Microsoft Konto gehackt?

[Goldsmith]

Hast du mal überprüft ob deine Mailadresse nicht irgendwo geleakt ist?
https://haveibeenpwned.com/

Ich hatte das gleiche Problem mit meinem Microsoft Konto, habe das festgestellt, dass meine Mail-Adresse geleakt wurde, hab diese Mail-Adresse komplett gelöscht und eine neue Adresse bei meinem Microsoft-Konto hinterlegt, schon war Ruhe.

 

[Stanzlinger]

Vielleicht wurdest du nicht gehackt, sondern hast die Daten freiwillig in eine Fake Login eingeben, weil du dachtest, MS will erneut dein Kenwort haben. Solche Webseiten sind gut gemacht und am Ende haben die "nur" das Adressbuch aus Outlook abgezogen und danach an ALLE (jede Firma!) Kontakte aus dem Postfach das selbe abgezogen im Namen des jeweiligen Mitarbeiters...war nicht schön

 

[Tzk]

Ich finde es aber wirklich komisch, dass ich gerade heute mein Windows neu aufgesetzt habe.

Hast du deine Daten eventuell in einem Tool, Programm o.ä. Eingegeben? War es eine offizielle ISO oder eventuell ein modifiziertes Windows? Bei letzteren könnte theoretisch ein Keylogger o.ä gratis mitgeliefert worden sein….

 

[xexex]

Das würde auch erklären, warum der direkt beim ersten Versuch erfolgreich eingeloggt war.

Die simpelste Option für sowas und von deiner Seite auch die dümmste wäre, du verwendest das Kennwort für dein Microsoft Konto, auch für andere Konten im Netz. Dann reicht es wenn ein Hacker von einer beliebigen Seite Daten abgreifen konnte und er kann das Kennwort nun für andere Seiten verwenden.

Sollte in der heutigen Zeit eigentlich niemand mehr so machen, aus der Erfahrung muss ich aber leider sagen, es wird noch immer so gemacht und die tollsten Ausreden erfunden wieso. Wenn das bei dir nicht der Fall war, scheint jemand das Kennwort irgendwo abgegriffen zu haben, da müsstest du schon selbst überlegen wo du es möglicherweise eingegeben hast.

 

[TorenAltair]

Warum man bei MS keinen Geolock einstellen kann ist mir auch schleierhaft.

Kann man, aber nicht in den Umsonst-Modellen.

 

[Chizzo87]

Vielen Dank für die vielen Antworten bis hierher!

Mein Passwort taucht auf keiner dieser Seiten auf. Ich würde sogar behaupten, ich habe ein recht sicheres Passwort (Könnt etwas länger sein, aber hat Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, keine Wörter aus dem Wörterbuch).

Meine E-Mail-Adresse taucht in 2 Leaks auf und ein altes Passwort von mir in einigen- dieses Passwort habe ich aber Großteils ausgetauscht und es ist nur noch auf unwichtigen Seiten vorhanden, die ich ohnehin nie oder selten benutze.

In meinem Microsoft Account ist alles wie immer. Es wurde nichts gelöscht, nichts hinzugefügt, soweit ich das beurteilen kann.

Ich habe das Konto wirklich nur für OneDrive und gelegentlich mal für den GamePass. Dort sind keine Kontakte oder sonstiges hinterlegt, lediglich meine Debitkarte, auf der aber auch nichts ungewöhnliches gebucht wurde. Im schlimmsten Falle könnte mir natürlich die Cloud um die Ohren fliegen... Ich benutze also kein Outlook und das Konto zur GMX-Mailadresse, mit der ich bei Microsoft angemeldet bin, hat ein deutlich stärkeres Passwort.

Ich habe Malwarebytes jetzt zweimal einen Tiefenscan ausführen lassen, kann ich davon ausgehen, dass mein PC sicher ist? Oder gibt es noch irgendein Programm / Tool, was ich mal drüber laufen lassen sollte?

 

[TorenAltair]

Könnt etwas länger sein, aber hat Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen

Ob Sonderzeichen etc oder nicht. Die Entropie und damit v.a. die Länge ist entscheidend.

Ich habe Malwarebytes jetzt zweimal einen Tiefenscan ausführen lassen

Aus einem mglw infizierten System zu scannen bringt gar nichts. Von einem Livelinux aus scannen, bei Unsicherheit besser die Systeme neu aufsetzen.

 

[xexex]

dieses Passwort habe ich aber Großteils ausgetauscht und es ist nur noch auf unwichtigen Seiten vorhanden, die ich ohnehin nie oder selten benutze.

Du willst uns jetzt nicht etwa erzählen, dass Du das gleiche Passwort für mehrere Webseiten verwendest oder? Da ist es dann völlig egal wie "sicher" es in deinen Augen ist, es wurde halt irgendwo abgegriffen und nun beim Microsoft Konto verwendet.

Sowas wie "unwichtige Seiten" gibt es zudem nicht, weil du auf jeder Seite Spuren deiner Identität hinterlässt. Irgendwo war dein Name oder Adresse gespeichert, weil du dort etwas bestellt hast? Schon kann ein Angreifer diese Daten nutzen, um sich Zugang zu anderen Konten zu verschaffen.

Ich kann nur noch mit dem Kopf schütteln und das nicht zum ersten mal innerhalb weniger Monate.

 

[Chizzo87]

Da ich gestern erst sämtliche Festplatten gewipt habe und Windows auf einer nagelneuen Platte installiert habe und keine Sachen aus unseriösen Quellen installiert habe, ist das doch quasi ausgeschlossen, dass hier irgendetwas drauf sein könnte?

Ergänzung (Samstag um 15:34)

Ob Sonderzeichen etc oder nicht. Die Entropie und damit v.a. die Länge ist entscheidend.

Aus einem mglw infizierten System zu scannen bringt gar nichts. Von einem Livelinux aus scannen, bei Unsicherheit besser die Systeme neu aufsetzen.

Ich bekomme das leider nicht hin. Mein System ist mit Veracrypt verschlüsselt und die Programme, die ich jetzt getestet habe, kommen damit nicht klar. Gibt es eine Möglichkeit so einen "Live Linux"-Scan auszuführen, ohne die Festplatte entschlüsseln zu müssen?

 

[TorenAltair]

Gibt es eine Möglichkeit so einen "Live Linux"-Scan auszuführen, ohne die Festplatte entschlüsseln zu müssen?

Nein, wie sollen die Scanner sonst in die Dateien schauen können. Die desinfect der c't kann z.B. mit Veracrypt umgehen. Ja, wenn Du frisch installiert hast, passt das ja. Andere Systeme hast Du nicht, die evtl. kompromittiert sein könnten?

 

[Chizzo87]

Ich habe Windows jetzt einfach nochmal neu aufgesetzt. Direkt einen Virenscanner runtergeladen und alle Windows Updates installiert. Ich denke viel mehr kann ich aktuell nicht tun. Ich werde noch meine E-Mail-Adresse ändern (Neue Adresse einrichten) und nach und nach überall umstellen - inklusive besserer und verschiedener Passwörter. Ansonsten kann ich wohl nur hoffen, dass ich hier nochmal mit einem blauen Auge davon gekommen bin.

Ich denke, wenn mein PC infiziert wäre, dann hätten die sowieso schon ganz andere Dinge getan, als sich in mein Microsoft-Konto einzuloggen...

Nein, keine anderen Systeme. Wie gesagt, habe auch alle meine Festplatten mehrfach gewipt und Windows ist auf einer nagelneuen Platte drauf. Ich bin kein Profi, halte es aber für sehr unwahrscheinlich, dass mein PC die Schwachstelle ist...

Mein Handy vllt noch? Gibt es einen verlässlichen Scanner für Android? Aber wie gesagt... gerade am Handy wäre bei mir doch ein wenig Geld zu holen und die würden wohl eher versuchen in mein Online-Banking oder meine Broker zu gelangen, als in meinen Microsoft-Account...

 

[xexex]

Nein, keine anderen Systeme.

Kein "Mensch" macht sich die Mühe Rechner anzugreifen, wenn er mit ein paar Scripten und gekauften Daten Milliarden Konten abgrasen kann. Falls du tatsächlich das gleiche Kennwort für mehrere Konten genutzt hast, wie du schon zum zweiten Mal anmerken lässt, lass dir das einfach eine Lehre sein. Kein Kennwort ist "sicher", wenn ein Hacker die Daten auf einer Webseite abgreifen kann.

Auch die Daten die "Have I Been Pwned" listet, bestehen "nur" aus bekannten und öffentlich im Netz aufgetauchten Leaks und werden keinesfalls vollständig sein.

 

[LDNV]

Ich habe in meiner Cloud ziemlich viele private, auch intime, Dateien

Niemals ! Wirklich niemals ! Intime Dateien in irgendeiner Cloud.

Das predige ich schon seit es Clouds gibt und auch gegenüber meinen Kindern und sonst wem. Gerade bei Jugendlichen die damit aufwachsen und den Cloud Connect als normal ansehen ein nicht zu unterschätzendes Thema.

Es gehören nur Dinge in die Cloud wo es einen absolut nicht stört, selbst wenn sie auf einer Leinwand abgebildet werden. Und auch zum Thema Privatsphäre sei beachtet: Ja Nachbar Heinz kann sicher nicht einfach so in deine Cloud schauen, was den ein oder anderen Mitarbeiter vom Cloud Dienst XY angeht, wäre ich mir aber nicht so sicher.

Und zu guter letzt, eben den Fall den du jetzt erlebt hast gibt es natürlich auch noch.

 

[Chizzo87]

Ja, ich habe drei, vier Passwörter für alle meine Seiten. Je nach "Wichtigkeit" mehr oder weniger lang.

Bei den wirklich wichtigen Seiten habe ich mich bisher auf die 2FA verlassen, was teilweise halt scheinbar keine richtige ist, wie sich heute herausgestellt hat. Ich habe bisher immer, wenn ich mich irgendwo mit Microsoft einloggen wollte, einen Code aus einer Mail eingeben müssen, der Typ in Australien heute Nacht nicht... oder er hat die Mail abgefangen oder was auch immer...

 

[xexex]

Ja, ich habe drei, vier Passwörter für alle meine Seiten. Je nach "Wichtigkeit" mehr oder weniger lang.

Wie bereits gesagt, lass es dir eine Lehre sein, sowas wie "unwichtige" Webseiten gibt es nicht. Es reicht wenn du auf einer solchen Seite mal was bestellt hast, steht da deine ganze Adresse drin und mit diesen Daten kann ich mir Zugang zu weiteren Konten verschaffen.

Ein Angriff auf dein gut geschütztes Mailkonto, war nicht der "Erstkontakt", sondern jemand hat längst dein Kennwort vorliegen. Hast du noch weitere Mailkonten? Dann weißt du wieso dein 2FA nicht funktioniert hat, der Angreifer hat sich schlichtweg eine Bestätigung an deine Mailadresse geschickt und die dann abgegriffen. Hast du eine Telefonnummer hinterlegt? Auch das ist heute kleinstes Problem, SMS lassen sich mit wenig Aufwand abfangen.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Ich habe keine Ahnung wie oft man das noch predigen muss, niemals gleiche Kennwörter auf mehreren Webseiten zu benutzen und seine Mailkonten wie den Augapfel zu schützen. Du hast Glück von Microsoft eine Nachricht bekommen zu haben, bei vielen anderen Anbietern, hättest du davon nie was mitbekommen und würdest irgendwann mit einer heruntergezogenen Hose da stehen.

 

[Chizzo87]

Meine Hauptemailadresse bei gmx hat ein einzigartiges und stärkeres Passwort und ist über Google 2FA geschützt. Da sollte doch eigentlich auch nichts passiert sein?

 

[xexex]

Da sollte doch eigentlich auch nichts passiert sein?

Wir können dir das nicht sagen, aber zumindest Google sollte ein ähnliche Statistik führen, wer sich wann bei dem Konto angemeldet hat, zu GMX sag ich hingegen besser nichts.

 

[Chizzo87]

@xexex Da ich mir sowieso einen neuen Mailacc machen möchte, höre ich mir gerne bessere Alternativen an 😊

 

[xexex]

höre ich mir gerne bessere Alternativen an

Welche Konzerne müssen wohl die meiste Energie in den Schutz ihrer Kunden stecken, ich behaupte beide genannt zu haben. Weder Microsoft, Google noch Apple könnten sich einen größeren Datenklau leisten und haben die Mittel für ein entsprechendes Sicherheitsteam.

 

[Chizzo87]

Ich werde mich auch von meiner Cloud verabschieden. Es war schön, dass man niemals ein Bild verlieren konnte, weil es immer direkt hochgeladen wurde, aber ich habe das Risiko jetzt erkannt. Ab sofort werde ich regelmäßig Backups vom Handy über den PC auf 2 verschiedene Festplatten durchführen.

Was haltet ihr davon einen verschlüsselten Veracrypt-Container (Natürlich mit einem spitzen Passwort) als Reserve-Backup in die Cloud zu laden? Ist das vertretbar sicher oder sollte man das lieber auch nicht machen?