge, dass alle Passwörter aus dem Manager irgendwie "leaken" könnten. Ich finde es so ein seltsames Gefühl, wenn das dann "irgendwie, irgendwo" abgespeichert ist und ich nicht durchschaue, wie das System funktioniert und die Sicherheit nicht beurteilen kann.

Ich weiß, vermutlich irrational, weil alle anderen Varianten ja eben auch sehr große Risiken haben. Aber psychologisch ist es bei mir sehr stark ausgeprägt, dass mich "die Cloud" total nervös macht und ich da eigentlich nichts rumfliegen haben will. Hat dagegen jemand ein Heilmittel?

Das kann ich sehr gut verstehen und ich habe kein wirklich gutes Gegenargument, denn ich funktioniere psychologisch völlig anders.

Ich selber bin ein bequemer, pragmatischer, manchmal impulsiver und vor allem relativ sorgloser Mensch (Zukunft ist ganz allgemein ein sehr diffuses Konzept für mich - jetzt ist jetzt und die Zukunft ist irgendwann, für langfristige Überlegungen oder Planungen habe ich keinen Sinn). Daher nutze ich z. B. Cloud-Services ohne Bedenken, schlicht und einfach, weil ich so gut wie nie Bedenken habe, wozu auch immer 🤷🏻‍♂️ Für mich ist das entscheidende Kriterium, ob etwas ohne grossen Aufwand mein Leben einfacher macht. Falls ja, dann mache ich das, ohne gross das Für und Wider abzuwägen.

Bei der Entscheidung für den Passwortmanager hat der Sicherheitsaspekt auch kaum eine Rolle gespielt - für mich entscheidend war, dass ich mir keine Passwörter mehr ausdenkenden und sie mir nicht merken muss. Wenn ich mich irgendwo neu registriere, wird im Passwortfeld automatisch ein Passwortvorschlag erzeugt, ich klicke auf „nehme ich“ und dann ist das für mich erledigt. Wie und wo es gespeichert ist und ob so ein Passwort überhaupt sicher ist, daran habe ich tatsächlich noch keine Gedanken verschwendet, ausser vielleicht sowas wie „das sind die Profis, die werden schon wissen, was sie tun“ und damit ist das abgehakt. Next.

Du siehst, meine Herangehensweise ist auch irrational 😂

Ja, knacken kommt immer wieder vor. Bei mir sind die Passwörter bei kickstarter, dropbox und einem anderen Forum geknackt worden. Zeigt auch der schon oben verlinkte Leakchecker von openHPI an.

E-Mail ist übel. Da würde ich bei ALLEN Diensten prüfen bzw. bei ALLEN Diensten neue Passwörter erstellen.

Warum: Wenn ich als Hacker zugriff auf das E-Mailkonto hätte, dann würde ich mal gucken welche Dienste derjenige so nutzt oder einfach ausprobieren und dann dort ein neues Passwort anfordern (Auf "Ich habe das Passwort" vergessen klicken und mir ein neues zuschicken lassen).

Anschließend würde ich diese Mail löschen (auch im Mülleimer), sodass es nicht so schnell auffällt.

Bezüglich Hash: Korrekt. Passworte werden normalerweise nicht im Klartext gespeichert, sondern nur ein Hash davon.

Da gibt es verschiedene Hashalgorithmen. Vor Jahren hat man z.B. MD5 benutzt. Wenn sich jemand also z.B. in einem Forum mal vor Jahren angemeldet hat und es dann nie mehr besucht hat, dann wird dort das Passwort immer noch nur mit MD5 gehashed rumliegen. Auf einen neuen Algorithmus kann man es nicht mal so eben ändern, weil der Datenbankbetreiber ja das Passwort selbst nicht kennt.

Dummerweise ist es heute möglich, solche Passworte dann doch relativ schnell herauszufinden. (Genaugenommen könnte es sogar sein, dass dein Passwort "123" lautet, aber zufälligerweise das Passwort den gleichen Hash erzeugt wie das Passwort "xyz". Dann kann man sich auch mit "xyz" einloggen!

Damit es schwerer wird, wird das ganze normalerweise mit einem "Salt" erschwert. Das Passwort wird um weitere Buchstaben erweitert, die sich die Datenbank zufällig ausgedacht hat (die sind aber auch in der Datenbank abgespeichert). Es ist aber nur eine Frage der Zeit, bis man das geknackt hat.

Doof ist es für die Leute, die zum Beispiel verschiedene Passworte bei verschiedenen Diensten haben und sich dadurch sicher fühlen, aber sie es nicht sind. Z.B., wenn ich bei ebay "123ebay" als Passwort habe. Ist der Hash durch ausprobieren geknackt worden, dann ist die Wahrscheinlichkeit sehr groß, dass man bei Amazon mal "123amazon" erfolgreich ausprobieren kann. Insofern können im schlimmsten Fall alte Passworte sehr schnell dafür verantwortlich sein, dass auch neue/andere Passworte unsicher sind.

Deswegen für alle Dienste mit Kontozugriff eine Zweifaktorauthentifizierung einstellen. Ebay, PayPal, Amazon usw. bieten das an.

Schön wäre es, nicht benötigte Dienste per Knopfdruck löschen zu können. Leider ist das immer noch mit Aufwand verbunden.

Wenn ich z.B. das Lehrerforum nicht mehr verwenden möchte, müsste ich eigentlich per Knopfdruck meinen vollständigen Account löschen können.

Das geht aber heute nur mit einem Anschreiben an die Admins, die man erstmal finden muss.

Daher gibt es viele unbenutzte vergessene Accounts und irgendwann vielleicht mal gehackt werden und dann bei gleichen Passwörtern bei aktuellen Diensten zum Problem werden.