Vor einer Woche erhielt ich eine E-Mail von notebooksbilliger.de: Man habe einen Einbruch in die eigenen Computersysteme festgestellt. Betroffen seien neben Adress- und Kontaktdaten womöglich auch IBANs. Das eigentliche Leck war wohl schon Mitte Oktober entdeckt worden; Anfang November informierte man wohl einen weiteren Kreis von Kunden.
Gestern dann die nächste E-Mail: Jetzt hatte es Mindfactory getroffen, ebenfalls einen Händler für Computerhardware. Betroffen seien womöglich Kontakt-/Adressdaten, verschlüsselte Passwörter, nicht aber Bank- oder Kreditkartendaten.
Ich habe umgehend die Daten, die bei beiden Diensten hinterlegt sind, geprüft, und meine Passwörter dort geändert.
Warum ich dennoch relativ ruhig schlafen werde: Beide Accounts wurden in dem Bewusstsein erstellt, dass unsere IT fundamental kaputt ist und Unternehmen es auf Dauer nie hinbekommen werden, Daten, die man ihnen gibt, sicher aufzubewahren. Wirksamer Datenschutz setzt daher bei der Datenminimierung an. Diese Daten habe ich in den Accounts (nicht) gefunden:
- Meine Anschrift war als Lieferadresse hinterlegt. Diese lässt sich zwar für Scams nutzen, z.B. zum Identitätsdiebstahl. Hinreichend ist sie allerdings nicht. Noch gründlichere Zeitgenossen als ich können die Hinterlegung dieses Datums wohl durch Hinterlegung einer Packstation anstatt einer Adresse hinterlegen - zumindest bei der DHL geht das.
- Meine E-Mail-Adresse war bereits schon nicht mehr “echt”, da ich meine echte E-Mail-Adresse nirgends im Netz hinterlasse. Stattdessen verwende ich konsequent Aliases - Addy.io und den integrierten Alias-Dienst meines E-Mail-Anbieters in Kombination mit Plus-Adressierung - notebooksbilliger z.B. könnte die Adresse [email protected] bekommen. Dies hilft mir
- Spam zu unterbinden, der durch Datenlecks entsteht: Wenn ich auf eine Alias-Adresse Spam bekomme, schalte ich den Alias einfach ab, und der Mailmüll geht fortan ins Leere.
- Datenlecks zu identifizieren: Wenn ich Spam oder scammige Mails bekomme, weiß ich durch die Plus-Adressierung frühzeitig, wer Daten verloren hat. In der Regel passiert der Missbrauch erbeuteter E-Mail-Adressen nämlich automatisiert - und die Bots entfernen die Plus-Adressierung selten, dafür nutzen sie (noch) zu wenige.
- Mein Geburtsdatum war natürlich nicht das echte, da ich online generell nur falsche Geburtsdaten angebe (gern mal den Beginn der Unix-Zeit ;). Anbieter fragen dieses lediglich ab, um festzustellen, ob der Jugendschutz greift (z.B. bei Alkohol) und ob man geschäftsfähig ist. Ist das ein Verstoß gegen die AGB? Womöglich. Aber: Es ist ein “Verbrechen ohne Opfer”, und noch dazu ein Verstoß, der praktisch nicht nachweisbar ist.
- Bankdaten waren keine hinterlegt, da ich wo immer möglich per Vorkasse zahle (seriöse Anbieter vorausgesetzt). Auch Zahlungsdienstleister Paypal kann einem Datendiebstahl von Kontodaten schützen (wenngleich man die vielleicht aus anderen Gründen meiden möchte). Auch virtuelle Kreditkarten können wie E-Mail-Aliases vor Datenabfluss schützen - stellt man ein Leck fest, deaktiviert man einfach die virtuelle Karte und die eigenen Zahlungsdaten sind wieder geschützt.
- Hätten die Angreifer Passwörter abgegriffen, wäre das nicht sonderlich problematisch gewesen, selbst wenn sie die angebliche Verschlüsselung des Anbieters gebrochen und das Passwort im Klartext erhalten hätten. Ich verwende durchgängig KeePassXC als Passwortmanager, welches mir für jeden Dienst ein hochkomplexes Passwort generiert. Solche Software hilft dabei, nicht die typischen Fehler zu begeben, die da sind:
- Passwort-Recycling: Wer ein und dasselbe Passwort für mehrere Dienste verwendet (ebenso wie dieselbe E-Mail-Adresse), macht sich verwundbar für credential stuffing: Die Angreifer probieren einfach sämtliche Dienste mit dieser E-Mail-Passwort-Kombination durch, und dringen so potenziell in gleich meherere Accounts ein.
- zu einfache Passwörter zu verwenden: Mir ist vor einer Weile auf Umwegen eine Datenbank mit Passwörtern im Klartext in die Hände gefallen (sample size: ~1000). Ich habe diese vor der Vernichtung ausgewertet, um die Passwortpraktiken von Leuten zu erforschen. Ergebnisse:
- Passwortlänge: Das längste Passwort war 16 Zeichen lang, das kürzeste 8 (mutmaßlich die voreingestellte Mindestlänge). Die durchschnittliche Länge betrug nut 9,9 Zeichen.
- Passwortkomplexität: Offenbar war voreingestellt, dass Passwörter in Sonderzeichen enthalten mussten. Das führte dazu, dass 65% (!) der Passwörter mit einem Ausrufezeichen endeten. Nur etwa 7% enthielten ein anderes Sonderzeichen. Wirklich pseudorandom waren nur 11% der Passwörter. Der Rest enthielt erkennbare Bestandteile, war also anfällig für dictionary attacks.
- zusätzlicher Tipp von /u/lokalhorst: Wo immer es möglich ist, sollte man überlegen, ob man nicht mit einem Gast-Account bestellt. So wird gar nicht erst ein richtiger Account erstellt, der langfristig gespeichert wird und angreifbar ist. (Die Daten zum Zwecke der Lieferung und Abrechnung liegen zwar auch irgendwo im Unternehmen, womöglich aber nicht in Systemen, die unmittelbar aus dem Internet angreifbar sind.)
Wozu ich das hier schreibe?
- Für euch zur Info: Falls ihr Accounts bei den betroffenen Unternehmen habt, schaut nach, löscht ggf. alte Daten oder Accounts, und seid in den kommenden Wochen und Monaten auf der Hut, was da so in eure Bankauszüge und E-Mails flattert.
- Für euch zur Überprüfung eurer Sicherheitspraktiken: Vielleicht ist im Obigen ja etwas dabei, was ihr noch nicht umgesetzt habt - das wäre dann gleich ein Projekt für den nächsten Di.day. ;)
- Für mich zur Überprüfung meiner Sicherheitspraktiken: Vielleicht fällt euch ja noch etwas ein, was ich künftig besser machen kann.
Bleibt sicher da draußen! :)
Super Tips :)
Hab noch einen: Wo immer möglich, als Gast bestellen.
Ansonsten verbringe ich freie Tage manchmal damit Konten zu löschen und DSGVO-Anfragen raus zu schicken.
Ansonsten verbringe ich freie Tage manchmal damit Konten zu löschen und DSGVO-Anfragen raus zu schicken.
Irgendwelche Tips zum Umgang mit Meta?
Ich habe letztens versucht ein altes Instagram-Konto zu löschen. Leider hat sich Meta dazu entschieden, dass ich meine Anmeldung über ein bereits angemeldetes Gerät bestätigen muss (habe seit Jahren ich nicht mehr). Laut Rückmeldung der Datenschutzstelle kann man DSGVO-Anfragen und Löschungen aus Sicherheitsgründen leider nur von angemeldeten Profilen annehmen…
Der Wiederspruch in dem Prozess scheint dem Cloensverein egal zu sein (oder ist bewusst so gestaltet).
Leider nein, habe meinen Metaquatsch schon vor Jahren gelöscht… Am besten suchst du eine Kontaktadresse raus und schreibst eine E-Mail mit Schilderung des Problems. Ggf. löschen sie die Sache mit dem alten Gerät.
Es kann sonst sein, dass sie behaupten, sie könnten dein Profil nicht ohne Identifizierung löschen. Vll. verlangen sie einen Perso o.Ä. als “Beweis”. Ist leider sehr schwierig mit denen. Meta ist ja quasi der Endboss in dem Game…
Hab noch einen: Wo immer möglich, als Gast bestellen.
Hilft auch nicht wirklich, deine Daten sind natürlich auch bei einer Gastbestellung in deren Datenbank und können geklaut werden.
Ich bin auch von NBB betroffen und was mich da massiv ankotzt ist diese Mail im Ton von “Hey, deine Daten sind weg. Du kannst jetzt betrogen werden, sei vorsichtig. Mehr machen wir nicht”. Irgendwann müssen Firmen, die sowas machen, dann hoffentlich dicke Schadensersatz zahlen.
deine Daten sind natürlich auch bei einer Gastbestellung in deren Datenbank und können geklaut werden.
Aber nicht in der Onlineshop-Kundendatenbank, sondern dort nur als Vorgangs-Datensatz (weniger attraktiv für Hacker). Danach noch in der Logistik als Lieferadresse und in der Buchhaltung.
Super! Den hatte ich vergessen. Übernehme ich gleich mal in die Übersicht!
Das ist alles ja richtig und gut, was OP da vorschlägt. Er macht sich wirklich Gedanken und wird sicher von geldgierigen Hackern eher gemieden.
Ich behaupte aber einfach mal, dass 80% der Internetnutzer damit überfordert sind. Sei es weil sie schlicht die Zeit nicht haben oder es fehlt ihnen - und da schließe ich mich Boomer ein - das Wissen und/oder die Lust, sich da so wie OP rein zu arbeiten.
Immer wieder frage ich mich, ob es wirklich für uns eine Verbesserung ist, dass wir einen so großen Teil unseres Lebens ins Netz verlagert und auch sonst so zentralisiert haben.
Vielleicht sehe ich das ja alles zu verklärt, aber als ich Kind war, wurden uns morgens, wenn gewünscht, frische Brötchen und Zeitung vor die Tür gelegt, täglich kam sogar ein liefernder “Milchmann”. 100 Meter entfernt gabs die Bäckerei, 300 Meter entfernt die Metzgerei und 2 Geschäfte zum Einkauf des täglichen Lebensmittelbedarfs. Heute muss ich für all das 3 Kilometer fahren.
Ich behaupte aber einfach mal, dass 80% der Internetnutzer damit überfordert sind.
+19,x%
Was für nen E-Mail Anbieter nutzt du?
Und weshalb zusätzlich noch addy.io wenn dein Anbieter schon aliase hat?
Ich nutze posteo. Die bieten aber nur 2 Aliases frei Haus - jeder darüber hinaus kostet extra. Das wird schnell kostspielig, wenn man für jeden Account einen eigenen Alias haben will.
Wow addy.io kann man auch selbst hosten. Sieht echt nach einem guten Dienst aus, nach sowas hatte ich gesucht um ein Stück weiter von iCloud wegzukommen.
Dank dir.
Ja, kann man. Da habe ich mich aber bislang nicht rangetraut, da das stark in Richtung “self-hosting von e-mail” geht. Da kann viel schiefgehen (IP blacklisting wg. Spam…). Traust du dir sowas zu?
Habe gerade gesehen, dass es da auch eine dockerisierte Version gibt, die zumindest etwas von der ganzen Komplexität wegcontainert…
Naja da es vor allem um Mail Empfang geht, hätte ich damit keine Probleme. Mails senden ist me andere Geschichte und da bin ich bei dir, das lass ich lieber
Ich habe beim schnellen Überfliegen halt mehrfach DKIM- und SMTP-Umgebungsvariablen gesehen. Das riecht schon so, als müsste man daran rumschrauben. Und darauf habe ich halt so gar keinen Bock.
Mal schauen, den Container mal auf den Server zu werfen und schauen ob man den einfach zum laufen bringt ist ja erstmal nicht die Arbeit. Wenns dann doch komplizierter wird als gedacht kann man immernoch die fertige Option wählen
Danke! Ja ist bei mir genau so 😁
Vielleicht doofe Frage, aber bringt diese Plusadressierung wirklich etwas? Ist doch für jeden super einfach die tatsächliche Adresse herauszufinden, indem er die Zusatz einfach ignoriert. Oder übersehe ich da was?
Steht doch da. ;)
In der Regel passiert der Missbrauch erbeuteter E-Mail-Adressen nämlich automatisiert - und die Bots entfernen die Plus-Adressierung selten, dafür nutzen sie (noch) zu wenige.
Muss ich irgendwie überlesen haben… Aber gut, hätte nicht gedacht, dass das nicht schon standard ist, sowas fix zu filtern. Aber da es ja auch nicht extra kostet, lohnt sich der Einsatz eigentlich schon. Sollte ich auch endlich anfangen.
Sollte ich auch endlich anfangen.
Es wird dir mehrfach verwirrte Nachfragen einbringen. “Wie? Sie haben extra für uns eine E-Mail-Adresse registriert?” - “Nein. Es ist kompliziert…”
Kann man so eine plus Adresse dann auch blocken? Ist ja kein echtes alias, das ich löschen könnte. Ansonsten hilft es natürlich, wenn die Bank plötzlich eine mail an +mindfactory schickt, das als spam zu erkennen.
Du kannst per Sortier-Regeln e-Mails an [email protected] automatisch in den Spam schieben.
Nein, das ist richtig. Die Plus-Adressen kannst du nicht blocken. Ich kombiniere das aber mit einem Alias:
Hauptadresse: [email protected] Alias: [email protected] --> leitet weiter an Hauptadresse Plusadresse: [email protected]
Sollte der Spam/Scam auf der Plusadresse zu viel werden, kann ich zumindest den Alias dahinter in toto abschalten. Ich müsste halt vorher alle Dienste, die ebenfalls auf den Alias registriert sind, umziehen auf eine dann neu zu registrierende Alias-Adresse.
