Google Datenpanne vs HaveIBeenPwned

[Holly_Molly]

Sehr geehrte Damen und Herren,

als ich mich heute auf eine Website einloggte, teilte mir Chrome auf einmal mit das über 200 (ja, wirklich) meiner Passwörter wohl bei einer Datenpanne offengelegt wurden. Danach suchte ich natürlich erstmals weit und breit nach Lösungen und kam unter anderem auf HaveIBeenPwned.

Hier habe ich mit Emails und Passwörtern etwas herumprobiert und die Seite hat nichts gefunden. Was ist hier eher zu vertrauen Google oder HaveIBeenPwned? Ich würde grundsätzlich annehmen Google, aber über 200 Passwörter zu ändern wäre dann doch etwas exzessiv.

Vielen Dank für die Hilfe
Holly_Molly

 

[omavoss]

Hat Dir Google eine Pishing-Seite präsentiert? Screenshot bitte . . .

 

[Holly_Molly]

Das wurde mir von Google präsentiert, sind nun bereit weniger, weil ich einige Passwörter entfernt oder geändert haben.

Oder meintest du etwas anderes?

 

[SI Sun]

Ich hoffe, du warst nicht so naiv und hast auf eine solche Lockmeldung mit einem Klick auf irgendeinen Link reagiert.
Das wäre das denkbar dümmste, was man in solch einem Fall machen könnte. (Panik Reaktion)

Absender Adressen müsste man auch ordentlich prüfen. Nur weil Google als Absender steht, muss es nicht Google sein. Die gesamte Adresse muss eine offizielle Google Adresse sein, nicht nur ein Teil davon.

1. Auf welcher Seite teile dir Google das mit?
2. Gab es solch eine wichtige Mitteilung auch per Mail?
3. Hast du auf einen Link bzw. noch schlimmer, auf die Mitteilung geklickt? (wie lautet der Link des Buttons?)

 

[Holly_Molly]

Nein irgendein Link war das nicht, mit dem gesendeten Foto kam ich dann direkt in meine Einstellungen - Aber hätte nicht erkannt das hier was faul wäre.

Normale bin ich mir der Gefahren im Netz auch bewusst und surfe nicht auf irgendwelche dubiosen Seiten, darum bin ich nun etwas überrascht.

 

[Nero_XY]

Ich gehe mal stark davon aus, dass du einfach bei den 133 Seiten das gleiche Passwort nutzt und das jetzt halt in einer Datenbank aufgetaucht ist, gegen die Google/Chrome regelmäßige Abgleiche macht

 

[Holly_Molly]

1. Auf welcher Seite teile dir Google das mit?
2. Gab es solch eine wichtige Mitteilung auch per Mail?
3. Hast du auf einen Link bzw. noch schlimmer, auf die Mitteilung geklickt? (wie lautet der Link des Buttons?)

1. Das war auf BestSecret - Ist eine Shoppingseite
2. Ich hatte zuvor eine kritische Sicherheitswarnung von Google wegen einer anderen Email, aber die hatte eigentlich nicht phishy gewirkt.
3. Nein, bin dann in die Einstellungen in Chrome, zu meinen Passwörtern und hab dann da alles abgecheckt.

 

[SI Sun]

Dumme Fehler geschehen auch den Klügsten.
Bei der Anzahl der Passwörter klingt es, als würdest du entweder dasselbe Passwort bei vielen Seiten verwenden (gar nicht klug) oder dass eine Datenbank gehackt wurde (Online Passwort Verwaltung).

So paranoid wie ich bin, würde ich in solch einem Fall direkt ein anderes Gerät wählen (Notebook, Tablet, etc.) und auf mein Chrome Account zugreifen und das ganze nochmals prüfen und Passwörter ändern. (wenn die bei Google gespeichert sind) Angefangen mit dem Master-Passwort.

 

[Holly_Molly]

Ich gehe mal stark davon aus, dass du einfach bei den 133 Seiten das gleiche Passwort nutzt und das jetzt halt in einer Datenbank aufgetaucht ist, gegen die Google/Chrome regelmäßige Abgleiche macht

Negativ. Handelt sich um wenige, aber verschiedene Passwörter, sozusagen Variationen voneinander... (ich weiß, nicht sehr sicher.)

Dumme Fehler geschehen auch den Klügsten.
Bei der Anzahl der Passwörter klingt es, als würdest du entweder dasselbe Passwort bei vielen Seiten verwenden (gar nicht klug) oder dass eine Datenbank gehackt wurde (Online Passwort Verwaltung).

Ja verwende schon öfters das selbe und nutze eigentlich nur Google's Auto-Fillin - Aber so eine Passwort Verwaltung wäre wahrscheinlich smart, gibt's da Empfehlungen?

 

[omavoss]

Bitte - wenn einer hier auf der genannten Best-Secret-Seite in einer Sandbox probieren will, welches Ergebnis dabei rauskommt --- ich bin hier raus. Ich tippe zu 100% auf Pishing!

Eine Passwort-Verwaltung wäre z.B. KeePassX :
https://www.keepassx.org/

 

[SI Sun]

Die meiner Meinung nach beste Passwortverwaltung muss OpenSource und offline sein.
KeePass ist meine Referenz. Bitwarden ist ebenfalls gut.

Das bedeutet nicht, dass die Passwortverwaltung von Google schlecht ist. Aber so sicher wie die zwei genannten OpenSource Alternativen im Offline Modus ist Googles Lösung 100% nicht.

Bei solch einer Meldung würde ich aber nicht anfangen das Programm zu installieren und einfach stumpf alles dort einzutragen.
In diesem Fall wäre ich bereits dabei eine Neuinstallation meines Betriebssystems vorzubereiten und auf einem anderen ("sicheren") Gerät alle Passwörter zu ändern.

Man kann nie wissen, was am System kompromittiert wurde.
Es könnte genauso gut ein Keylogger integriert worden sein, was sämtliche neuen Passwörter sinnlos macht.
Oder ein Proxy bei jedem Aufruf einer Internetseite.
Oder was auch immer.

 

[Nero_XY]

Aber so eine Passwort Verwaltung wäre wahrscheinlich smart, gibt's da Empfehlungen?

bequem: https://bitwarden.com
viele Funktionen und volle Kontrolle: https://keepassxc.org
Bringt aber beides nur was, wenn du dich wirklich mal nen Abend lang hinsetzt und ALLE Zugänge mit einmaligen, sicheren Passwörtern ausstattest

 

[Gelöscht 510290]

Sieht in meinem Chrome auf dem Tablet ähnlich aus.

 

[Holly_Molly]

Danke für die Hilfe! - Denkt Ihr nun das ich mir hier Sorgen machen muss, lt. IHaveBeenPwned sollte alles im grünen Bereich sein, aber lt. Google nicht..

Ergänzung (4. Mai 2022)

Sieht in meinem Chrome auf dem Tablet ähnlich aus. Anhang anzeigen 1214899

und du machst dir da keine Sorgen?

 

[calippo]

Negativ. Handelt sich um wenige, aber verschiedene Passwörter, sozusagen Variationen voneinander... (ich weiß, nicht sehr sicher.)

Und wie komplex sind die? Wenn sie eher kurz und unkomplex sind und durch andere Leute auch zufällig genutzt wurden und dann gepwnd wurden, dann sind Deine PW natürlich auch markiert.

 

[Gelöscht 510290]

und du machst dir da keine Sorgen?

Nö. Altlasten. Mittlerweile generierte Passwörter aus Chrome/Firefox und Keepass.

 

[SI Sun]

@Holly_Molly
Vielleicht wurde die Datenbank von HaveIBeenPwned noch nicht mit damit gefüttert.
(heißt übrigens nicht IHaveBeenPwned)

Der Vorteil an solchen Passwortmanagern wie KeePass oder Bitwarden ist, dass du auch 200 Passwörter mit jeweils einem Klick generieren lassen kannst. 200 Passwörter mit 100 Stellen sind einfach erstellt.
Man muss sich trotzdem nur ein Passwort merken, so wie bei deiner Google Variante, aber in Offline und OpenSource.

Die Datei (Datenbank) solltest du logischerweise irgendwo als Backup speichern.
Bei Google ist so eine Datei in der Cloud gespeichert. Die Datenvollmacht hat also auch Google.

 

[Holly_Molly]

Und wie komplex sind die? Wenn sie eher kurz und unkomplex sind und durch andere Leute auch zufällig genutzt wurden und dann gepwnd wurden, dann sind Deine PW natürlich auch markiert.

Haben mindestens 8 Zeichen und auf die sollte normalerweise keiner kommen...

@Holly_Molly

Vielleicht wurde die Datenbank von HaveIBeenPwned noch nicht mit damit gefüttert.
(heißt übrigens nicht IHaveBeenPwned)

Sorry, komme schon ganz durcheinander.

 

[omavoss]

Man kann nie wissen, was am System kompromittiert wurde.

Richtig.

Einem Keylogger könnte man mit der Bildschirmtastatur begegnen.

https://support.microsoft.com/de-de...-eingabe-ecbb5e08-5b4e-d8c8-f794-81dbf896267a

 

[Holly_Molly]

Okay, vielen Dank für all die Infos!