Archive for November 2011

 
 

Online Selbstschutz – Was kann ich tun?

Wir als Kunden müssen uns vor Hackern schützen, mehr als je zuvor!

Man fühlt sich als Kunde eines ISP / Hoster / Online-Gaming Portal immer mehr alleine gelassen, was den Datenschutz angeht.

Leider musste ich vor kurzem wieder lesen, dass es einen möglichen erneuten Einbruch bei dem Hoster 1blu gab. Ist nun nach Hetzner auch 1blu Opfer eines Hackerangriffes geworden?

Kurz darauf kam eine weiter Hiobsbotschaft, dass bei Valve „Steam-Plattform“ eingebrochen worden ist.
Nach Sony ist Valve einer der größten Gaming-Portale, mit der Möglichkeit online Spiele zu erwerben.

Kurz zusammen gefasst, gab es in den letzten Wochen mehr als einen großen Einbruch, bei dem möglicherweise Kundendaten und Kontodaten bzw. Kredit Karten Daten entwendet worden sind.

Das verunsichert uns als Kunde. Wenn man schon seinem Provider / Gaming-Portal Anbieter nicht mehr vertrauen kann, wem dann?

Daher bin ich der Auffassung, dass man sich als Kunde, mehr um seine eigenen Datensicherheit kümmern sollte. Ich versuche hier ein Beispiel zu geben, wie man zumindest die Zahlungsmethoden, etwas verbessern kann.

Da man bei der Bestellungen einer Dienstleistung keine falschen Personenangaben machen darf, muss man sich auf die Zahlungsmethoden konzentrieren. Damit man dabei auch im legalen Ramen bleibt, empfiehlt sich der Einsatz von „Einmal Kreditkarten“ oder „Pre-Paid Kreditkarten

Diese „Pre-Paid“ Karten kann man anstatt seiner eigenen Kredit Karte zum bezahlen verwenden.

Dies hat einen großen Vorteil:

Sofern bekannt wird, dass es einen Hackereinbruch gegeben hat, kann man diese Karte einfach vernichten und sich eine neue Pre-Paid Kreditkarte zulegen. Ohne befürchten zu müssen, dass die Kreditkarten Nummer irgend wo im Internet zum Verkauf angeboten wird. Des weiteren spart man sich den Ärger mit seiner Bank. Dort muss man anrufen und jeden unrechtmäßige Buchung zurück fordern oder ggf. die Karte sperren lassen. Diese Vorgänge sind meistens auch immer mit weiteren Kosten verbunden.

Auch dient eine Pre-Paid Kreditkarte zur Kostenkontrolle. Dort kann nur so viel ausgegeben werden, wie man zuvor auf die Karte transferiert hat.

Sofern der Einsatz einer Pre-Paid Kreditkarte nicht möglich ist und man ein normales Konto anbeben muss, empfiehlt sich folgendes:

Heutzutage kann man ohne Probleme ein weiteres Online-Bankkonto eröffnen. Dies sollte man dazu benutzen, sich bei den o.g. Diensten anzumelden. Durch das separate Konto hat man die volle Kostenkontrolle und kann ggf. ungewollte Abbuchungen stornieren lassen. Da dieses „Zweit-Konto“ nicht als Gehalts- oder Sparkonto genutzt werden sollte, hat der Hacker auch nicht die Möglichkeit, „viel“ Geld abbuchen zu lassen. Auf diesem Konto sollte immer nur so viel Geld liegen, wie man monatlich für die Dienstleistungen in Anspruch nimmt.

Fazit:
Schade, dass man solche Vorkehrungen treffen muss, aber die Vergangenheit hat gezeigt, dass wir als Kunden uns mehr schützen müssen. Auf den Verkauf der einzelnen Datensätze, speziell Name/Adresse/Alter/E-Mail, werde ich hier nicht weiter eingehen. Dafür müsste man sich, in einem weiteren Artikel, mal Gedanken machen. Ich hoffe mit diesem Artikel, nicht nur die einzelnen Benutzer ein wenig zu sensibilisieren, sondern auch die Anbieter der Dienstleistungen unsere Daten separat zu speichern.

Ist deine E-Mail Adresse gehackt, überprüfe es bei pwnedlist.com

https://pwnedlist.com ist ein Service von Alen Puzic und Jasiel Spelman. Beide arbeiten bei DVLabs.

Sie haben es sich zur Aufgabe gemacht, alle veröffentlichten Pastbin / Torrent Dateien die sensible E-Mail Adressen und Passwörter enthalten zu sammeln. Auf diesem Wege werden, von Zeit zu Zeit, immer wieder „Full disclosure“ Artikel veröffentlicht von Hackergruppen.

Puzic schreibt:Ich habe versucht innerhalb von 2 Stunden so viele Daten wie möglich zu sammeln und bin auf 30.000 Benutzernamen und Passwörter gestoßen.“ Weiterhin schreibt er, dass wöchentlich ca 40.000 neue E-Mail Adressen und Benutzernamen dazu kommen.

Die pwnedlist.com Datenbank enthält ca 5 Millionen gehackte E-Mail Adressen und Benutzernamen. Durch die Eingabe seiner E-Mail Adresse oder Server Benutzernamen, kann man feststellen, ob diese irgendwo im Netz bekannt sind.

Auf der Webseite pwnedlist.com selber, werden keine sensiblen Benutzerdaten und Passwörter gespeichert. In der Datenbank ist lediglich der Hash zu der E-Mail Adresse / Benutzernamen gespeichert und ob diese im Netz bekannt ist. Die Datenbank gibt lediglich ein „JA“ oder „NEIN“ zurück, so Puzic.

Was sollte ich machen, wenn meine E-Mail Adresse dort gelistet ist?
Keine Panik! Das die Adresse in der Liste erscheint, heißt noch nicht, dass diese auch von Hackern missbraucht worden ist. Man sollte sofort das Passwort des besagten Accounts / E-Mail Adresse ändern. Natürlich sollte man auch alle seine anderen Passwörter einmal ändern, da es nicht ausgeschlossen ist, dass diese auch missbraucht worden sind. Gerne wird auch nur ein Passwort für alles verwendet, dann muss man all seine Dienste die man mit diesem Passwort geschützt hat ändern.

Die beiden Sicherheitsexperten wollen in Zukunft Updates auf Twitter veröffentlichen. Ihr Twitter Account: @pwnedlist

Die Webseite ist wieder ein gutes Beispiel, dass man verschiedene Passwörter für verschiedene Online-Dienste nutzen sollte. So sollte man für sein E-Mail Postfach ein anderes Passwort verwenden, wie z.B. für sein Ebay Account.

Wie sieht ein sicheres Passwort aus?
Ein sicheres Passwort sollte aus mindestens 9 Zahlen & Buchstaben (Groß+Kleinschreibung) bestehen. Der einfachste Weg sich ein sicheres Passwort zu merken ist, sich einen Satz zu merken und dann ein paar Sonderzeichen bzw. Zahlen hinzufügen.

Beispiel:

Satz: „Mein Hund hat die Katze des Nachbarn gebissen“

Wir nehmen nun die Anfangsbuchstaben des o.g. Satzes: MHhdKdNg und fügen am Ende noch ein „!“ hinzu. Dann erhalten wir:

Passwort: MHhdKdNg!

Gerne kann man hier noch eine Zahl mit einbringen, z.B. „MHhdKdNg2011!

Update:
http://blog.botnetzprovider.de/2014/04/08/millionen-von-geklauten-e-mail-konten-und-passwoerter-ist-dein-postfach-auch-dabei/