Emails mit Passwortänderungsanfragen bekommen

[Ryne]

Hallo,
ich habe heute morgen einige Emails mit Zurücksetzunganfragen meiner Passwörter bekommen. IP Adresse aus Russland, von der die Anfragen gestellt wurden. Jetzt mache ich mir natürlich etwas Sorgen, hatte tatsächlich noch keine Probleme dieser Art. Es handelt sich bisher nur um unwichtige Account von Online Spielen o.ä. (aber auch hier nur "alte" Account, die seit Jahren nicht genutzt wurden)

Wichtige Account wie Paypal, Banking, Google etc. sind natürlich alle 2 Faktor gesichert. Ich werde vorsichtshalber trotzdem mal überall die Passwörter ändern. Sollte ich trotzdem noch etwas beachten? Irgendein Programm über Rechner/Smartphone laufen lassen? Nutze eigentlich nur das Werks Antivirensystem von Windows 10.

 

[DeusoftheWired]

Wahrscheinlicher ist, daß ein Skript bekannte oder geleakte Passwörter bei Spielkonten durchprobiert. Bisher sind es ja nur gescheiterte Anfragen und keine erfolgreichen. Wenn dein Passwort ausreichend sicher ist, brauchst du dir keinen Kopf zu machen.

Prüf aber mal, ob die E-Mail-Adresse auf https://haveibeenpwned.com/ geführt wird.

 

[Ryne]

Okay, tatsächlich war ich wohl von einigen Datenleaks betroffen. (LuminPDF und einige Websiten)

 

[Tornhoof]

Wahrscheinlicher ist, daß ein Skript bekannte oder geleakte Passwörter bei Spielkonten durchprobiert. Bisher sind es ja nur gescheiterte Anfragen und keine erfolgreichen

Zurücksetzungsanfrage wird üblicherweise nicht durch Skripte durchprobiert, das geht ja an die bestehende Emailadresse.

Ist deine Emailadresse einfach dein Name oder irgendein weit verbreiteter Spitzname, dann kann es ggf. auch einfach nur die Falsche Adresse sein und muss nicht zwangsweise was "böses" sein.

 

[Ryne]

Zurücksetzungsanfrage wird üblicherweise nicht durch Skripte durchprobiert, das geht ja an die bestehende Emailadresse.

Ist deine Emailadresse einfach dein Name oder irgendein weit verbreiteter Spitzname, dann kann es ggf. auch einfach nur die Falsche Adresse sein und muss nicht zwangsweise was "böses" sein.

Nein, die Adresse ist Vor.Nachname und beides sind nicht gerade weit verbreitete Namen

 

[Tornhoof]

Da du ja eh von Leaks betroffen bist würde ich grundsätzlich mal die Passwörter ändern in etwas komplett neues.

Konzeptionell gibt's auch den Versuch, das Zurücksetzen zu triggern, damit du das Passwort auf eine geleakte Variante änderst, da die meisten Leute ja Passwörter nur minimal ändern.

 

[DeusoftheWired]

Okay, tatsächlich war ich wohl von einigen Datenleaks betroffen. (LuminPDF und einige Websiten)

Dann natürlich gegen ein sicheres ändern. Hast du das Passwort bei anderen Diensten benutzt, die auf diese E-Mail-Adresse registriert sind, dann ändere es auch bei ihnen.

Zurücksetzungsanfrage wird üblicherweise nicht durch Skripte durchprobiert, das geht ja an die bestehende Emailadresse.

Du hast recht. Habe OPs ersten Beitrag als normalen Passwortänderungsversuch gelesen. Beim Zurücksetzen geht ja ein neues vom Anbieter generiertes Passwort an die bestehende Adresse. Haben die bösen Buben nicht auch Zugriff auf diese Adresse, nützt ihnen das Zurücksetzen nichts.

 

[Tornhoof]

Beim Zurücksetzen geht ja ein neues vom Anbieter generiertes Passwort an die bestehende Adresse.

Allen Anbietern bei denen du das siehst und der Anbieter "wichtig" genug ist, eine gepfefferte Email schreiben, das ist nicht Stand der Technik. Nicht so schlimm wie das Passwort im Plaintext zuschicken, aber trotzdem nicht der Idealweg.

 

[DeusoftheWired]

Allen Anbietern bei denen du das siehst und der Anbieter "wichtig" genug ist, eine gepfefferte Email schreiben, das ist nicht Stand der Technik.

Was ist denn die Alternative dazu, wenn 2FA nicht aktiv ist?

 

[Tornhoof]

Was ist denn die Alternative dazu, wenn 2FA nicht aktiv ist?

Du kriegst kein neues Passwort zugeschickt, sondern einen Link (der nur X Minuten aktiv ist und nach erfolgreicher Änderung nicht mehr aktiv ist) zu einer Seite wo du dein eigenes, selbst gewähltes Passwort zweimal eingeben musst. (Gibt noch ein paar Varianten davon, aber so ungefähr läufts immer).

Passwörter irgendeiner Art in Emails schicken ist eigentlich ein No-Go, auch wenns nur ein Einmalpasswort ist

 

[DeusoftheWired]

Den Vorteil gegenüber einem verschickten Passwort sehe ich ehrlich gesagt nur darin, daß man damit die bösen Buben aussperrt, die die E-Mail unterwegs einsehen können, aber keinen Zugriff auf das Postfach haben. Oder übersehe ich da etwas?

 

[Tornhoof]

Gibt noch ein paar mehr Varianten:
1. Einige User ändern die zugesendeten Passwörter nicht.
2. Die zugesendeten Passwörter können ein offensichtliches Schema haben (ja schon erlebt, Vorname+Geburtstdatum)

Allgemein ist die "Server sendet dir Passwort"-Variante auch ein Indikator dass z.b. das Shopsystem und/oder andere Teile des Systems veraltet sind.

Es gibt halt sog. Cheatsheets die sich damit auseinandersetzen: https://cheatsheetseries.owasp.org/cheatsheets/Forgot_Password_Cheat_Sheet.html
Die werden von Leuten entwickelt die Ahnung davon haben, das meinte ich mit Indikator dafür dass die Systeme veraltet sind.