Bin ich paranoid geworden mit den Jahren?

[SirSinclair]

@KitKat::new() du hast gerade einem KI generierten Text geantwortet, weiß nicht ob dir das bewusst ist...

Ergänzung (Gestern um 01:45)

Komisch, bei uns ist genau das der Fall. Und bestätigt werden Anforderungen an die Bank mit dem Fingerabdruck auf dem zweiten, physisch getrennten, Gerät.

Du benötigst also 2 Smartphones für dein Onlinebanking? Das ist eher ungewöhnlich.

 

[areiland]

Du benötigst also 2 Smartphones für dein Onlinebanking? Das ist eher ungewöhnlich.

Nö, wir bestätigen alle am Rechner oder Tablet angestossenen Banktransaktionen mit einem unserer Smartphones.

Stell Dich also bitte nicht so an, denn Du weißt genau wie sowas gemeint ist, musst es aber immer wieder ins lächerliche ziehen. Wenn Du sowas nicht kannst, dann lerns, aber hör auf andere belehren zu wollen.

 

[Dr. Chaos]

Nein, bräuchte er nicht, das sind für die App alles nur Bits und Bytes und kann deshalb digital simuliert werden.

Wer hat dir solchen Unsinn erzählt?
Zu viel Computer Bild gelesen?

Onlinebanking auf Linux mit einem zweiten Faktor der offline ist (also z.B. einen Kartenleser) ist immernoch der Goldstandard was Sicherheit beim Onlinebanking angeht.

Was soll daran jetzt besonderst sicher sein?

Außerdem reden wir über Online-Banking nicht über Atomwaffen.

Ergänzung (Gestern um 02:24)

@Dr. Chaos
In der Regel sind biometrische Daten nur ein Zusatz und ein Passwort / PIN immer als Backup (Primär) hinterlegt, weshalb man es ignorieren kann, da man oft durch die "Passwort-Vergessen" Funktion lediglich deine E-Mail Adresse benötigt.

Eben nicht, hätte ich mein Passwort für die App vergessen, kann ich in der App ein neues beantragen, dafür scant die App erst mein Gesicht, dann bekomme ich einen Code per SMS auf mein Telefon, wenn ich diesen eingegenen habe und mich danach mit meinem Fingerabdruck identifiziert habe kann ich mein neues Passwort eintragen. An die E-Mail-Adresse geht in diesem Fall nur noch eine einfache Benachrichtigung über das ändern des Passworts.

Zahle ich Online mit meiner KK muss ich je nach Betrag und Händler die Zahlung in der App per Fingerabdruck bestätigen. Auch Überweisungen etc müssen in der App immer noch mal per Fingerabdruck bestätigt werden.

Sorry aber viel sicherer geht es nur mit unverhältnismäßig viel mehr an Aufwand, den sich niemand freiwillig anzutun will.

I

 

[SirSinclair]

Nö, wir bestätigen alle am Rechner oder Tablet angestossenen Banktransaktionen mit einem unserer Smartphones.

Darum ging es aber nicht, es ging darum Online Banking rein mit der App der Bank auf dem Smartphone zu machen, ohne PC.
Zwei getrennte Geräte für den Zugang wie in deinem Fall ist schon ziemlich sicher.

Stell Dich also bitte nicht so an, denn Du weißt genau wie sowas gemeint ist, musst es aber immer wieder ins lächerliche ziehen. Wenn Du sowas nicht kannst, dann lerns, aber hör auf andere belehren zu wollen.

Nein mir war nicht klar wie du das meintest, deshalb fragte ich ja, und ich habe auch nichts ins lächerliche gezogen. Es wäre schön wenn du etwas gelassener diskutieren würdest ohne gleich so persönlich zu werden und überall Angriffe gegen dich hineinzuinterpretieren.

Wer hat dir solchen Unsinn erzählt?
Zu viel Computer Bild gelesen?

Wer oder was ist "Computer Bild"?
Wenn du meinst das es Unsinn ist dann bleib ruhig bei deinem Glauben, es ist dein Geld was du riskierst, nicht meins.

Sorry aber viel sicherer geht es nur mit unverhältnismäßig viel mehr an Aufwand, den sich niemand freiwillig anzutun will.

Der Aufwand den du beschrieben hast ist im Vergleich zum PC-Onlinebanking schon viel höher und gleichzeitig wie schon gesagt wesentlich unsicherer weil kein getrennter zweiter Faktor verwendet wird.

 

[1lluminate23]

Guten Morgen,

eigentlich ging es mir um meinen Umgang mit fremden Dateien. Das Thema Online Banking kam hinzu, ich erklärte, dass ich dafür ein Linux-Live Sysrem nutze. Programme, Tools, weren von mir zukünftig in einer VM getestet.

 

[bart1983]

Tipp für deine Paranoia: Lade dir der Sysinternals Tool processexplorer runter & aktivieren den VirusTotal Spalte, da kann man sehen welche gerade bei Dir laufenden Dienste laut Hashwert höchst wahrscheinlich schädlich sind

Die Frage wie hoch man das Paranoialevel bei heruntergeladenen Dateien legen sollte, ist abhängig von der Herkunft der Dateien.
Dein Vorgehen bei JEDEM Download ist natürlich Unsinn.

Habe selbst seit vielen Jahren nur bei Bekannten Trojaner/Viren gesehen, die absolut keine Ahnung von der Materie & durch Spammails sich Viren eingefangen haben.
Diese Leuten waren aber auch sehr naiv. Ich unterstelle Dir das du Ahnung hast, deshalb sollte die Wahrscheinlichkeit bei Dir nahezu Null sein.
Und ich behaupte das du - trotz (nicht wegen ) deiner Übervorsicht - auch keinerlei Viren in den letzten Jahren gefunden haben wirst.

Persönlich kann ich mich selbst nicht mehr daran erinnern wann es bei mir auf Windows-Systemen in den letzten 15 Jahren noch ein echter Virus auftrat. Dagegen gab es deutlich mehr False-positiv durch den Defender.

Wenn man Crackz/ gecrackte Software/Dateien à la "GTA6_installer_trustmebro.exe" herunterlädt dann sollte man vorsichtig sein, wobei dann ja aber auch mittlerweile der Downloadscanner innerhalb von Browsern oft schon Alarm schlägt.

Anders als du lebe ich eher das andere Extrem. Ich nutze keinen Virenscanner mehr.
Bin selbst aus Datenschutzgründen beinahe komplett auf Linux umgestellt & nutze dort auch nur die offiziellen sicheren respositories (sichere, also kein AUR für Arch. Sry Archuser ) & wenn ein curl und install kommt, dann nur quelloffen & vertrauenswürdige Developern (ist aber seeeehhhrrr selten).

Vielleicht wäre also Linux für dich eine denkbare sicherere Alternative?

@ev4x ich bin hier im Haushalt für das Netzwerk zuständig, Tablets und Smartphones eingenommen und IOTs. (...) Ich plane gerade ein Pi-hole und ein VPN.

Ich verstehe den VPN-Hype nicht so ganz, aber pihole/adware home ist eine sehr sinnvolle - und in meinen Augen auch eine essentielle - Komponente.

Nicht nur das damit teilweise Schadsoftware abgefangen werden kann (das dürfte komplett in deinem Sinne sein), sondern für Datenschutz & vermindertes Trafficaufkommen ist dies ein beinahe unverzichtbares Addon für jedes Netzwerk.

Nutze pihole seit Jahren & habe es auch bei einigen Bekannten eingerichtet. Jeder ist begeistert & will das nicht mehr missen.
Und bei mir fängt es seitdem beinahe durchgängig zwischen 15-30% des Traffics ab.
Vorallem die IOT Geräten senden wie verrückt ins Netz. Durch DoubleNat-Aufbau sind die zwar von meinem Hauptnetzwerk getrennt, werden aber dennoch über diesen einen pihole gefiltert.

Falls du eine Fritzbox hast, kann man bald offizielle auch so eine DNS-Filterung (wie bei pihole/adware home ) auch direkt in der Fritzbox einstellen. Momentan nur in der Labor-Firmware, kommte dann aber auch absehbar in die stable:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Und wenn es dir auch um Sicherheit & Datenschutz geht, kannst du auch DNS over TLS einrichten, sollte es noch nicht gemacht worden sein.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[Cris-Cros]

Rein subjektive Einschätzung auf deine ursprüngliche Einschätzung: definitiv paranoid, oder hast du berechtigte Befürchtung, gezielt Opfer von Cyberkriminellen zu werden?

Hast du besonders sensible Daten oder Vermögenswerte, die einem besonderen Schutz unterliegen sollen? Falls ja, schaffe dir ein komplett seperiertes Gerät zum speichern und ausführen an und packe das ebenfalls in ein separates Netzwerk.

Dann brauchst du dir erst Mal deutlich weniger sorgen über verseuchte Daten machen, die du dir aus dem Netz ziehst.
Ansonsten hast du es ja schon selbst bestens beschrieben. Nur vertrauenswürdige Daten von sicheren Quellen laden. Im Zweifelsfall überlegen, ob man dir Vielzahl der Anwendungen überhaupt braucht.

 

[Fragger911]

Nur weil man nicht paranoid ist, heißt das nicht, dass sie nicht doch hinter einem her sind.

 

[Eletron]

Ich kann dich da gut verstehen. Die Frage ist, ob man diese Tools wirklich braucht und wie etabliert diese sind. Es kommt leider vor, dass via Git Malware verteilt wird bzw. Pakete auf Git infiziert wurden.

Wäre denn ein Ausprobieren oder Testen in einer VM keine Alternative für dich?

 

[Kasjo]

Das ist alles andere als sinnfrei, selbst Micro$oft macht das mittlerweile

Für mich ist das Sinnfrei. Wie gesagt, damit das sinn ergibt muss es schon brand aktuelle version sein. Nicht wenns das schon ne zeit lang im netz gibt. Dann hats die reifezeit schon hinter sich und ich muss das nich am eigenen rechner machen.
Und er schreibt ja er machts von haus aus.
Allen voran schon weil die leuts in der regel so bald es n update entsprechender Software gibt, diese auch meist instant installieren.

Das MS das so macht is schön. Juckt mich nicht..

Wie schon erwähnt, mit gesundem Verstand und einer Backup-Strategie kann einem das komplett egal sein.
Für jede andere suspekte Software ->VM

 

[JustAnotherUser]

Gescheite backups & zentral automatisierte Updates, und du kannst dir das ganzen Antiviren Voodoo sparen.
Ohne so software ist dein PC auch gleich noch sicherer und du bekommst Gratis mehr Lebenszeit

Ein Backup bringt dir was gegen Datenverlust, nicht mehr. Wenn deine Passwörter ausgelesen und missbraucht werden, ohne dass du es merkst oder wenn Daten öffentlicht werden, die du lieber für Dich behalten würdest, nutzt das gar nichts.

Ergänzung (Gestern um 10:14)

Die GitHub-Projekte lasse ich mind. 3-5 Tage in einem „Download-Speicher“. Da soll das Ganze erst mal „reifen“.

Ich verstehe nicht, was Dir die 3-5 Tage bringen. Bei Github siehst du ja aus unabhängiger zuverlässiger Quelle, wie alt das ist. Was sollen zB bei ner 4 Monate alten Anwendung weitere 3-5 Tage bringen?! (Wenn du neue Anendungen dort entdeckst wird das ja in den seltensten Fällen nur wenige Tage alt sein)

Ansonsten finde ich auch Nutzung in einer VM einen guten Weg.

 

[luckysh0t]

@1lluminate23

Wenn ich nach unserem Sicherheitsexperten gehen würde, machst du alles richtig ^^ er erstellt sich auf Basis eines Templates eine one shot VM für diesen einen Zweck, den er gerade im Internet vorhat.
Danach wird diese gelöscht. Host OS ist bei ihm Fedora, die VM je nach Zweck.
Sofern man einen Homeserver hat etc. könnte auch KASM interessant sein für solche Zwecke.

 

[JackForceOne]

Ich sage auch mal etwas dazu.
An sich halte ich dein Vorgehen für professionell. Bei kompromittierten neuen Downloads von Softwareupdates (Notepad++ Supply-Chain Angriff mal als Beispiel) hättest Du mit der Devise "3 Tage abwarten", oder besser nicht immer den aktuellsten Download nehmen, sicherlich dir diese Malware nicht eingefangen. Auch xz wurde ja schon genannt. Aber man kann sich nicht vor allem schützen. Und die 3 Tage sind halt auch nur eine Annahme. Es kann auch 7 Tage, 1 Monat oder wie lange auch immer dauern. Jedes Update, auch OS Updates bergen die Gefahr, dass ein Supply-Chain-Angriff erfolgreich war. Alleine schon die Installation hat ja unzählige Pakete. Man könnte auch Backdoors im Windows oder Linux Kernel vermuten, oder in der Firmware der NIC / BIOS / ...

Woher kommt Dein Urvertrauen ist das Betriebssystem und die vorinstallierten Pakete? Ich habe das auch, aber auch da muss man kritisch bleiben

Noch sicherer wäre es wahrscheinlich gar keinen Computer zu betreiben oder wenn es ein Computer sein muss so wenig Software wie möglich installiert zu haben, nicht auf Windows zu setzen etc.

Aber die Frage ist ja auch: Was motiviert dich, so wie Zeit und Energie dafür aufzuwenden? Ist die Angst irrational, oder nicht? Wenn Du jetzt Edward Snowden bist, Journalist im Iran oder so, ja dann würde ich auch so einen Aufwand betreiben. Wenn Du hochkriminelle Inhalte verbreitest und schon mehrfach Hausdurchsuchungen hattest, wahrscheinlich auch. Aber wenn Du eher nicht gezielt angegriffen wirst...

Mir persönlich ist meine Lebenszeit dafür aber zu schade. Man kann gut in VMs etc. Dinge testen und vor allem neue und unbekannte Software darin ausführen, die haben auf dem Produktivsystem nichts zu suchen. Regelmäßige Backups mit Ransomware-Protection sind auch sehr wichtig und sparen Zeit für den Fall, dass etwas passiert.

 

[luckysh0t]

Lade dir der Sysinternals Tool processexplorer runter & aktivieren den VirusTotal Spalte,

Danke für den Tipp

 

[BeBur]

@illumina7 wie andere schon schrieben ist das Vorgehen nicht abwegig und wird zum Teil auch in professionellen Kontexten so gemacht. Solange dich es nicht stört einige Tage zu warten gibt es doch kein Problem.

Ich mache etwas vergleichbares: Ich schalte bei der meisten Software die ich nutze die Auto-Update Funktion aus. Ausgenommen davon ist Software, die engen direkten Kontakt zum Internet hat wie Betriebssystem, Browser, E-Mail Programm.

Die Überlegung ist im Prinzip die gleiche: Man hat ansonsten oft 10-20 verschiedene Applikationen auf dem Rechner, die regelmäßig eigenständig Code aus dem Internet laden und auf dem eigenen Rechner ausführen. Wenn da irgendwo die Infrastruktur kompromittiert ist wird da einfach Malware mit eingeschleust.

Das ist relativ unbeliebt, weil die meisten die Dinge nicht wirklich durchdenken, sondern das übernehmen, was die Mehrheit im Internet schreibt und die sagen "Software nicht updaten ist unsicher", aber: Es ist extrem unwahrscheinlich, dass man in Kontakt mit Schadsoftware kommt, die eine Lücke in einem konkreten Programm wie Notepad++, Foxit PDF Reader, ... ausnutzt. Solche Angriffe entfalten schlicht keine Flächenwirkung und lohnen sich nicht. Was sich aber lohnt, ist die Infrastruktur von Foxit, Notepad++, ... anzugreifen und Malware als Update einzuspielen. Das gilt insbesondere auch für z.B. Visual Studio Code Plugins.

Das ist entsprechend auch das, was passiert: Diese Art von Angriff ist relativ häufig, relativ gefährlich aber eigentlich relativ leicht zu vermeiden als Endnutzer. Das Umdenken dauert offenbar nur offenbar noch einige Zeit.