Jemand versucht meine Email zu hacken

[thrawnx]

Beste Passwörter sind längere Passphrasen, die man sich auch leicht selbst merken kann. Zum Beispiel: "Mein Hund sprang 12* ums Web.de!".

Lange Passwörter und Passphrasen ja, aber nicht sowas was du als Beispiel anführst. Das 12* ist gut, aber nur Wörter sind z.B. schlecht, da sie per dictionary attack verwundbar sind.

 

[BeBur]

Warum sollte man überhaupt Passwörter nutzen die man sich merken kann. Im besten fall hat man einen Passwort Manager und gibt das Passwort für eine Webseite einmal an und setzt dann den Haken bei "Login merken".

Ja, ist relativ selten.

 

[Chesterfield]

Warum sollte man überhaupt Passwörter nutzen die man sich merken kann. Im besten fall hat man einen Passwort Manager und gibt das Passwort für eine Webseite einmal an und setzt dann den Haken bei "Login merken".

ich halte das nackte 100% vertrauen in einen passwortmanager auch für leichtsinnig. auch die können Bugs behaftet sein. es gibt unter Entwicklern ein Sprichwort, das besagt, es gibt keine bugfreie software .
das Zauberwort ist hier 2 FA und langes Passwort mit umlauten und sonderzeichen und am besten sinnfrei.

 

[wrglsgrft]

Warum sollte man überhaupt Passwörter nutzen die man sich merken kann.

Weil das die sicherste Aufbewahrungsmöglichkeit ist. Sobald das Passwort irgendwo aufgeschrieben ist, besteht die Möglichkeit, dass jemand drittes es lesen kann.
Klar, PW-Manager sind relativ sicher, aber eben nur relativ. Aber gerade für sehr sensible Dinge kann es durchaus Sinn machen, das PW nirgends zu notieren.

und setzt dann den Haken bei "Login merken".

Damit jeder, der irgendwie Zugriff auf dein Gerät bekommt, sich nicht mal mehr die Mühe machen muss, das Passwort zu umgehen?
Klar, man kann es den Leuten auch besonders einfach machen.

 

[BeBur]

Weil das die sicherste Aufbewahrungsmöglichkeit ist.

Im Deutschen gibt es leider keine Unterscheidung. Im englischen unterscheidet man zwischen "safety" und "security". Der eigene Kopf ist vermutlich der "most secure" Ort, aber nicht unbedingt der "safest".

 

[thealex]

....ich hatte bei amazon und paypal die gleiche email und das gleiche passwort....hab nun alles geändert...also ist schon was los im netz...

Wieso hast du v. a. bei PayPal keine MFA aktiv? Ich habe vor geraumer Zeit schon den Entschluss gefasst, dass alle Accounts, die mich unmittelbar Geld kosten bei Hijack, MFA sichere. Also amazon, eBay, PayPal & Co.

Mittlerweile habe ich nahezu alle Accounts MFA gesichert, bei denen es möglich (und es irgendwo sinnvoll) ist. Völlig egal ob Forum, Onlineshop oder eben E-Mail-Accounts.

 

[bondki]

Beste Passwörter sind längere Passphrasen, die man sich auch leicht selbst merken kann. Zum Beispiel: "Mein Hund sprang 12* ums Web.de!".

Jap, genau das. Inzwischen sind durch die aber tausend Leaks etc. die meisten Tools so eingestellt, dass ohnehin erst beliebige Kombinationen und eben bekannte PW durchgerattert werden.

 

[GrumpyCat]

Lange Passwörter und Passphrasen ja, aber nicht sowas was du als Beispiel anführst. Das 12* ist gut, aber nur Wörter sind z.B. schlecht, da sie per dictionary attack verwundbar sind.

Das spielt ggf. keine Rolle: wenn Du z.B. sechs Wörter aus einem Pool von 4096 Wörtern benutzt, hat Dein Passwort 72 Bit Entropie (4096^6=2^12^6=2^72), und das entspricht etwa 11 völlig zufälligen ASCII-Zeichen, was schon ein sehr gutes Passwort ist, plus der Angreifer kennt das benutzte Wörterbuch ja nicht, muss also deutlich mehr raten, und das bei einem Passwort von "roh" rund 30 Zeichen Länge. Viel Spaß.

 

[Capet]

Ich habe vor einiger Zeit meinen E-Mails wie folgt umgestellt:

Ich habe mir 3 Postfächer angelegt, mit sehr langen und kryptischen Passwörtern, die in einem Passwortsafe liegen (KeepassXC+Yubikey). Die Adressen dieser 3 Postfächer sind zufällige Kombinationen aus Buchstaben und Zahlen. Diese Adressen werden, außer in meinen E-Mail-Clients, nirgends(!) direkt verwendet. Statt dessen richte ich für jedes Forum, jede Website und jeden Onlineshop, bei dem ich mich registriere, einen Alias für eines der 3 Postfächer ein.

Kommen bei einem dieser Anbieter E-Mailadressen „abhanden“ und ich erhalte über einen Alias plötzlich Spam, dann weiß ich a) ganz genau, wo Daten abhanden kamen und meide diese Seite zukünftig und b) ich lösche einfach den Alias und bin den Spam los.

Da die eigentlichen Adressen der E-Mailkontrn nirgend registriert werden, können sie auch nicht gestohlen werden. Bei Bedarf kann ich bei meinem Hoster auch zig weitere Konten mit weiteren Aliasen anlegen.

In KeepassXC habe ich dazu auch eine Liste darüber, welcher Alias zu welchem E-Mailkonto gehört. Ist etwas zusätzlicher Aufwand, hat sich für mich aber bewährt.

 

[Helge01]

Ich mache das schon seit über 10 Jahren so und es hat sich bewährt. Es sind bestimmt schon hunderte vom E-Mail Aliase. Da man genau sieht welcher Server gehackt wurde kann man den Alias und das Passwort auf der entsprechenden Webseite/Server ändern, dadurch hat sich das mit Spam dann auch sofort erledigt.

 

[Frooooonk]

Wieso hast du v. a. bei PayPal keine MFA aktiv? Ich habe vor geraumer Zeit schon den Entschluss gefasst, dass alle Accounts, die mich unmittelbar Geld kosten bei Hijack, MFA sichere. Also amazon, eBay, PayPal & Co.

...ja, genau das hab ich jetzt auch aktiv geschaltet

 

[hax69]

Sofern du kryptisch in seiner Bedeutung "schwer zu verstehen" meintest.

Schwer zu verstehen und möglichst lang :-)

 

[thrawnx]

Ich habe vor einiger Zeit meinen E-Mails wie folgt umgestellt:

Ich habe mir 3 Postfächer angelegt, mit sehr langen und kryptischen Passwörtern, die in einem Passwortsafe liegen (KeepassXC+Yubikey). Die Adressen dieser 3 Postfächer sind zufällige Kombinationen aus Buchstaben und Zahlen. Diese Adressen werden, außer in meinen E-Mail-Clients, nirgends(!) direkt verwendet. Statt dessen richte ich für jedes Forum, jede Website und jeden Onlineshop, bei dem ich mich registriere, einen Alias für eines der 3 Postfächer ein.

Kommen bei einem dieser Anbieter E-Mailadressen „abhanden“ und ich erhalte über einen Alias plötzlich Spam, dann weiß ich a) ganz genau, wo Daten abhanden kamen und meide diese Seite zukünftig und b) ich lösche einfach den Alias und bin den Spam los.

Da die eigentlichen Adressen der E-Mailkontrn nirgend registriert werden, können sie auch nicht gestohlen werden. Bei Bedarf kann ich bei meinem Hoster auch zig weitere Konten mit weiteren Aliasen anlegen.

In KeepassXC habe ich dazu auch eine Liste darüber, welcher Alias zu welchem E-Mailkonto gehört. Ist etwas zusätzlicher Aufwand, hat sich für mich aber bewährt.

Guck dir mal Fastmail an, die machen genau das, der einzige Nachteil davon ist, dass es eine US Firma ist.

 

[Capet]

Das ist für mich schon ein Ausschlusskriterium. Meine Postfächer und Domains habe ich bei einem deutschen Hoster. Der machen zusätzlich auch Nextcloudhosting, welches ich auch nutze.

 

[juwa]

Hier eine Tabelle, wie lange man heute etwa braucht, um ein Passwort alleine per Brute-Force aus einem Passwortfile zu knacken:



Man sieht deutlich, dass die Länge des Passworts deutlich wichtiger ist, als wie "kryptisch" es ist.

Artikel (auf Englisch) zu dem Bild:
https://tech.co/password-managers/how-long-hacker-crack-password

 

[BeBur]

@juwa Dabei ist jedoch zu beachten, das bezieht sich auf Offline-Angriffe auf den Hash. D.h. Angreifer hat sich auf den Server gehackt und eine Kopie der Login-Daten weggetragen. Darüber hinaus ist die Dauer natürlich abhängig vom Hash und den gewählten Parametern.
1.000 Versuche / Tag als Angriff über die Website des Dienstes reichen hingegen nicht aus, um ein 10-stelliges Passwort zu knacken.

 

[thrawnx]

Hier eine Tabelle, wie lange man heute etwa braucht, um ein Passwort alleine per Brute-Force aus einem Passwortfile zu knacken:

Anhang anzeigen 1451663

Man sieht deutlich, dass die Länge des Passworts deutlich wichtiger ist, als wie "kryptisch" es ist.

Wo siehst du das? Ich sehe da bei 12 Zeichen z.B. einen Unterschied von 220 Jahren zwischen "upper-/lowercase letters" und "kryptischen", 332 zu 15.000 Jahren bei 13, etc pp. Das findest du gering? o_O

Wenn du in die Tabelle guckst, wirst du sehen dass die Komplexität (sprich Sonderzeichen/Symbole) einen größeren Unterschied ausmachen als 1 Zeichen mehr im Passwort.

 

[juwa]

Das trifft ja sowieso alles nicht auf Angriffe mit Rateversuchen auf Accounts zu, sondern wenn man die Passwortliste gestohlen hat.

Ich redete ja ursprünglich auch von leicht zu merkenden Passphrasen, also einen ganzen Satz und nicht von kurzen Geschichten wie nur mit 12 Ascii Zeichen. Siehe weiter oben mein Beispiel mit dem Hund, das ist schwerer zu erraten und leichter zu merken als "(§JZq10&732u".

 

[BeBur]

Das trifft ja sowieso alles nicht auf Angriffe mit Rateversuchen auf Accounts zu, sondern wenn man die Passwortliste gestohlen hat.

Ich persönlich verwende laut der Tabelle ab und an mal sehr unsichere Passwörter, z.B. bei Netflix. Das ist so ein Dienst von dem ich befürchte, dass ich das Passwort womöglich hin und wieder manuell eintippen muss. Ich hab grad mal geschaut: 17 kleinbuchstaben. War aber mehr Zufall, alles von 12-18 kleinbuchstaben hätte ich erstmal genommen und nach Blick auf die Tabelle auch nicht geändert. Ist ein Passwort zum Teilen und ggf. mal spontan weiter geben, daher nicht zufällig, sondern ein Spruch. Mein Passwortprofil für solche Dienste für zufällige Passwörter ist auf 16 Kleinbuchstaben eingestellt. Ich habe da aber keine Wissenschaft draus gemacht und nach Gefühl entschieden.

Weil - was ist das worst case Szenario, wenn jemand an das Passwort kommt? Er kann dann mein Netflix Abo ändern oder kündigen oder peinliche Filme über den Account gucken? Jdfs. bis ich was merke, also nicht allzu lang. Und dahinter steht schon die Annahme, dass jemand eine Datenbank von Millionen von Netflix-Nutzern geklaut hat. Wer das macht, der loggt sich damit dann nicht auf Netflix ein, sondern macht sinnvolle Dinge damit, nämlich versucht sich mit dem selben Passwort in den E-Mail Account oder in Dienste wie Paypal einzuloggen.

Hier bei einem Dienst wie CB, wo unter meinem Pseudonym Dinge gepostet werden könnten ist das Threat-Level generell etwas höher. Zumal ich Pseudonyme genau wie Passwörter nicht wiederverwende. Das ist im Prinzip aber auch ziemlich witzlos, da gilt im Wesentlichen das selbe wie bei Netflix, zumal CB das auch merken würde, wenn jemand deren Datenbank raus trägt.

 

[bondki]

Es geht nicht darum, dass jemand dann Filme über deinen Account guckt, sondern durch den Account an weitere Daten von dir kommt...

Und ein Password lässt dich das Password im Normalfall kopieren. Bzw. unterstützen die meisten Streamingdienste einloggen via Code