Hallo zusammen,
sicher haben viele schon davon gehört, das eMail-Konten und deren
Passwörter gehackt wurden und natürlich auch immer werden.
Nun wollte ich auch mal sehen, ob ich mit dabei bin.
Nach der ganzen Geschichte mit NSA und diesen Typen der das aufgedeckt
hat, bin ich äußerst verärgert, das immer noch der Staat an meinen Daten
interessiert ist, selbst wenn ich nur diesen einfachen Test machen
möchte ob ich überhaupt betroffen bin.
Mir ist schon klar das der Staat dazu immer in der Lage ist.
Was soll also das ganze ?
Erst Daten speichern und dann nach dem Test ( angeblich ) löschen.
Nach der NSA-Geschichte dürfte wohl das Vertrauen in Datensicherheit
mächtig in wanken gekommen sein.
Der beste Schutz gegen Datenmissbrauch ist für mich erst gar keine Daten
preiszugeben und schon gar nicht aus der Angst heraus, die hier
geschürrt wird, denn wie bereits geschrieben - diese Dinge passieren
auch weiterhin, vielleicht nicht in diesem groß Stil, aber was nützt es
einem wenn er selbst betroffen ist, ob nun 1.000 andere noch betroffen
sind oder 1.000.000 ?
P.S.
Ich habs nicht gemacht.
Bernd_Stein
aber wie willst du denn sonst feststellen, ob (d)eine Adrese betroffen
ist, wenn du diese Adresse NICHT übermittelst?
Sollen statt dessen die 16 Mio Adressen veröffentlicht werden (wo,
wie?), und du suchst dir dann raus, ob deine dabei ist?
@Bernd:
Trotzdem ich Deinen Text gelesen hab, glaub ich, Du hast da was
missverstanden?
Wegstaben Verbuchsler schrieb:> Sollen statt dessen die 16 Mio Adressen veröffentlicht werden (wo,> wie?), und du suchst dir dann raus, ob deine dabei ist?
das fehlte noch!
Welche Daten gibst du denn preis? Du tippst eine Mailadresse ein, das
wars dann auch. Der "Staat" könnte diese mit der IP-Adresse in
Verbindung bringen, ja. Aber wenn sie den Eigentümer feststellen
wollten, könnten sie die Daten auch direkt von den Providern/Mailhostern
abfragen. Zudem nicht mal eindeutig geklärt ist, ob die IP-Adresse dem
Eigentümer gehört, denn jeder x-beliebige Internetuser kann jede
x-beliebige Mailadresse testen lassen.
Eine mittelbare Gefahr sehe ich lediglich darin, daß Cyberkriminelle auf
den Zug aufspringen und demnächst eine Spamwelle mit dem vorgeblichen
Absender BSI auf uns zukommt.
Icke ®. schrieb:> Eine mittelbare Gefahr sehe ich lediglich darin, daß Cyberkriminelle auf> den Zug aufspringen und demnächst eine Spamwelle mit dem vorgeblichen> Absender BSI auf uns zukommt.
Aus dem Grund sagt die Testseite ja klar, dass die Orginal-BSI-Mails
PGP-Signiert sind, und gibt dir im Vorraus sogar noch einen Speziellen
Code mit auf den Weg, der dann in deiner Mail vom BSI im Subject stehen
wird.
Dazu klar die Anweisung: Wenn eine Mail vorgibt, vom BSI-Test zu
stammen, aber nicht diesen Code im Subject trägt: Löschen.
Icke ®. schrieb:> Welche Daten gibst du denn preis? Du tippst eine Mailadresse ein, das> wars dann auch. Der "Staat" könnte...>
Erstens denke ich der Staat kann ( Überwachungsstaat ), mit oder ohne
Deine Einwilligung. Die Seite zu besuchen reicht dazu wahrscheinlich
schon völlig.
Zweitens - selber schon probiert ?
Dann hättest Du gemerkt, da Du dieses Kästchen anklicken musst. Was der
Text genau bedeutet, wissen eigentlich nur die die ihn geschrieben
haben, wie Du ihn interpretierst bleibt Dir überlassen.
Drittens. Wo ist überhaupt das Problem. Irgendein Virenprogramm auf
Schadsoftware scannen lassen, danach alle Passwörter ändern.
Was man ja sowie regelmäßig tun sollte.
Oder ist mittlerweile der Staat der einzige brauchbare Virenscanner ;-)
Bernd_Stein
Für Leute, die glauben, mit der EMail-Adresse auch ihr Karma
preiszugeben, ist die Seite in der Tat hochgefährlich...
Ich steh mehr auf Karamellen und habe zumindest zwei meiner Adressen
prüfen lassen. Bis jetzt ist der Himmel nicht eingestürzt, aber es hat
auch noch keine Karamellen geregnet; aber vielleicht kommt das ja noch.
Uhu Uhuhu schrieb:> Für Leute, die glauben, mit der EMail-Adresse auch ihr Karma> preiszugeben, ist die Seite in der Tat hochgefährlich...
Mal ehrlich: Selbst dann nicht mal... (falls Du die BSI-site meintest)
Uhu Uhuhu schrieb:> Ich steh mehr auf Karamellen und habe zumindest zwei meiner Adressen> prüfen lassen.
Und genau das finde ich als Problem. Hier lassen sich auf einfachstem
Wege verschiedenste Mailadressen verknüpfen.
Solange das BSI so einen Unsinn wie aktuell macht, werde ich da gar
nichts eingeben. Er mal muss gesagt werden, WOHER die Daten stammen.
Botnetz ist nicht ausreichend. Dann hocken sie auch erst mal einen Monat
auf den Daten und hoffen auf bessere Zeiten (und stabile Server, was
beides nicht eintrat).
Einige haben im Heiseforum geschrieben, dass sie gleich mehrere Mails
bekommen haben, gibt keinen Sinn bei gesammelten Mailkonten.
Andere schrieben von Weiterleitungsadressen.
Trojaner kann man auch großteils ausschließen → Bei vielen war nur eines
von mehreren genutzten Mailkonten betroffen.
Wie auch schon andere schrieben, wurden in dem Botnetz vermutlich nur
diverse Daten von zahlreichen Servereinbrüche der letzten Jahre
gesammelt. Da gab es ja genug (z.B. Sony, Adobe).
Außerdem hat keiner gesagt (außer einige Panikmacher-Nachrichten), dass
die Passwörter zu den Mailkonten gehören. Sie wurden nur gemeinsam
gespeichert. Die Kombination könnte genauso ein Login für eine Seite
sein.
Übrigens gibts hier schon einen Thread:
Beitrag "16 Millionen Mailadressen und Passwörter gestohlen"
K. Laus schrieb:> Und genau das finde ich als Problem. Hier lassen sich auf einfachstem> Wege verschiedenste Mailadressen verknüpfen.
Vermutlich gibts da für die staatl. Organe, wenn die so etwas
interessiert, viel einfachere Wege.
Εrnst B✶ schrieb:> Aus dem Grund sagt die Testseite ja klar, dass die Orginal-BSI-Mails> PGP-Signiert sind, und gibt dir im Vorraus sogar noch einen Speziellen> Code mit auf den Weg, der dann in deiner Mail vom BSI im Subject stehen> wird.
Du und ich, wir wissen das. Aber Otto Normaluser, der eine Mail bekommt,
welche den Absender BSI trägt und in der er gewarnt wird, daß sein
Postfach gehackt wurde, was macht der wohl? Klickt er auf den Link bzw.
Anhang mit weiterführenden Informationen oder nicht? Und zwar unabhängig
davon, ob er überhaupt bei dem Test mitgemacht hat...
Bernd Stein schrieb:> Erstens denke ich der Staat kann ( Überwachungsstaat ), mit oder ohne> Deine Einwilligung. Die Seite zu besuchen reicht dazu wahrscheinlich> schon völlig.
Ja natürlich, jeder der die Seite besucht, handelt sich sofort den
Bundestrojaner ein und kommt auf die Liste der Terrorverdächtigen. Hast
du deine Mütze schon mit Alufolie beklebt?
Icke ®. schrieb:> Ja natürlich, jeder der die Seite besucht, handelt sich sofort den> Bundestrojaner ein und kommt auf die Liste der Terrorverdächtigen.
Ich habs geahnt! ;-)
Wer aber sagt Dir, das nicht...?
K. Laus schrieb:> Uhu Uhuhu schrieb:>> Ich steh mehr auf Karamellen und habe zumindest zwei meiner Adressen>> prüfen lassen.>> Und genau das finde ich als Problem.
Was ist denn an meiner Vorliebe für Karamellen problematisch?
> Hier lassen sich auf einfachstem Wege verschiedenste Mailadressen> verknüpfen.
Wenn eh schon der Reale Name Bestandteil der Adresse ist, hätten die
damit auch nicht viel gewonnen.
Karl-Heinz M. schrieb:> Wer aber sagt Dir, das nicht...?
Weil das nicht unbemerkt bliebe und sich ein mörderisches Geschrei
erhöbe, wenn die Jungs vom CCC dahinter kommen.
Außerdem, woher nimmst du die Gewissheit, daß Andreas Schwarz nicht in
Wirklichkeit Andrew Black heißt und auf der Gehaltsliste der NSA steht,
hmm??
Lustigerweise werden Sicherheitsbedenken über die Eingabe der eigenen
Mailadresse komplett verworfen, sowie man 3 Cent bei der
China-Online-WebShop-Bestellung sparen kann ... oder man den neuesten
Nashorn-P0rn0 vom was-weiß-ich-wo-file-hoster runter laden will ...
... aber die eigene Mailadresse auf der Website eines deutschen
Bundesamts ... und dann auch noch gerade das für "Sicherheit im
Internet" ... eingeben, nein, das geht wirklich gar nicht ... die
könnten ja sonstwas mit meiner Mailadresse anstellen ...
Anderes Thema: Wieso bekomme ich eigentlich täglich so viele Spam-Mails
... ;-)
Icke ®. schrieb:> Weil das nicht unbemerkt bliebe
Daran hab ich so meine Zweifel. Oder wussten wir z. B. schon vorher, was
die NSA so treibt? Viell. hat man das vermutet, aber auch nicht in dem
Mass.
Icke ®. schrieb:> Außerdem, woher nimmst du die Gewissheit, daß Andreas Schwarz nicht in> Wirklichkeit Andrew Black heißt und auf der Gehaltsliste der NSA steht,> hmm??
Wie ich schon mit meiner Frage an Dich angedeutet hab: Nirgendwoher,
aber Du erschienst mir sehr sicher. Ich vermute, dass das, was an die
Öffentlichkeit kommt, immer nur die Spitze des Eisbergs ist und bleiben
wird.
Hoffentlich muss Andreas die Site nun nicht schliessen, nachdem wir ihn
erkannt haben ;-))
Glenn H. schrieb:> Anderes Thema: Wieso bekomme ich eigentlich täglich so viele Spam-Mails?
Gibt es andere Probleme damit? Was kann damit noch für Unfug getrieben
werden? Ohne Passwort-Kenntnis.
K. Laus schrieb:> Und genau das finde ich als Problem. Hier lassen sich auf einfachstem> Wege verschiedenste Mailadressen verknüpfen.
Und dann? Was bringt das denen, die daran Interesse haben könnten?
Abgesehen davon, dass das alles ohnehin schon bekannt sein dürfte.
Weshalb hätte man daran Interesse? Interessiert mich wirklich.
Glenn H. schrieb:> ... aber die eigene Mailadresse auf der Website eines deutschen> Bundesamts ... und dann auch noch gerade das für "Sicherheit im> Internet" ... eingeben, nein, das geht wirklich gar nicht ... die> könnten ja sonstwas mit meiner Mailadresse anstellen ...
Schon alles zum BSI-Gesetz vergessen? Ist doch nicht mal 4 Jahre her...
http://www.heise.de/newsticker/meldung/Verfassungsbeschwerde-gegen-BSI-Gesetz-eingereicht-1070391.html
Und nur weil da im Namen "Sicherheit im Internet" steht, heißt das
überhaupt nichts. Es gibt tausende Beispiele für das Gegenteil.
Zitat aus Deinem Link:
..."Vor allem E-Mail-Adressen sollen dabei aber herausgefiltert und
durch Pseudonyme ersetzt werden, um die Erstellung von
Kommunikationsprofilen zu verhindern. "...
Ein Aspekt, den ich so noch nie bedacht hab.
Karl-Heinz M. schrieb:> Oder wussten wir z. B. schon vorher, was> die NSA so treibt? Viell. hat man das vermutet, aber auch nicht in dem> Mass.
Wer das öffentlich gesagt hat, war ein Verschwörungstheoretiker, der
doch seinen Aluhut aufsetzen soll...
Karl-Heinz M. schrieb:> Was bringt das denen, die daran Interesse haben könnten?> Abgesehen davon, dass das alles ohnehin schon bekannt sein dürfte.> Weshalb hätte man daran Interesse? Interessiert mich wirklich.
Was hat die NSA für ein Interesse daran, sämtliche Daten über alle zu
speichern? Nur weil vielleicht irgendwo was bekannt ist, muss man den
Behörden die restlichen Daten nicht noch nachwerfen.
Karl-Heinz M. schrieb:> Daran hab ich so meine Zweifel. Oder wussten wir z. B. schon vorher, was> die NSA so treibt?
Das kann man so nicht vergleichen. Die Technologien und Möglichkeiten
der NSA sind der Öffentlichkeit nicht zugänglich. Ob eine Webseite
Schadcode auf dem PC hinterläßt, ist dagegen für Spezialisten relativ
einfach feststellbar. Für Leute wie die vom CCC ein Kinderspiel und es
würde sofort öffentlich angeprangert, siehe Bundestrojaner.
K. Laus schrieb:> Karl-Heinz M. schrieb:>> Oder wussten wir z. B. schon vorher, was>> die NSA so treibt? Viell. hat man das vermutet, aber auch nicht in dem>> Mass.>> Wer das öffentlich gesagt hat, war ein Verschwörungstheoretiker, der> doch seinen Aluhut aufsetzen soll...>> Karl-Heinz M. schrieb:>> Was bringt das denen, die daran Interesse haben könnten?>> Abgesehen davon, dass das alles ohnehin schon bekannt sein dürfte.>> Weshalb hätte man daran Interesse? Interessiert mich wirklich.>> Was hat die NSA für ein Interesse daran, sämtliche Daten über alle zu> speichern? Nur weil vielleicht irgendwo was bekannt ist, muss man den> Behörden die restlichen Daten nicht noch nachwerfen.
Richtig, seh ich auch so. Ich seh aber die Mailadresse bisher so wie
etwa meinen Namen, meine Tel.-Nr. und andere Dinge.
Wenn ich wirklich wegen meiner Mailadresse was befürchten muss, dürfte
ich sie konsequenterweise nichtmals einrichten wegen der Lauscher.
Geschweige denn damit Newsletter bestellen oder sie hier bei der
Anmeldung, überhaupt irgendeiner Anmeldung angeben, nirgendwo. Ich
sollte sie weder nutzen noch eine / mehrere haben. Aber: Es wird doch
sowieso schon alles festgehalten (NSA) oder hab ich was mißverstanden?
Daher werfe ich denen doch nix nach.
Icke ®. schrieb:> Das kann man so nicht vergleichen.
Sorry, ich hatte Deinen Hinweis auf das Einfangen des Bundestroj. durch
Emailadress-Eingabe als sarkastisch gemeint angesehen.
Sollte das der Grund der Aktion sein, dann macht es doch keinen Sinn,
nicht allen eine Mail zu schicken, sondern nur denen, die "angeblich"
von der Sache betroffen sind.
Wobei ich mich gerade frage, ob es nicht bessere Möglichkeiten zur
Verteilung des Biestes gäbe, damit auch wirklich viele, nicht nur die
Besucher der BSI-site, einen abbekommen ;-)
K. Laus schrieb:> Was hat die NSA für ein Interesse daran, sämtliche Daten über alle zu> speichern?
Ich bin versucht meine schlechte Meinung über die USA als Antwort darauf
hier zu verbreiten, aber, ich belasse es bei diesem Satz ;-)
(ich will da konsequenterweise sowieso nie hin) ;-)
Diese Frage möge sich lieber jeder selbst beantworten.
Btw, über 25% der Bürger der USA misstrauen ihrer Regierung und
bestimmten ihrer eigenen Institutionen (hörte ich letztens im ZDF).
Karl-Heinz M. schrieb:> Sorry, ich hatte Deinen Hinweis auf das Einfangen des Bundestroj. durch> Emailadress-Eingabe als sarkastisch gemeint angesehen.
Das WAR Sarkasmus. Die Leute vom CCC (Chaos Computer Club) haben aber
auch den Bundetrojaner analysiert und noch viele IT-Gemeinheiten
aufgedeckt. Ich verwette meinen Hintern, daß sie schon längst dabei
sind, die BSI-Aktion auf Bedenklichkeit zu untersuchen. Für mich völlig
undenkbar, daß eine staatliche Institution auf so plumpem und
durchschaubarem Wege versuchen würde, den Bürgern was unterzuschieben.
Die wollten einfach nur mal ihre Existenz rechtfertigen, weiter nichts.
Wieso wundert mich das jetzt nicht...? (erneut denke ich dabei an die
Spitze des Eisbergs...)
Trotzdem werd ich langsam wütend, was man alles so macht und versucht.
Ich zieh mich jetzt hier raus, sorry. Danke, war alles sehr
aufschlussreich.
Bernd Stein schrieb:> Erst Daten speichern und dann nach dem Test ( angeblich ) löschen.
Wie sollten die Deine Eingaben abgleichen können ohne das Deine
Email-Adresse kurz zwischengespeichert wird?
> P.S.>> Ich habs nicht gemacht.
P.S.
Ich schon: Gestern nachmittag eine gehackte Adresse von mir eingegeben
(Senden wurde vom Provider gesperrt, Empfang wurde wieder
freigeschalten). Heute Morgen die signierte Email, dass diese Adresse
zusammen mit einem Paßwort von üblen Schurken erfasst wurde.
P.P.S.:
Ich hoffe doch Du hast ausser Deinen, auch für unsere Zeiten sehr
exotischen, Pron-Nutzungen nichts vor UNS zu verbergen?
Wie dem auch sei, lass Dich durch diese NSA-Geschichten nicht
verunsichern und achte etwas mehr auf Dein Cholesterin, die Werte sind
allmählich bedenklich ;o)
Klaus I. schrieb:> Wie sollten die Deine Eingaben abgleichen können ohne das Deine> Email-Adresse kurz zwischengespeichert wird?
??? Wieso muss man alles zwischenspeichern?
Einfachstes PHP-Beispiel:
1
if (in_array ($eingegebene_mail, $mailliste))
2
mail ($eingegebene_mail, 'AAAAAAHHHHHHH','Deine Mailadresse ist bei uns gelistet!!!');
3
else
4
echo 'Deine Mailadresse ist nicht bei uns gelistet. Glück gehabt.';
Nach dem Ende des Scripts wäre die Mailadresse wieder gelöscht. Aber das
wäre ja zu einfach...
PS: Übrigens danke für den Fefe-Link. Die Updates hatte ich noch gar
nicht gesehen. Sind aber noch viel eindeutiger für ein "Nichts dort
eingeben."
Immerhin wurde eingeräumt, dass das erfolgreiche Ausspionieren der
Email-Konten schon im Dezember bekannt war.
Sehr rücksichtsvoll vom BSI (bzw. Verbraucher'schutz'ministeriums ?),
dass man nicht einfach durch "zu frühe" Information des sonst so
umsorgten Wahlbürgers das Online-Weihnachtsgeschäft versaute ...
K. Laus schrieb:> ??? Wieso muss man alles zwischenspeichern?
Die Spezialisten suchen sehr sorgfältig - das geht leider nur mit n/2
und der Server läuft noch mit CP/M. Dafür gibt aber keine Viren mehr,
das ist also seeehr sicher. Mindestens so sicher, wie seinerzeit unsere
Renten...
Ich mache mir um die Meldung an sich Gedanken.
Das BSI hat also 16 Millionen Adressen und deren dazugehörige Paßwörter
am Stück. Soso. Wo kommen die her? Hier und da abgegraben? Sicher nicht.
Da sind die Server einer wirklich großen Bude gehackt und abgeräumt
worden.
Welche große Bude könne nun die Hilfe des BSI in Anspruch nehmen um der
miesen Publicity aus dem Wege zu gehen und dieses Verfahren anzuleiern
seine Kunden doch noch zu warnen? Da fällt mir jetzt nur ein Unternehmen
ein, das Sowohl Staatsbeteiligung in größerem Umfang hat und eine Art
"Amtshilfe" in Anspruch nehmen könnte sowie über die entsprechende
Anzahl Benutzerkonten verfügt.
Ok, lassen wir das.
Ansonsten wäre mir nicht im Traume eingefallen ein solches Verfahren zu
implementieren, es sei denn, ich bin an vielen verifizierten
Emailadressen zwecks Handel (und oder Überwachung) interessiert.
Wenn ich die Adressen schon habe und eine Signatur als Bestätigung
mitschicken kann, Server habe die die Last vertragen, was mache ich dann
normalerweise? Ich schicke an die betreffenden Mailadressen eine
signierte Mail mit einer Warnung raus. Ich setze kein System auf, bei
dem der User seine Mail einhebeln muß um rauszubekommen ob die gecknackt
ist, denn damit kann ich nur die warnen, die die Presse verfolgen und
sich aktiv um den Status kümmern. Leute die u.U 1 Jahr im Ausland sind
erwische ich mangels deutscher Presse dort nicht..
Ich betreibe selber u.A. einen Mailserver und habe Kunden drauf, ich
komme nicht wirklich auf den Trichter meine Adressen dort anzufragen..
Gruß,
Holm
Holm Tiffe schrieb:> Das BSI hat also 16 Millionen Adressen und deren dazugehörige Paßwörter> am Stück.
Das ist einfach falsch! Sie haben 16 Millionen Mailadressen und
Passwörter. Außer einige Paniknachrichten sagt keiner, dass die
Passwörter zu den Mailkonten gehören. Die Daten können genauso Logins
für irgendwelche Seiten sein (Mailadresse als Benutzername gibts oft).
Denkbar war auch, daß sie nach dieser ganzen NSA-Scheiße und ihrer
erbärmlichen Rolle darin einfach nur guten Wind machen wollen beim
Pöbel. Frei nach dem Motto: "Mutti sorgt für euch, auch wenn sie gerade
am Stock geht."
A. K. schrieb:> Fefe läuft sich jedenfalls schon mal warm:
irgendwie muss er wohl seinen Blog füllen und seis mit blablabla...
Nix Neues dort. Da wars für mich hier bisher aufschlussreicher. Trotzdem
dank für den Link.
Es gibt seit einiger Zeit viel Misstrauen. Stelle ich auch bei mir fest
(s. o.) ohne zu wissen, woher das eigentlich kommt. Scheint eine Summe,
kein einzelner Posten zu sein. So etwas schürt dann Spekulationen.
Trotzdem find ichs aufschlussreich in diese Richtungen nachzusinnen.
Wie weit darf man noch gehen sich zu äußern? Natürlich mit Rücksicht auf
den Betreiber dieser Site, aber das meine ich nicht damit... oder ist
es, wie mein "Vorredner" schreibt "nur eine NSA-Sch.." gewesen? Bin
ziemlich verunsichert.
Ist denn irgendeiner hier persönlich betroffen?
Habe mehrere private Mail-Adressen.
eine richtig private, eine private Fussbuch, eine für den Nicknamen, ...
Wieviel der 16 Mio Mail-Adressen wird übrhaupt noch vom ursprünglicher
User genutzt?
Warum an 16 Mio. Adressen Mails verschicken, wenn die meisten (?) nicht
gelesen werden.
Habe auch ein paar Schätzchen von Mail-Adressen, die nutze ich seit
Jahren nicht mehr, mit einfachem Zahlenpasswort, bei dem es mir sch...
egal ist, wer damit was macht.
K. Laus schrieb:> Sie haben 16 Millionen Mailadressen und> Passwörter. Außer einige Paniknachrichten sagt keiner, dass die> Passwörter zu den Mailkonten gehören.
Die Passwörter gehören allen Anschein nach nicht zu den Mailadressen,
sondern zu Logins, bei denen diese Adressen verwendet wurden. Was auch
problematisch sein kann...
Aber: Offenbar hat man nicht mal Mailadressen, sondern nur Hashes der
Adressen.
Icke ®. schrieb:> Die Leute vom CCC (Chaos Computer Club) haben aber> auch den Bundetrojaner analysiert und noch viele IT-Gemeinheiten> aufgedeckt. Ich verwette meinen Hintern, daß sie schon längst dabei> sind, die BSI-Aktion auf Bedenklichkeit zu untersuchen.
Jo, sollen Sie mal untersuchen ...
Was werden sie entdecken?
Eine Website, wo man in einem Textfeld eine Mailadresse eingeben kann
... keine drive-by-downloads ... nichts ... klingt sehr spannend ...
gähn
Meine Mailadresse ist eh' schon tausendfach um die Welt gereist. Einmal
in irgendeine Spamming-Liste gekommen, war's das mit dem großen
Geheimnis um meine persönlichen Daten ... also, ich meine, meine
Mailadresse.
Dass das BSI nun ebenso (wie alle anderen auch, die an der Kommunikation
zwischen meinem Rechner und dem Mailserver beteiligt sind) einen
Zusammenhang zwischen der eingegebenen Mailadresse und der dabei
verwendeten IP-Adresse herstellen kann ... ja, auch hoch-spannend ...
gähn ... spätestens, wenn sich mein Router mal wieder neu mit dem
Einwahlknoten des Providers verbindet, bekomme ich eine neue IP-Adresse.
Und falls hier jemand mit einer statischen IP-Adresse unterwegs ist,
dann braucht er sich auch keine Sorgen mehr zu machen, wenn er mal
irgendwo seine Mailadresse eingeben soll, da er mit seiner verwendeten
"statischen" IP eh' schon überall bestens bekannt ist.
Ich halte die Aufregung hier für übertrieben, da es keine konkreten
Anhaltspunkte für irgendeinen Missbrauch gibt. Alles nur Spekulation.
Die Angstmacherei funktioniert aber seit dem Mittelalter recht gut ...
da konnte man schließlich Vorfahren aus dem Fegefeuer befreien, wenn man
einen bestimmten Obolus an die Geistlichkeit entrichtete. Ich bin mir
sicher, dass auch heute noch so Mancher gerne zahlen würde.
"Leider" ist die religiöse Aufklärung in der westlichen Welt zu weit
vorangeschritten und so warte ich nur darauf (auch wenn ich weiss, dass
es das für "besonders begabte" User bereits gibt), dass es demnächst ein
massentaugliches "sichereres Internet" für den ängstlichen
verfolgungswahngeplagten aber technisch leider komplett überforderten
Paranoiker gibt ... für einen geringen Aufpreis, irgendeine
"No-Spy-Steuer" oder dank VPN eine Reduzierung der Bandbreite bei
gleichbleibenden oder auch gerne noch zusätzlichen Kosten. Viel Spaß
damit!
GofX
Timm Thaler schrieb:> Aber: Offenbar hat man nicht mal Mailadressen, sondern nur Hashes der> Adressen.
Das würde erklären, warum das BSI nicht, wie von Manchem gefordert,
"einfach alle 16 Millionen Betroffenen anschreiben" kann und weshalb man
stattdessen seine ach-so-private Mailadresse in einem Textfeld des BSI
eingeben soll.
Glenn H. schrieb:> Timm Thaler schrieb:>> Aber: Offenbar hat man nicht mal Mailadressen, sondern nur Hashes der>> Adressen.>> Das würde erklären, warum das BSI nicht, wie von Manchem gefordert,> "einfach alle 16 Millionen Betroffenen anschreiben" kann und weshalb man> stattdessen seine ach-so-private Mailadresse in einem Textfeld des BSI> eingeben soll.
Genau so sehe ich das auch.
Wenn jemand sich die Zeit nimmt einmal seine Adresse einzugeben, und
dann noch seine anderen 20 Adressen auch mit eingibt, kann BSI eine sehr
schöne Statistik machen, welche Adressen von gleicher Person verwaltet
werden. Denn die IP ändert sich ja selten zw. zwei Seitenaufrufen.
Schnell noch die IP abgleichen mit der Verbindungsliste der Telekom und
co, und schon wissen wir alle Namen oder zumindest nahe Bekannten zu den
Email Adressen.
Also Leute, Finger weg!
Fand es witzig, daß die Seite total überlastet war, sozusagen die sich
selbst ge-DOS-t haben. :D
Glenn H. schrieb:> Timm Thaler schrieb:>> Aber: Offenbar hat man nicht mal Mailadressen, sondern nur Hashes der>> Adressen.>> Das würde erklären, warum das BSI nicht, wie von Manchem gefordert,> "einfach alle 16 Millionen Betroffenen anschreiben" kann und weshalb man> stattdessen seine ach-so-private Mailadresse in einem Textfeld des BSI> eingeben soll.
Das wär recht seltsam... Eher Warscheinlich, und passend zum "Datenklau
bei irgendeinem Webdienst" als Urspung:
Email & Hash des Passwortes.
Warum das BSI nicht einfach alle anschreibt:
Machen sie doch... ich krieg jeden Tag einen Spam-Ordner voll von "Ihr
Account wurde gehackt, klicken Sie hier Starten sie das Attachment
Geben Sie ihre Kreditkarten-Numer ein um alles wieder sicher zu
machen"...
Otto Normalsurfer wurde (u.A. auch vom BSI) Jahrelang mühsam erzogen,
solche Mails zu ignorieren. Wie hilfreich wäre da eine groß in
Bildzeitung und RTL verbreitete Kampagne: "Aber wenn beim Absender BSI
steht, ist alles Korrekt und Wahr"?
Martin G. schrieb:> schöne Statistik machen, welche Adressen von gleicher Person verwaltet> werden. Denn die IP ändert sich ja selten zw. zwei Seitenaufrufen.
Es sei denn, zu der IP gehören mehrere Personen. In einem Haushalt oder
in einer Firma oder in einem Mobilfunknetz (die arbeiten i.d.R. auch per
NAT).
> daß die Seite total überlastet war, sozusagen die sich> selbst ge-DOS-t haben. :D
Ja, ich finde auch, die hätten diesen Job in die Amazon- oder
Google-Cloud legen sollen. Im Klartext. ;-)
Ausserdem sind die knapp an Ressourcen und suchen demnächst Personal.
Bewirb dich:
http://www.heise.de/newsticker/meldung/De-Maiziere-verspricht-mehr-Geld-und-Personal-fuer-das-BSI-2096573.html
Εrnst B✶ schrieb:> "Aber wenn beim Absender BSI steht, ist alles Korrekt und Wahr"?
Wär eine erzieherische Massnahme. Die Leute sollen sehen, dass sie
PGP-Signaturen kontrollieren können. Zu verschlüsselten Mails ist der
Weg dann nicht mehr weit.
A. K. schrieb:> Die Leute sollen sehen, dass sie PGP-Signaturen kontrollieren können.
Das halte ich auch für einen sehr positiven Aspekt. Wenn die Leute
merken, daß Kryptographie doch nicht so unnütz ist, wie sie immer
dachten, dann werden vielleicht doch mal ein paar ihren faulen Arsch
heben und ihre Rechner damit ausstatten.
Ich habe seit langem PGP auf meiner Kiste, aber verschlüsselte EMails
sind trotzdem sehr, sehr rar, weil sich kein Gegenpart findet, der es
nutzen will - die Fähigkeit mal vorausgesetzt, was aber auch sehr
optimistisch ist.
K. Laus schrieb:> Wieso muss man alles zwischenspeichern?
Weil sie ganz offensichtlich online nicht hinterherkommen. Indem sie
den Test auf offline verlagert haben, ist das Zeitregime entspannt.
Außerdem kannst du so nicht ausspionieren, ob die Mailadresse deines
Nachbarn (oder alle Mailadressen, die du in deinem Adressbuch hast)
denn betroffen wären, denn die Nachricht wird ausschließlich an die
betroffene Mailadresse versandt.
Rick McGlenn schrieb:> Habe mehrere private Mail-Adressen.
Ich habe mehrere Dutzend. ;-) (Im Prinzip erfinde ich so ziemlich
für jeden Laden eine neue. Sollten sie mich dann zuspammen, lösche
ich die entsprechende Adresse einfach.)
> Sollten sie mich dann zuspammen, lösche> ich die entsprechende Adresse einfach.)
Kann das nicht auch nach hinten losgehen? Wenn die Adresse gelöscht ist,
kann sie ja wieder jemand anders registrieren und somit den Account
kapern, den du bei dem Laden hast. Und dann wäre er auch an den dort
hinterlegten Adressdaten drann...
Aus dem Grund lösche ich meine "Schrottmailadressen" nie.
Jörg Wunsch schrieb:> Außerdem kannst du so nicht ausspionieren, ob die Mailadresse deines> Nachbarn (oder alle Mailadressen, die du in deinem Adressbuch hast)> denn betroffen wären, denn die Nachricht wird ausschließlich an die> betroffene Mailadresse versandt.
??? Mein Beispiel zeigte den direkten Mailversand an die angegebene
Adresse ohne, dass Daten gespeichert werden müssen.
Jo discovery schrieb:> Kann das nicht auch nach hinten losgehen? Wenn die Adresse gelöscht ist,> kann sie ja wieder jemand anders registrieren und somit den Account> kapern, den du bei dem Laden hast.
Er hat wohl eine eigene Domain und löscht nur die Weiterleitungen.
irgendwas@example.com für mikrocontroller.net
wasauchimmer@example.com für google.de
...
leiten z.B. alle auf ich@example.com
Wenn er jetzt wasauchimmer@example.com löscht, werden Mails an die
Adresse nicht mehr zugestellt. Übernehmen kann die Adresse trotzdem
keiner.
K. Laus schrieb:> ??? Mein Beispiel zeigte den direkten Mailversand an die angegebene> Adresse ohne, dass Daten gespeichert werden müssen.
Und die Mailadresse selbst? Was ist, wenn die Mail im ersten Versuch
nicht zustellbar ist? Dann wird deine Mailadresse sehr wohl auf ihrem
Server gespeichert, und zwar in der Mailqueue ihres Mailservers.
Außerdem wird sie im Maillog des Servers auftauchen.
Jo discovery schrieb:> Wenn die Adresse gelöscht ist, kann sie ja wieder jemand anders> registrieren
Auf meinem Mailserver registriert außer mir und meiner Frau keiner
eine Mailadresse. :-)
www_BSI-Sicherheitstest.png
(7,6 KB)
