Meldung: Passwörter gehackt

[Alana]

Ich habe gerade beim Einloggen von Google Chrome die Nachricht bekommen, dass die Passwörter dieser Seite (Tintenzirkel) aufgrund eines Datenfehlers möglicherweise gehackt wurden und man sie unbedingt ändern soll. Ich habe diese Nachricht zuletzt von Google Chrome auch auf einer anderen Seite bekommen (weiß aber leider nicht mehr, welche das war  ). Vielleicht ist es ein Fehler von Chrome, das scheint eine neue Funktion zu sein. Aber ich dachte, ich melde es mal hier. Passwort ändern kann ja nie schaden.

[Jen]

Wollte sowieso mal erneuern ... dann auch gleich mal ne neue Sicherheitsfrage.

[phoe]

Danke @Alana , Ich wollte meins auch schon lange mal ändern. Ob gehackt oder nicht, Änderung überfällig.

[Barra]

Da zieh ich mit. Geht wohl grad wieder was rum, bei Facebook kamen auch wieder diese Videos "Bist du das in dem Video?" durch.

[Maja]

Von einem Datenfehler oder Hack sehe ich hier nichts, ich bekomme auch keine Warnung von Google Chrome und kann mich ganz normal einloggen. Ihr könnt gerne eure Passwörter ändern, schaden wird das nie, aber ich wüsste nicht, wie Google von einem Datenhack wissen kann, von dem der Serverbetreiber noch nichts gehört hat.

Ich tagge zu dieser Frage @Volker.

[Ahneun]

Ihr Lieben,
-> in meinem Passwort befinden sich Umlaute und Sonderzeichen. Auch hab ich mein Onlinebanking auf einem gesonderten Rechner. Ohne E-Mail, Videos und Bilder. Ich warte einfach mal ab.
Obwohl ich Eure Hinweise hier sehr ernst nehme. Eine Torschlusspanik halte ich von meiner Seite erstmal als unangebracht.

Auf jeden Fall müssen Warnungen und Hinweise angesprochen und analysiert werden.
Bleibt wachsam!

[Luna]

Also, ich habe mal schnell gegoogelt:
Anscheinend ist das eine (neue) Funktion in google chrome, die einem warnt, wenn besagte benutzernamen/passwortkombination in einem Hack untergkeommen ist. Das wird jetzt nicht beim Tintenzirkel gewesen sein, sondern wahrscheinlich wonanders (wir nutzen die kombinationen doch öfter wieder als wir sollten).

[Quelle: https://duo.com/decipher/chrome-adds-warning-for-compromised-passwords ]

[Alana]

Ah, okay, das ergibt Sinn. Danke für die Info! In der Meldung stand "Tintenzirkel" und "diese Seite", weswegen ich gar nicht daran gedacht habe, dass sich das auf mich beziehen könnte.

[Maja]

Danke @AngelFilia

Das sagt mir aber etwas, das mir *überhaupt* nicht gefällt: Was Google da als einen tollen Service behandelt, ist, dass sie eure Nutzernamen und Passwörter, wenn auch in verschlüsselter Form, an einen Google-Server schicken und dort mit den öffentlich zugänglichen Daten aus dem großen Passworthack (in dem ich auch ein Passwort, das ich vor etwa fünfzehn Jahren mal verwendet habe, wiedergefunden habe), abgleichen. Und Google fragt dafür nicht nach eurer Erlaubis. Während ihr denkt, ihr loggt euch beim Tintenzirkel, und nur beim Tintenzirkel, ein, telefoniert Google eure Logindaten einmal nach Hause. Ohne, dass ich das als Admin verhindern könnte, und ohne dass ihr selbst einen anderen Einfluss drauf nehmen könntet, als keinen Chrome mehr zu verwenden.

Als Chrome seinerzeit aufkam, war der große Diskussionspunkt, dass sie Suchfragen schon während der Eingabe mit dem Google-Server abglichen, um Suchvorschläge zu machen. Das hat sich ja mitlerweile etabliert, und Google macht das heute, egal mit welchem Brauser man drauf zugreift. Aber hier geht es nicht um Suchanfragen, es geht um Zugangsdaten inkl. Passwort. Und dass stinkt mir gerade gewaltig.

[Volker]

Es gibt eine etablierte Seite auf der man seine Mailadresse(n) überprüfen kann, ob sie in einem Hack enthalten waren:
https://haveibeenpwned.com/

Da kann man sich auch subscriben, und dann schickt es einem eine Mail, wenn die eigene Mailadresse in gehackten Leaks auftaucht.

Und der TiZi ist akut nicht mit in der Liste.

Das bedeutet, dass jemand bei so einer Warnung dasselbe Passwort doppelt verwendet, also auch auf einer anderen Seite als dem TiZi. Was eine DummeIdee(TM) ist.
Leute, bitte benutzt Passwortmanager (keine Cloud-basierten) und vor allem für jede Seite ein separates Passwort. Idealerweise auch nicht hergeleitet (z.B. erste beide Buchstaben der Webseite + Standardpasswort - das wäre ein wenig schnell erratbar).

Und was @Maja sagt: Chrome schickt zwar den gehashten Usernamen an sich - aber (wenn man nach overspecvific Detail geht) das Passwort im Klartext!?!!
Und lokal speichert Chrome das sowieso, denn Google möchte Username+Passwort gerne darauf umstellen, dass sich nicht der Nutzer an der Webseite anmeldet, sondern am Chrome. Und dann soll sich der Chrome an der Webseite anmelden. So die Idee. Und die finde ich gar nicht gut.  Aber zum Glück gibt's ja den Firefox...

[Alana]

Jap, ich mochte Chrome bisher, ich bin auch umgestiegen, weil Firefox damals echte Probleme hatte und bei mir extrem langsam wurde bzw. manche Seiten gar nicht mehr richtig aufrief. Das war damals auch ein bekannter Bug. Aber ich werde dem dann wohl noch mal eine Chance geben. Danke für die Infos.

[Sascha]

Deswegen benutze ich auch grundsätzlich den FF. Es gibt nur eine Software (exakt die, mit der ich mein Geld verdiene), die leider nur im Chrome richtig funktioniert (tolle Idee, das auf HTML5-GUI umzustellen und dann auch noch auf den Google-Mist zu optimieren ), da nehme ich aber Chromium ohne diverse Google-Anteile und hoffe, damit wenigstens etwas sicherer zu sein. Und darin nutze ich eben exakt nur diese eine Software.
Und da werde ich immer als paranoid belächelt ...

[Volker]

Naja, auch Chromium hat eine Menge Google mit drin - nicht umsonst gibt es das "ungoogled" Projekt, das den ganzen Mist wieder manuell rausfruzzelt
https://github.com/Eloston/ungoogled-chromium

[phoe]

@Volker , Vielen Dank für den Link. ( Sorry, gibt es dafür auch eine deutsche Übersetzung?)

Ich habe für jede Seite, egal ob div. Foren oder für's einkaufen ohnehin ein eigenes Passwort. Ist zwar lästig, trainiert aber den Grips und kommt meiner Paranoia entgegen.
Für die wichtigen und Geschäftssachen nochmal jeweils andere Mailadressen. Außerdem gehe ich nur mit Firefox ins Netz. Nur ein Account muss über Chrome laufen, sonst kann ich nicht damit arbeiten.

Es ist schon Irrsinn, wie andere sich einfach an unseren Daten laben und wir nicht viel dagegen tun können. Außer sich tot stellen und kein Internet nutzen. 

[Trippelschritt]

Das hier ist richtig schön für meine paranoide Seele, denn ich arbeite schon seit umpteen Jahren mit zwei Rechnern. Auf meinem Arbeitsrechner gibt es nur lokale Software. Und der hat auch keinen Internetanschluss. Damit bin ich bisher immer gut gefahren.
Und dann habe ich diesen Rechner hier, mit dem ich im Netz bin. Da hakt zwar immer wieder etwas, weil ich nicht alles freigebe, was andere gerne so hätten, aber ich komme durch.
Bankgeschäfte und Ähnliches laufehn über den Rechner meiner Frau. Da haben wir bisher Glück gehabt.

Meine Paranaoia resultiert noch aus meinem Berufsleben. Da habe ich - damals noch mit den Methoden der multivariaten Statistik - nach Datenmustern und Strukturen gesucht. Das war eine meine Stärken. Sogar international. Der Nachteil war, dass ich weiß, was da alles so grundsätzlich möglich ist und was es da in Verbindung mit dummen menschlichen Gehirnen für falsche Schlussfolgerungen erzeugt.
Heute sind die Suchalgorithmen zwar erheblich ausgefuchster, aber die alten Grundlagen gelten immer noch unverändert.

Voneinander unabhängige Passwörter sind ein absolutes Muss für mich.

Liebe Grüße
und einen schönen Wochenanfang
Trippelschritt