Zugriffsversuch auf mein MS-Account

[newteliman]

Moin,

heute Morgen sah ich auf meinem Handy, dass mein Microsoft-Authenticator 2 Zugriffsversuche auf mein MS-Konto um 3:38 und 3:39 Uhr gemeldet hat.

Muss/sollte ich mir da irgendwelche Gedanken machen, kann man sehen woher der Versuch kam und ob vielleicht doch ein Zugriff geglückt ist…?

Danke und allen einen schönen Tag.

 

[H3llF15H]

Wenn man schon bei der 2FA war, wird es Zeit E-Mail und Passwort zu ändern. Und das überall wo die Mail und das Passwort vorliegt.

 

[Tulol]

vielleicht doch ein Zugriff geglückt ist…?

Dank der 2fa ja nicht. Dafür ist das ja da.

Würde aber ggf dein ms konto passwort überdenken

 

[tollertyp]

Wenn man schon bei der 2FA war, wird es Zeit E-Mail und Passwort zu ändern. Und das überall wo die Mail und das Passwort vorliegt.

Also das Passwort ist nicht zwingend bekannt. Man kann statt dem Passwort beim MS Account ja auch direkt sagen, dass man sich mit der App anmelden möchte als Alternative zum Passwort.
Dann sieht man einen ich 5 oder 6stelligen Code und muss in der App eben diesen bestätigen.

Hier auf "Weitere Anmeldemöglichkeiten"

Und dann halt die Authenticator-App wählen.

 

[xexex]

Wenn man schon bei der 2FA war, wird es Zeit E-Mail und Passwort zu ändern. Und das überall wo die Mail und das Passwort vorliegt.

Login auf Microsoft Dienste erfolgt meist "passwordless", es wird nach keinem Kennwort gefragt, sondern direkt ein Bestätigungsdialog im Authenticator angezeigt. Das Kennwort ändern, ergibt da nicht wirklich einen Sinn. Es ist sogar möglich das Kennwort komplett zu entfernen und nur noch einen 2FA Zugriff zu erlauben.
https://support.microsoft.com/en-us...-account-674ce301-3574-4387-a93d-916751764c43

Wenn man einen relativ beliebten Namen verwendet, wie "max.mustermann@outlook.de", da kann es schon mal häufiger zu Fehllogins kommen und hat nicht zwingend was mit einem "Hackversuch" zu tun.

 

[andi_sco]

Hänge mich da auch mal mit rein, da ich zwei Mails hatte, bezüglich den Log In Code

 

[tollertyp]

Ach ja direkt in der Authenticator-App kann man den Verlauf der Konto-Verwendung anschauen:
Auf den Microsoft-Account da gehen, dort dann "Letzte Aktivität überprüfen"
Das wird sicher über die Microsoft-Seiten auch irgendwie gehen, letztendlich wird man dort hin weitergeleitet.

Ich sehe dort nur Erfolge, das heißt ich würde dann mal schauen, ob eben zu der Uhrzeit eine "Erfolgreiche Anmeldung" war.

 

[newteliman]

Da habe ich geschaut, es wurde nur mein gestriger und heutiger Login protokolliert. Soweit sieht also alles gut aus.

 

[tollertyp]

Wobei es nicht schaden würde, das Passwort dennoch zu ändern :-)
Dennoch ist keine Gewissheit, dass es irgendwem bekannt ist.

Es ist auch nicht ganz unvernünftig, auf Passwörter zu verzichten, so absurd es auf den ersten Blick aussehen mag.

 

[DonSerious]

direkt sagen, dass man sich mit der App anmelden möchte als Alternative zum Passwort.

Genau das ist der Grund warum der MS Authenticator Mist ist. Da kommt vermutlich regelmäßig eine ungewollte Anfrage einfach weil es geht. Das sind keine 2 Faktoren, sondern einer. Gibt schon einen Grund warum es Leute im MS Forum gibt die mit authenticator gehackt werden.

 

[tollertyp]

Und wie funktioniert der Hack? Da scheint man sich ja nicht wehren zu können...

 

[DonSerious]

Und wie funktioniert der Hack?

Woher soll ich das wissen? Wieso sollte ich diese Beiträge in Frage stellen?
https://www.google.com/search?q=Hot...HHRtnBZMQrQIoBHoECBMQBQ&biw=360&bih=644&dpr=4

Da wird es eine undurchdachte Sache in der Kette geben. MS bietet als einzige Firma so einen Quatsch an als einfach echtes 2FA. Wenn man nur einen Code aus der App eingeben muss kann ich auch gleich einen Code von der zweit Email eingeben. Das ist doch alles Mist.

Alleine dass IMAP sowieso ohne 2FA funktioniert macht den Account ebenfalls vulnerable. Andere Dienste wie Google und Apple setzen eigene Apps voraus damit man 2FA zwingend benutzen muss für Email.

 

[tollertyp]

Es ist kein Code aus der App, den du da eingibst dann.
Und genau wie hier im Thread (bzw. im anderen von diesen User) ist bei dem Thema Hack das "wie" immer das essentielle. Und dann kommt Halbwissen, dass man angeblich einen Code eingeben muss.

Ergänzung (9. Oktober 2023)

Okay und wo sind jetzt die ganzen Opfer-Threads? Wo ist der Hack beschrieben?

Echt beeindruckend:

Mein Microsoft-E-Mail-Konto kannst du nicht ohne Weiteres via IMAP abrufen. Da bekomme ich direkt in der App einen Hinweis, dass ich ein neues Kennwort dafür einrichten müsste. Mach ich aber nicht, ich nutze kein IMAP.
Dass es potentiell möglich sein kann, dass dieses IMAP-Kennwort vielleicht von verschiedenen Geräten genutzt werden kann und damit potentiell ein Risiko ist - keine Ahnung, dazu kann ich nichts sagen, wird aber wohl so sein.

Aber damit diese "Lücke" genutzt werden kann, muss man halt selbst erst mal die Türe aufmachen.

Was ich wirklich schlecht finde ist die Tatsache, dass diese App-Kennwörter wohl nicht "zweckgebunden" sind? Also dass ich sagen kann "Dieses App-Kennwort ist nur für meine alte Xbox 360" oder sowas, und wenn jemand versucht darüber via IMAP zu zu greifen, dann bitte ablehnen.

 

[xexex]

Alleine dass IMAP sowieso ohne 2FA funktioniert macht den Account ebenfalls vulnerable.

So viel Unwissen in einem Satz. "Unsichere" Protokolle die technisch keine 2FA Unterstützung besitzen können, werden bei Microsoft über zusätzliche Kennwörter für die jeweiligen Apps abgehandelt, mit denen man den Dienst nutzen kann, aber nicht zum Login verwenden kann.
https://support.microsoft.com/en-us...fication-5896ed9b-4263-e681-128a-a6f2979a7944

Für Webdienste wird hingegen auf OAuth 2.0 Tokens zurückgegriffen um nicht irgendwelche Passwörter auf fremden Servern speichern zu müssen. Das ist aber heutzutage praktisch überall Standard.
https://learn.microsoft.com/de-de/azure/active-directory/develop/access-tokens

Daher auch die Empfehlung seitens Microsoft, das Kennwort und die Kennwortauthentifizierung in seinem Konto zu deaktivieren, denn das bietet definitiv die höchste Angriffsfläche bei den möglichen Authentifizierungsverfahren. Wieso man das macht? Weil es schlichtweg sicherer ist, als irgendwelche Kennworthashes zu speichern, die bei einem Angriff abgegriffen werden könnten.
https://learn.microsoft.com/de-de/a...ntication/concept-authentication-passwordless

 

[DonSerious]

Okay und wo sind jetzt die ganzen Opfer-Threads? Wo ist der Hack beschrieben?

In mehreren dieser in meinem lediglich auf das ms forum bezogenen link. Aber wenn man nicht will ist klar dass da nichts steht.

werden bei Microsoft über zusätzliche Kennwörter für die jeweiligen Apps abgehandelt

Werden sie überhaupt nicht. Vielleicht wenn man stand JETZT einen Account einrichtet. Jeder ms Account der zugleich eine Email ist hatte per default das gleiche passwort für IMAP und xbox, Account und Co.
Anwendungsspezifische Passwörter hat nicht ms erfunden. Gibt's auch bei Apple bspw. Aber dazu muss man sowas einrichten. IMAP hat kein 2FA. Und Zugang zu einer Email zu haben ist genauso schlimm wie zum Account an sich.

Ergänzung (10. Oktober 2023)

Daher auch die Empfehlung seitens Microsoft

Hilft keinem der das erste mal Ärger damit hat. Die meisten werden es so haben wie oben geschrieben. Irgendwelche nachträglich integrierten Funktionen in verschachtelten Menüs bewegen nicht alle dazu die Sicherheit zu verbessern.

 

[xexex]

Werden sie überhaupt nicht.

Werden sie wohl! Entweder bist du nicht auf dem aktuellen Stand oder erzählst schlichtweg Quatsch, einen Link dazu habe ich bereits gepostet.

After you turn on two-step verification or set up the Authenticator app, you may run into issues if you use apps or older devices (like Windows Phone 8 and Xbox 360) that don't support two-step verification.

If you have two-step verification turned on and an app isn't prompting you to enter a security code when you sign in, you may be able to sign in with an app password instead. An app password is a long, randomly generated password that you provide only once instead of your regular password when signing in to an app or device that doesn't support two-step verification.
https://support.microsoft.com/en-us...fication-5896ed9b-4263-e681-128a-a6f2979a7944

Nach der Aktivierung von 2FA hat du mit Protokollen die kein 2FA beherrschen erst einmal keinen Zugriff mehr auf die Daten von deinem Konto und es müssen App Zugangsdaten erstellt werden.

Mit einigen Apps (z. B. Mail-Apps auf manchen Smartphones) oder Geräten (z. B. Xbox 360) können reguläre Sicherheitscodes nicht verwendet werden. Wenn in einer App oder auf einem Gerät bei aktivierter Überprüfung in zwei Schritten ein Fehler hinsichtlich eines falschen Kennworts angezeigt wird, Sie sich jedoch sicher sind, dass Ihr Kennwort richtig ist, ist für die App oder das Gerät ein App-Kennwort erforderlich.

App-Kennwörter sind nur verfügbar, wenn Sie die Überprüfung in zwei Schritten verwenden. Wenn die Überprüfung in zwei Schritten nicht aktiviert ist, wird der Abschnitt App-Kennwörter auf der Seite Zusätzliche Sicherheitsoptionen nicht angezeigt.

Dabei sollte man unterscheiden, einen Authenticator hinzuzufügen, aktiviert nicht automatisch ein erzwungenes 2FA. Das muss man in den Sicherheitseinstellungen des Kontos zusätzlich aktivieren.

 

[tollertyp]

In mehreren dieser in meinem lediglich auf das ms forum bezogenen link. Aber wenn man nicht will ist klar dass da nichts steht.

Deine überragende Google-Suche liefert 79 Treffer, bei denen die meisten nicht mal was mit dem Thema zu tun haben.
Zeige mir doch direkte Links bitte. Ich kann nicht die Nicht-Existenz beweisen, aber du könntest die Existenz des Problems beweisen

Btw, heute nur noch 59...

Also diese Suchanfrage scheint nicht auf ein großes Problem hinzudeuten, einfach meine Gedanken.