Geheime Inhalte von Millionen Webseiten durch Cloudflare öffentlich!

[BmwM3Michi]

habe von Bitcoin.de folgende Nachricht bekommen:


Sicherheitswarnung!

Sehr geehrter Herr xxxxxxx,

ein heute öffentlich bekannt gegebener Fehler (Stichwort: "cloudbleed") bei unserem Dienstleister Cloudflare betraf weltweit mehrere Millionen Webseiten und leider auch bitcoin.de.

Der Fehler, der in nur sehr seltenen Fällen zu einer ungewollten Veröffentlichung von (auch verschlüsselten) Informationen führen konnte, wurde seitens Cloudflare mittlerweile behoben. Auch wenn die unverschlüsselte Übermittlung von eigentlich verschlüsselten Informationen nur in einem von ca. 3,3 Millionen Webseitenaufrufen auftrat, kann es aber in diesen seltenen Fällen zu einer Gefährdung der Sicherheit gekommen sein oder noch kommen.

Auch wenn wir bisher keinen konkreten Anlass haben anzunehmen, dass Kunden von Bitcoin.de zu Schaden gekommen sind, empfehlen wir als Vorsichtsmaßnahme trotzdem allen Kunden, ihr Passwort auf bitcoin.de zu ändern.

Da viele weitere bekannte Webseiten von dem Fehler betroffen sind, sollten Sie zudem überprüfen, ob Sie auch bei weiteren Diensten Ihre Benutzernamen und/oder Passwörter ändern müssen. Unter dem nachfolgenden Link finden Sie eine (sehr lange) Liste der von "cloudbleed" betroffenen Webseiten:

https://github.com/pirate/sites-using-cloudflare

Wichtig! Bitte benutzen Sie NIEMALS das gleiche Passwort für mehrere Webseiten oder Dienste. Passwort-Tools wie 1Password, LastPassword und andere "Passwort-Tresore" bieten zwar auch keinen 100%igen Schutz, aber immer das gleiche Passwort zu benutzen ist definitiv eine größere Gefahr.

Bei einer 2-Faktor-Authentifizierung über eine App (wie beispielsweise Google-Authenticator) ist die Wahrscheinlichkeit, dass der einmalig angezeigte Seed durch "cloudbleed" veröffentlicht wurde, noch wesentlich geringer. Dennoch empfehlen wir als Vorsichtsmaßnahme auch die 2-Faktor-Authentifizierung bei Bitcoin.de zu deaktivieren und sofort wieder zu aktivieren. Nutzer eines Yubikeys und einer Passwort-Tabelle sind nicht betroffen und müssen nichts unternehmen.

Sofern Sie immer noch keine 2-Faktor-Authentifizierung eingerichtet haben, empfehlen wir Ihnen dies dringend, da ein unberechtigter Zugriff auf Ihren Account so deutlich erschwert wird. Weitere Infos dazu finden Sie in unseren FAQ: https://www.bitcoin.de/de/faq/was-ist-die-2-step-verification-2-faktor-authentifizierung/46.html

Weitere Informationen zu "Cloudbleed" finden Sie unter:

heise.de: Cloudbleed:
https://www.heise.de/security/meldu...ten-durch-Cloudflare-oeffentlich-3634075.html

Golem:
https://www.golem.de/news/speicherl...rivate-daten-uebers-internet-1702-126366.html


Mit freundlichen Grüßen

Ihr Team von Bitcoin.de

 

[Smagjus]

Da viele von den Usern hier auch bei Hardwareluxx aktiv sind und das Luxx zu den Kunden von Cloudflare gehört, hier die Reaktion vom Luxx dazu:

Der Maschinenraum meldet:

Wir haben die vorliegenden Informationen umfangreich geprüft und können mitteilen:
Hardwareluxx war (und ist) vom sog. #Cloudbleed Bug nicht betroffen. Es sind keine sensiblen Daten geleaked!


English:
Hardwareluxx was (and is) not affected by the so called #Cloudbleed Bug. No sensible data were leaked!

https://www.hardwareluxx.de/communi...rdwareluxx-forum-862672-202.html#post25341432

 

[engine]

Und wieder mal, wer Sicherheit bieten will, verursacht auch Unsicherheit .
Schon doof, dass an solchen Stellen viele Stümper anzutreffen sind.

 

[BmwM3Michi]

pcgames.de, pcgameshardware.de und billiger.de sind auch auf der Liste!