Geleakt? Prüfen und wiederherstellen

Modul 2: Passwörter und Anmeldung · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie selbst prüfen, ob Ihre Daten in einem Leck stecken, in der richtigen Reihenfolge auf ein Leck reagieren und ein übernommenes Konto zurückholen und aufräumen.

Kernbegriffe: Have I Been Pwned, k-Anonymität, Leckbenachrichtigungen, Sitzungen widerrufen, Sitzungscookie, Wiederherstellungsdaten, Weiterleitungsregeln

Wie Sie erfahren, dass etwas geleakt wurde

Oft erfahren Sie es gar nicht. Ein geleaktes Passwort kann monatelang in einer Combo-Liste stehen, bevor jemand es ausprobiert. Achten Sie daher auf diese Signale:

• Ein Dienst schreibt Ihnen, dass es eine Datenpanne gegeben hat. Prüfen Sie zuerst, ob diese Mail echt ist (Modul 3): gehen Sie selbst zur Website, statt auf den Link zu klicken.
• Sie erhalten einen Anmeldecode oder eine Bestätigungsmeldung, die Sie nicht selbst angefordert haben (Lektion 2.3).
• Sie sehen die Meldung „Neue Anmeldung von einem unbekannten Gerät".
• Kunden oder Kollegen erhalten merkwürdige Mails „von Ihnen", oder Sie vermissen eine Mail, die tatsächlich verschickt wurde.
• Ihr Passwort-Manager warnt, dass ein Passwort in einem Leck vorkommt.
• Sie können sich plötzlich nicht mehr anmelden, oder Ihre Wiederherstellungsdaten wurden geändert.

Selbst prüfen mit Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) ist ein bekannter, kostenloser Dienst, der Daten aus öffentlich bekannten Datenpannen sammelt. Sie können dort selbst nach Ihrer E-Mail-Adresse suchen. Sie sehen dann, in welchen Lecks die Adresse vorkommt und welche Arten von Daten dabei waren: nur E-Mail-Adressen oder auch Passwörter, Namen, Telefonnummern oder Adressen. Mit der Funktion „Notify me" erhalten Sie eine Mail, wenn Ihre Adresse in einem neuen Leck auftaucht.

Machen Sie das selbst, auf der Website des Dienstes. In diesem Kurs bitten wir Sie nie, Ihre Mailadresse oder Ihr Passwort irgendwo einzutragen.

Es gibt auch einen Teil Pwned Passwords, mit dem Passwort-Manager und Websites prüfen, ob ein Passwort jemals geleakt wurde. Das funktioniert mit k-Anonymität: Ihr Passwort wird auf Ihrem eigenen Gerät in einen Hash (einen Fingerabdruck) umgewandelt, und nur die ersten 5 Zeichen davon gehen an den Dienst. Der Dienst schickt alle bekannten Hashes zurück, die mit diesen 5 Zeichen beginnen, und Ihr eigenes Gerät prüft, ob Ihr vollständiger Hash darunter ist. Der Dienst bekommt Ihr Passwort also nie zu sehen und weiß nicht einmal, welcher der Hunderten zurückgeschickten Hashes Ihrer ist.

Zwei Anmerkungen:

• Nicht in der Liste bedeutet nicht sicher. Ein Leck, das (noch) nicht bekannt ist, steht nicht darin. Infostealer (Lektion 1.4) stehlen auch Passwörter, die nie in einem veröffentlichten Leck landen.
• In der Liste zu sein bedeutet nicht, dass alles verloren ist. Schauen Sie, welche Daten geleakt wurden und wann. Ein Passwort, das Sie seit Jahren nicht mehr verwenden, ist kein Problem; ein Passwort, das Sie noch überall verwenden, schon.

Was Sie als Erstes nach einem Leck tun

Die Reihenfolge ist wichtig. Die wichtigste Regel: zuerst Ihr Postfach, denn mit Ihrem Postfach kann ein Angreifer über „Passwort vergessen" fast alle Ihre anderen Konten übernehmen.

Warum Sitzungen widerrufen

Wenn Sie sich anmelden, erhält Ihr Browser ein Sitzungscookie: eine Art vorübergehenden Zugangsausweis, damit Sie sich nicht bei jedem Klick erneut anmelden müssen. Wer dieses Cookie besitzt, ist angemeldet. Ohne Passwort und ohne zweiten Schritt.

Genau das stehlen Infostealer: nicht nur Ihre Passwörter, sondern auch Ihre Cookies. Und ein Angreifer, der sich mit Ihrem Passwort angemeldet hat, hat ebenfalls eine Sitzung. Ändern Sie nur Ihr Passwort, bleibt diese Sitzung bei manchen Diensten einfach bestehen.

Schauen Sie daher nach einem Leck oder einer verdächtigen Anmeldung bei jedem wichtigen Dienst in die Übersicht der aktiven Sitzungen oder Geräte, und melden Sie alles ab, was Sie nicht erkennen, oder alles außer dem Gerät, an dem Sie gerade arbeiten. Bei vielen Diensten meldet ein neues Passwort Sie auch überall ab; prüfen Sie es trotzdem.

Die Weiterleitungsregel als Hintertür

Ein Fall, wie es oft abläuft. Die Buchhalterin der Bäckerei Example klickt auf eine Phishing-Mail und gibt ihr Mailpasswort ein. Der Angreifer meldet sich bei factuur@example.com an und tut drei Dinge:

1. Er erstellt eine Regel: Jede Mail mit „Rechnung", „Zahlung" oder „IBAN" im Betreff wird an eine externe Adresse unter leverancier-administratie.example weitergeleitet und anschließend in den Papierkorb verschoben.
2. Er trägt seine eigene Telefonnummer als Wiederherstellungsnummer ein.
3. Er meldet sich wieder ab.

Die Buchhalterin bemerkt, dass etwas nicht stimmt, und ändert ihr Passwort. Problem gelöst, denkt sie. Aber die Regel funktioniert weiter. Der Angreifer liest wochenlang jede Rechnung mit, und eines Tages erhält ein Kunde eine „angepasste" Rechnung mit einer anderen IBAN (Lektion 1.2). Über die Wiederherstellungsnummer kann er das Konto auch noch zurückholen.

Prüfen Sie daher bei einem Postfach immer:

• Regeln und Filter: vor allem Regeln, die weiterleiten oder löschen;
• Weiterleitung in den Einstellungen des Postfachs und in Ihrem Hosting-Panel;
• automatische Antworten, die Sie nicht selbst erstellt haben;
• App-Passwörter und verknüpfte Apps: entfernen Sie, was Sie nicht erkennen;
• Wiederherstellungsdaten und die Geräteliste bei der Zwei-Faktor-Authentifizierung.

Wenn ein Konto wirklich übernommen wurde

Kommen Sie nicht mehr hinein, nutzen Sie ausschließlich das offizielle Wiederherstellungsverfahren des Dienstes. Sie finden es, indem Sie selbst zur Website gehen, nicht über einen Link aus einer Mail oder einer Suchanzeige. Seien Sie vorsichtig bei „Wiederherstellungshilfe", die Sie selbst auf Social Media ansprechen oder die Sie anspricht: das sind oft Betrüger, die Sie ein zweites Mal treffen wollen.

Danach:

• führen Sie Schritt 3 bis einschließlich 8 aus der obigen Tabelle aus;
• erstellen Sie neue Wiederherstellungscodes und aktivieren Sie einen stärkeren zweiten Schritt (Lektion 2.3 und 2.4);
• melden Sie Betrug oder Phishing beim Phishing-Radar der Verbraucherzentrale und erstatten Sie Anzeige bei der Polizei, wenn ein Schaden entstanden ist;
• notieren Sie, was passiert ist und wann. Ging es um Daten von Kunden, kann es sich um eine Datenpanne handeln (Lektion 8.2).

In der Praxis: so sieht es aus

In der WebOké-Umgebung sehen Sie in Mein WebOké unter Anmeldedaten die Karte Aktive Sitzungen, mit pro Sitzung dem Browser, dem System, der IP-Adresse und seit wann sie besteht. Sie können eine einzelne Sitzung abmelden oder sich überall abmelden außer auf dem Gerät, an dem Sie gerade arbeiten. In Nextcloud finden Sie unter Sicherheit die Übersicht Geräte & Sitzungen, wo Sie ebenfalls ein Gerät widerrufen oder aus der Ferne löschen können. Weiterleitung und Filter eines Postfachs finden Sie im Hosting-Panel und im Webmail. Bei anderen Anbietern funktioniert es ähnlich: suchen Sie nach „Sitzungen", „Geräte", „Sicherheit" oder „letzte Aktivität".

Zusammenfassung

• Schauen Sie selbst auf haveibeenpwned.com nach, ob Ihre Mailadresse in einem bekannten Leck steckt; Pwned Passwords funktioniert mit k-Anonymität (nur die ersten 5 Zeichen des Hashs werden übermittelt).
• Nicht in der Liste zu sein ist nicht dasselbe wie sicher.
• Nach einem Leck: zuerst Ihr Postfach, dann Sitzungen widerrufen, Zwei-Faktor-Authentifizierung und Wiederherstellungsdaten prüfen.
• Eine Passwortänderung entfernt keine Weiterleitungsregeln, App-Passwörter oder gestohlenen Sitzungen.
• Ein übernommenes Konto stellen Sie nur über den offiziellen Weg des Dienstes wieder her.

Quiz

Aufgabe

Aufgabe D2.5: Ihre eigene Lecküberprüfung und Aufräumrunde. Schauen Sie selbst auf haveibeenpwned.com nach Ihren geschäftlichen Mailadressen und aktivieren Sie „Notify me". Überprüfen Sie bei Ihrem Postfach und Ihren wichtigsten Konten die aktiven Sitzungen, Weiterleitungsregeln, App-Passwörter und Wiederherstellungsdaten, und räumen Sie auf, was Sie nicht erkennen. Haken Sie die Checkliste ab und beantworten Sie die Reflexionsfragen. Sie tragen im Kurs keine Mailadresse oder Passwort ein.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
• Nextcloud-Anleitung 3.6: Geräte und Sitzungen anzeigen, widerrufen oder per Fernzugriff löschen
• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• Anmeldung bei Nextcloud nicht möglich: Passwort, Code oder Drosselung
• Postfach übernommen oder Spam von Ihrer Adresse: so räumen Sie auf
• Have I Been Pwned (selbst nach Ihrer Mailadresse suchen): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (Englisch, Erklärung k-Anonymität): https://haveibeenpwned.com/Passwords
• Phishing-Radar der Verbraucherzentrale (Betrug und Phishing melden): https://www.verbraucherzentrale.de/phishing-radar