AquaSoft Forum

Ich möchte hier ein Thema zu Diskussion stellen, das Euch wahrscheinlich auch schon beschäftigt hat. Aktuell wurde es für mich durch einen Artikel im PC Magazin. Nachdem ich gelesen habe wie leicht z.B. fünfstellige Passwörter zu knacken sind, habe ich mich drangemacht, wenigstens die wichtigsten Paswörter zu ändern. Allerdings bin ich dabei auf einige Probleme gestoßen.

PC-Magazin empfiehlt z.B. die Tasten "alt" und Ziffernfolgen zu verwenden. Wenn man das versucht, erscheinen letztlich nur irgendwelche Fenster, die sich durch die Kurzgriffe "Alt und Ziffer" öffnen. Außerdem waren sowohl bei GMX als auch bei meiner Bank Sonderzeichen verboten. Im Gegenteil mein Onlinebanking ging sogar noch weiter. Es sind nur 5 Zeichen erlaubt und ausschließlich Ziffern und Buchstaben. Bin echt am überlegen, ob ich das Onlinebanking lieber wieder lasse. Sicherlich gibt es die zusätzliche Absicherung durch die TAN. Aber drin im Konto ist man doch erstmal.

Wenn ich lese, das die Software "cain und Abel" z.B. Passwörter aus 6 Zeichen mit Kleinbuchstaben und Ziffern in 5 Minuten knackt, dann brauche ich ja wohl überhaupt kein Passwort mehr einzugegeben



Also nun seit Ihr dran

Hallo Claudia, hier kannst mal testen, wie sicher Dein Passwort ist:

www.datenschutz.ch

Hallo Claudia

Peter hat ja schon mal einen Link gepostet wo Du Dein Passwort testen kannst.

Gib mal folgende Kennwörter bei diesem Test ein und Du wirst staunen

dienstag
Dienstag
DiEnsTaG ==> Gross klein abwechseln
Di3nst@9 ==> ersetzungsmethode 3 für E, @ für a und 9 für g
Di3nst@905

Du wirst erstaunt sein wieviel Versuche benötigt werden um ein Passwort zu knacken, welches mit einfachsten Mitteln verändert wurde.
Sonderzeichen und die Methode mit ALT (im Prinzip ist es der ASCII-Code) empfehle ich aus folgenden Gründen nicht. Wie Du schon selber bemerkt hast, lassen sehr viel Zugangssystem keine solchen Zeichen zu. Bei den Sonderzeichen könnte es ja mal sein das Du mit einer englischen Tastatur arbeiten musst. Such mal auf einer solchen Tastatur das scharfe s oder ein ä.

Ein schlaues System sperrt nach drei falscheingaben den Zugang, so auch die Bank beim Onlinebanking wo ja auch noch der TAN gebraucht wird. In der Schweiz wird noch eine dritte Identifikation benötigt, ich nehme an, in Deutschland auch.
Bei den ganze Kennwörtern halte ich das Pishing für viel gefährlicher. Wenn Du nämlich mal auf eine solche Seite stossen solltest und Du den Benutzernamen, das Kennwort und den TAN eingibst hat der "Feind" sämtliche Zugangsdaten zu Deinem Bankkonto und kann dieses leerräumen.

Uebrigens kann jedes Kennwort geknackt werden. Dabei sind folgende Punkte entscheidend wie lange dies geht
- Ratestrategie (Dictionary-Attacken, Brute-Force-Attacken und eine kombination aus beidem)
- länge des Kennworts
- Anzahl der möglichen Zeichen


Fazit:
Es gibt keine wirklich sicheren Passwörter, es kann aber einem Angreifer durch geeignet Massnahmen erschwert werden, Zugang zu geschützten Daten zu erhalten.

Gruss
Andy

Hypopotamus hat geschrieben:Bin echt am überlegen, ob ich das Onlinebanking lieber wieder lasse...

Bei der Handhabung von Paßwörtern ist meiner
Meinung nach ein wichtiger Aspekt, die automatischen
Paßwortergänzungen, z.B. des IE-Explorers beim Aus-
füllen von Formularen, nicht zu benutzen.
Auch hier im Forum lasse ich mich nicht automatisch einloggen.

Das PIN/TAN-Verfahren beim Zahlungsverkehr ist
außerordentlich sicher, wenn PIN und TANs in der
Zahlungsverkehrs-Software nicht gespeichert werden.
Bei meiner Bank ist Vetragsbestandteil, daß PIN und
TANs auf dem Computer, der online geht, nicht ge-
peichert werden dürfen.
Die Wahrscheinlichkeit, daß dann mit dem PIN/TAN-
Verfahren Missbrauch getrieben werden kann, ist gleich
Null, auf jeden Fall weit geringer als diejenige, daß man
die Barschaft bei einem Stadtbummel durch kriminelle
Elemente einbüßt.
Ein web-basierter Zugang zum Bankkonto, bei dem die
Zahlungsvorgänge online bearbeitet werden, kommt
für mich natürlich nicht in Frage. Ich verwende Software
(WinData 7), in der die Zahlungsvorgänge offline bearbeitet
werden. Erst die fertigen Zahlungen werden dann nach einmaliger
Eingabe von PIN und TAN in wenigen Sekunden übertragen.
Danach beende ich die Internetverbindung sofort.
In meinem Kundenkreis setze ich grundsätzlich dieses
Verfahren ein. In (schätzungsweise) 15 Jahren PIN/TAN-
Anwendung gab es noch nie irgendein Problem.

Das Risiko, einen 6-er im Lotto zu bekommen dürfte
größer sein, als dasjenige, Leidtragender einer PIN/TAN-
Manipulation zu werden. Bisher bekannte Angriffe auf das
PIN/TAN-Verfahren verliefen meines Wissens immer nur
dann erfolgreich, wenn PIN und TANs gespeichert waren oder
die Bankrechner nicht ausreichend geschützt waren.
Ersteres kann einfach vermieden werden, bei Zweiterem
haftet die Bank.
Die eigentliche Gefahr für das PIN/TAN-Verfahren lauert
in der Ausspähung von PINs und dem Auslesen von Geld-
kartendaten bei der Benutzung von Geldautomaten.

Manche Themen werden von der PC-Yellow-Press auch
gerne sensationsmäßig aufgebauscht.

Wenn man sich nur genausoviel Gedanken um die Risiken
machen würde, wenn man ins Auto steigt, wie bei der PC-
Nutzung!

Das Thema erinnert mich an den sprichwörtlichen Blumentopf,
der einem auf den Kopf fallen könnte, wenn man das Haus
verläßt und auf die Straße tritt.

Ich denke, wenn man fragt, ob jemand schon durch Paßwort-
Ausspähen konkret geschädigt wurde, wird sich kaum jemand
melden.

Das Auslesen von Paßwörtern kann ja nur gelingen, wenn jemand
Zugriff auf den Computer hat.
Also:
- Sicherstellen, daß niemand Unbefugtes Zugang zum Computer hat.
- Internetverbindung beenden, sobald sie nicht mehr benötigt wird,
@Hypopotamus: Fritz!-DSL kann automatisch auflegen.
- Paßwörter nicht aus Bequemlichkeit automatisch ergänzen lassen.
- nie gleiche Paßwörter für die unterschiedlichen Anwendungen benutzen.
- keine persönlichen Daten als Paßwörter verwenden.

Angenommen, folgende Konstellation wäre vorhanden:
1) Bios-Paßwort ist aktiviert
2) Windows-Paßwort ist aktiviert (natürlich erst wirksam ab 2000/XP)
3) Banksoftware-Paßwort ist aktiviert
In diesem Fall müsste ein Eindringling die richtige Kombination aus
3 Paßwörtern + PIN + TAN herausfinden, um Schaden anrichten zu
können. Bei richtiger Paßwortwahl (siehe oben) ein langwieriges
Unterfangen.

wassermann hat geschrieben:Das PIN/TAN-Verfahren beim Zahlungsverkehr ist
außerordentlich sicher, wenn PIN und TANs in der
Zahlungsverkehrs-Software nicht gespeichert werden.
Bei meiner Bank ist Vetragsbestandteil, daß PIN und
TANs auf dem Computer, der online geht, nicht ge-
peichert werden dürfen.

LoL
Wie will die Bank das kontrollieren? Bei der Software von T-Online ist kann man zur besseren Bequemlichkeit selbstverständlich TANs abspeichern. Es ist ja auch wirklich viel vom Kunden verlangt, jedes Mal den Ordner mit der Liste hervorzukramen ... Noch sicherer als PIN/TAN ist das Verfahren nach HBCI, das sich aber nie richtig durchgesetzt hat. Den Chipkartenleser, der dabei am PC angeschlossen wird, muss der Kunde nämlich bei der Bank kaufen.

wassermann hat geschrieben: Bisher bekannte Angriffe auf das
PIN/TAN-Verfahren verliefen meines Wissens immer nur
dann erfolgreich, wenn PIN und TANs gespeichert waren oder
die Bankrechner nicht ausreichend geschützt waren.
Ersteres kann einfach vermieden werden, bei Zweiterem
haftet die Bank. Die eigentliche Gefahr für das PIN/TAN-Verfahren lauert
in der Ausspähung von PINs und dem Auslesen von Geld-
kartendaten bei der Benutzung von Geldautomaten.

Zweiteres können wir als Kunden und Nicht-Experten auf diesem Gebiet der Bank faktisch nicht nachweisen. Eine weitere Gefahr sind sogenannten Pishing-Mails. Vermeintlich kommt die Mail von Deiner Bank. Folgt man dem Link: die Web-Site der Bank ist echt (!!), das Pop-Up davor natürlich gefälscht. Daher: Web-Sites von Banken immer nur mit der Originaladresse aufrufen.

wassermann hat geschrieben:- nie gleiche Paßwörter für die unterschiedlichen Anwendungen benutzen.
- keine persönlichen Daten als Paßwörter verwenden.

Das ist in der Tat ein riesiges Problem (zumindest für mich). PC, web.de, gmx, ebay, amazon, Online-Banking, FTP-Upload, DSL-Account, Digibilder bei Schlecker, aquasoft ... undsoweiterundsofort. Von einem weiteren Dutzend Passwörter in der Firma der Firma und vom Verein ganz zu schweigen. Da verliert man (frau auch??) leicht den Überblick, welches Passwort wo verwendet wird. Und wenn man dann Günters zweiten Ratschlag befolgt und frei erfunden PWs verwendet - etwa aGf@3k5H - dann kommt man ohne eine gute PW-Verwaltung nicht mehr klar.

Was aber nicht heissen soll, dass man deshalb nur EIN PW verwenden soll,! Immer frei nach dem Motto, es wird schon nichts passieren ....

stefant hat geschrieben:Bei der Software von T-Online ist kann man zur besseren Bequemlichkeit selbstverständlich TANs abspeichern. Es ist ja auch wirklich viel vom Kunden verlangt, jedes Mal den Ordner mit der Liste hervorzukramen ...

Finde ich nicht zuviel verlangt. Beim Autofahren schaltet man bei ent-
sprechender Verkehrssituation den Tempomat ja auch aus und verzichtet
auf Bequemlichkeit zugunsten der Sicherheit.

stefant hat geschrieben:Zweiteres können wir als Kunden und Nicht-Experten auf diesem Gebiet der Bank faktisch nicht nachweisen. Eine weitere Gefahr sind sogenannten Pishing-Mails. Vermeintlich kommt die Mail von Deiner Bank. Folgt man dem Link: die Web-Site der Bank ist echt (!!), das Pop-Up davor natürlich gefälscht. Daher: Web-Sites von Banken immer nur
mit der Originaladresse aufrufen.

Der Nachweis gelingt, wenn man bspw. ein Image der eigenen Festplatte
zur Verfügung hat und keine PIN/TANs darin zu finden sind.
Zum Phishing: KEINE Bank fordert per eMail zur Eingabe von PIN und TANs
auf. Es KANN sich dabei nur um Betrugsversuche handeln. Am besten
ist es, wie schon gesagt, die Web-Interfaces zur Kontoverwaltung ganz zu
vermeiden.

stefant hat geschrieben: Das ist in der Tat ein riesiges Problem (zumindest für mich)....

Die 4 bis 5 Zugangsdaten, die ich täglich brauche, habe ich im Kopf.
Meine weitere Paßwortverwaltung besteht aus einem DIN A4 Papier.
Darauf habe ich alle Zugangsdaten (rund 30) aufgeschrieben. Kennungen
und Paßwörter natürlich etwas umgeformt. Für selten benutzte Zugänge
genügt ein Griff in die Schreibtischschublade. Von dem Papier existieren
Sicherheitskopien. Es ist für mich eine Sicherheitsaspekt, daß die
Absicherung des/der Rechner nicht wieder auf den abzusichernden Sys-
temen selbst, also durch eine Software-Paßwortverwaltung, stattfindet.
Ich hätte die Befürchtung, daß sich die auch wieder aushebeln läßt.

Doublette, kann entfernt werden.

Das "sicherste" Passwort taugt nichts, wenn der Rechner z.B. einen Keylogger drauf hat.

Fürs Banking empfiehlt sich allemal eine Banking-Software, weil diese direkt mit dem Bankrechner kommuniziert. Da wird kein IE6 oder sonstiger Webbrowser gestartet und weil die meisten Banken sich der Phishing etc Gefahren durchaus bewusst sind, "sponsern" sie solche Software meistens auch indem sie entweder kostenlos von der Bank gestellt wird oder zum Vorzugspreis zu bekommen ist.

@Peter: Was es alles für Tests gibt. Das war sehr interessant. Besonders wenn man wie von Andy empfohlen nur ein wenig die Groß und Kleinschreibung verändert.

Ich mache da sehr wohl Unterschiede, bezüglich der Wichtigkeit meiner Passwörter. Wer will schon ein Forumpasswort ausspionieren. Hat er ja nichts davon. Außer das er in meinen Namen irgend etwas verbreiten kann.

Aber bei Online-Shops, Bank etc. hört der Spaß wirklich auf.

Ich habe jetzt einmal geschaut. Meine Bank bietet zum Sonderpreis von 30 Euro die Software von WISO an. Allerdings frage ich mich wirklich ob das einen Sinn macht. Ich tätige vielleicht 30 Überweisungen im Jahr online. Ansonsten brauche ich es überhaupt nicht.
Wenn ich Euch richtig verstanden habe, muß man nicht unbedingt die Software nehmen, die die eigene Bank anbietet
Gibt es Alternativen, die einfach und für den anspruchslosen Anwender geeignet sind? Oder sind die dann wieder nicht sicher genug?

wassermann hat geschrieben:

@Hypopotamus: Fritz!-DSL kann automatisch auflegen.

Hallo Günter,
das weiß ich. Aber wenn man mit Skype erreichbar sein will, muß man online bleiben. Allerdings bin ich sowieso niemand, der den Computer laufen läßt, während er aus dem Raum geht. Ich mache meine Arbeit und wenn ich fertig bin wird der Kasten ausgeschaltet.

Hypopotamus hat geschrieben:Ich habe jetzt einmal geschaut. Meine Bank bietet zum Sonderpreis von 30 Euro...

Von meiner Bank (zur VB/Raiffeisengruppe gehörig) habe ich das
WinData-Programm, und zwar die Professional-Version, kostenlos
erhalten und zahle lediglich 10 Euro/Jahr Updatekosten an die Bank.
Die Home-Version gibt es hier
http://www.bb-ag.net
für 9,99 Euro.

Hallo Günter,
habe es mir angeschaut. Eine grundsätzliche Frage habe ich noch, nachdem ich schon in einigen Foren gestöbert habe, aber es trotzdem nicht verstehe : Es ist immer wieder von einer T-Online-Verbindung die Rede. Die habe ich ja auch über DSL? Aber muß ich mich auch über T-Online einwählen mit einer speziellen Software? Oder funktioniert es auch weiterhin mit meinen Fritz-Box-Programm.

Hallo,

@stefant

noch sicherer als PIN/TAN ist das Verfahren nach HBCI, das sich aber nie richtig durchgesetzt hat. Den Chipkartenleser, der dabei am PC angeschlossen wird, muss der Kunde nämlich bei der Bank kaufen.

Dazu braucht man doch nicht unbedingt einen Chipkarten-Leser.
Ich habe mein Onlinebankingsoftware schon lange auf HBCI umgestellt. Die Schlüsseldatei hierzu kann doch auch auf CF-Karte oder Diskette speichern.

War mal so, als ich vor einigen Jahren mit Online-Banking begann. Wenn´s heute einfacher und trotzdem sicher geht, warum nicht.

Hallo Günter

wassermann hat geschrieben: Die 4 bis 5 Zugangsdaten, die ich täglich brauche, habe ich im Kopf.
Meine weitere Paßwortverwaltung besteht aus einem DIN A4 Papier.

Ich bin der Meinung ein kompliziertes Kennwort welches auf Papier geschrieben wird ist weniger sicher, als ein Kennwort welches minimalste Anforderungen an eine komplexität stellt, dafür aber im Kopf behalten werden kann.

Gruss
Andy

Hypopotamus hat geschrieben:Hallo Günter,
habe es mir angeschaut. Eine grundsätzliche Frage habe ich noch, nachdem ich schon in einigen Foren gestöbert habe, aber es trotzdem nicht verstehe : Es ist immer wieder von einer T-Online-Verbindung die Rede. Die habe ich ja auch über DSL? Aber muß ich mich auch über T-Online einwählen mit einer speziellen Software? Oder funktioniert es auch weiterhin mit meinen Fritz-Box-Programm.

Hallo Claudia,
ich kann nur über die Professional-Version berichten, es würde mich
aber wundern, wenn es in der Home-Version anders wäre:
Die über Fritz!-DSL aufgebaute Verbindung zu T-Online wird von WinData
verwendet.

andy hat geschrieben:Hallo Günter
Ich bin der Meinung ein kompliziertes Kennwort welches auf Papier geschrieben wird ist weniger sicher, als ein Kennwort welches minimalste Anforderungen an eine komplexität stellt, dafür aber im Kopf behalten werden kann.
Gruss
Andy

Hallo Andy,
auf meinem Papier sind die Paßwörter wie schon gesagt auch wieder
verschlüsselt. Den Ver/Entschlüsselungsalgorithmus habe ich im Kopf
und zusätzlich bei Personen meines Vertrauens außer Haus hinterlegt.
Da ich als Einmannbetrieb tätig bin, muß ich sicherstellen, daß der
Zugriff auf meine Rechner und meine Online-Aktivitäten möglich ist
für den Fall, daß mir etwas zustossen sollte. Diese Überlegung trifft meiner
Meinung nach nicht nur im geschäftlichen Bereich sondern auch innerhalb
der Familie zu. Man kann ja nicht verlangen, daß sich die Vertrauens-
personen meine schlau gewählten Passwörter, mit denen sie hoffentlich
nie etwas zu tun bekommen, im Kopf behalten oder sich in eine Software-
Paßwortverwaltung einarbeiten. Die verschlüsselte Papierlösung scheint
mir da eine hinreichend sichere Methode zu sein.

Gibt es Alternativen, die einfach und für den anspruchslosen Anwender geeignet sind?

Ich arbeite seit langem mit dem Online-Banking-Modul der T-Online-Software.
Kann alles, was man (ich) braucht und kostet nix.

Ich arbeite seit langem mit dem Online-Banking-Modul der T-Online-Software.
Kann alles, was man (ich) braucht und kostet nix.

Genauso wie Peter mache ich es auch schon seit einigen Jahren, und hatte noch nie Probleme.
Wer ständig sich sorgen macht wegen seinen Passwörter, der sollte seine Internet-Verbindung kündigen- Und am besten persönlich bei der Bank vorbei gehen.

Gruß Azus