Neuer Fall von großflächigem Identitätsdiebstahl: BSI informiert Betroffene

[laptopheaven]

Ist die Adresse und damit auch die digitale Identität des Nutzers betroffen, so erhält dieser eine entsprechende Information per E-Mail an die angegebene Adresse.

Das kann letztendlich allerdings auch von bösen Buben missbraucht werden, die einfach mal massenhaft gefakte BSI Mails versenden und dann versuchen die Leute dazu zu bewegen auf irgendeine dubiose Webseite zu klicken um dort womöglich Ihre Daten zu hinterlassen....

Es ist halt schwierig wie man damit am Besten umgeht. Ich beneide das BSI aktuell in keinster Weise.

 

[Mischer]

Leider nein...eher KeePass in einer abgeschotteten, mit TC verschlüsselten VM ohne die Möglichkeit von Netzwerkkommunikation. Aber irgendwann wirds dann auch Overkill.

Zettel und Stift? :thumbup:

 

[think_pad]

Aber irgendwann wirds dann auch Overkill.

Nicht unbedingt, dann geht es hier weiter: http://kontext.fraunhofer.de/haenelt/kurs/folien/Haenelt_IE_RE_Grundlagen.ppt :thumbsup:

 

[beserene]

...
Das ist sinnvoll, weil die Webseite des BSI andernfalls zum Spammen missbraucht werden könnte.
...

Inwiefern?



Ich erhielt so eben zwei Nachrichten auf zwei verschiedene Adressen, bei einem meiner Spam-Accounts:

Leider müssen wir Ihnen heute jedoch mitteilen, dass laut BSI wohl auch Ihr E-Mail-Konto betroffen ist. Bitte überprüfen Sie dies jetzt zeitnah noch einmal unter www.sicherheitstest.bsi.de.
...
Der kriminelle Zugriff auf die betroffenen Vodafone und Arcor Postfächer erfolgte nicht über Server und Datenbanken von Vodafone Deutschland. Mit hoher Wahrscheinlichkeit griffen die Kriminellen die Computer und Laptops der Nutzer direkt an. Es ist davon auszugehen, dass dies über Phishing Attacken oder Schadsoftware geschah.

(Keinerlei falsche Links gesetzt, Grafik als Base codiert, kein Anhang - vermutlich ein "Original")



Die Aussage vom BSI ist relativ allgemein gehalten, die des Mail-Providers wiederum relativ spezifisch. Weiterhin wurde ich ja nun als "Betroffener" darauf aufmerksam gemacht, müsste dann logischerweise ebenso vom BSI eine Antwort auf diese Überprüfung erhalten. Seit zwei Stunden kommt da allerdings nichts - wozu dann erst die Warnung?
Wenn ich jetzt bedenke das die zwei(!) Mails auf sekundäre Adressen gingen, lässt das eher darauf schliessen das irgendeine DB von irgendeinem Seitenbetreiber (vermutlich ungewollt) in andere Hände gelangte.
Also was ist denn nun betroffen?



Etwas irreführend.



P.S.:

Das kann letztendlich allerdings auch von bösen Buben missbraucht werden, die einfach mal massenhaft gefakte BSI Mails versenden und dann versuchen die Leute dazu zu bewegen auf irgendeine dubiose Webseite zu klicken um dort womöglich Ihre Daten zu hinterlassen....

Das ist auch eher das wahrscheinlichere Szenario das bei dieser Aktion rauskommt.

 

[deeptrancer]

Paranoia hat gerade für sich einsam fühlende Menschen den unschätzbaren Vorteil, nie allein zu sein.

toby, Du wurdest zuletzt bereits darauf hingewiesen, dass dieser neue Account von Dir nur solange von uns geduldet wird, wie Du Dich hier "benimmst". Deshalb hier die letzte, deshalb öffentliche, Warnung: halte Dich mit solchen blödsinnigen Kommentaren auf berechtigte Fragen zurück, ansonsten ist auch dieser Account dicht!

 

[Helios]

Hikaru fragte danach, wer den LENOVO-Passwort ausgezeichnet hat, du verweist auf die Bewertung von KeePass...

Jooo S..., voll überlesen. Brille, Fielmann . Aber mein Augenlicht ist leider nicht mehr das Beste... .

 

[supertux]

Aufgrund dieser aktuellen Ausnutzung der Daten erfolgt die Information der Betroffenen in Deutschland in einem zweigeteilten, datenschutzkonformen Verfahren unter Beteiligung der Online-Dienstleister Deutsche Telekom, Freenet, gmx.de, Kabel Deutschland, Vodafone und web.de. Das BSI hat diesen Providern die in ihren Domänenbereich fallenden E-Mail-Adressen zur Verfügung gestellt, damit diese im Rahmen ihrer bestehenden Kundenbeziehungen ihre Kunden informieren.

War diese Vorgehensweise nicht beim letzten Mal noch total unsicher und angreifbar laut BSI? :facepalm:

 

[think_pad]

Lieber deeptrancer, ich verstehe Dein Anliegen. Ich finde, das ist wohl mehr eine grundsätzliche, politische Frage: Niemand hat in einer freien, wie unserer Gesellschaft, das Recht, anderen Menschen grundlos Angst zu machen, in dem man ihnen vorgaukelt, es könne seine Persönlichkeit gestohlen werden. Dies war das Thema mehrerer vergangener, diktatorischer Gesellschaften, deren Orwell'sche Dimension wir zu recht überwunden haben!

Die Menschen sind frei in ihrer Meinung und können diese im Internet kundtun, dies ist auch mein ganz persönliches Anliegen, wenn ich solche Dinge schreibe. Nicht nur der Bundespräsident, auch ich stehe dazu, und wenn dies nicht akzeptiert wird, werde ich damit leben können.

 

[deeptrancer]

nochmals: Deine "Ausführungen" (ich wollte jetzt nicht "dämliches Geschwafel" schreiben) sind hier im Forum fehl am Platz und es gibt schon wieder massig Usermeldungen für diesen neuen Account, da sich mehrere User an Deiner Art massiv stören!

Dies ist die letzte Warnung! Beim nächsten Schwafelanfall ist der Account Geschichte.

 

[moronoxyd]

Das kann letztendlich allerdings auch von bösen Buben missbraucht werden, die einfach mal massenhaft gefakte BSI Mails versenden und dann versuchen die Leute dazu zu bewegen auf irgendeine dubiose Webseite zu klicken um dort womöglich Ihre Daten zu hinterlassen....

Klar. dagegen kann man aber nie etwas machen.
Daß eine Email tatsächlich vom BSI kommt kann man anhand des Codes überprüfen, der in der Email enthalten ist und beim Eintragen der Emailadresse auf der BSI-Seite angezeigt wird. Dazu muss man natürlich wissen, daß es diesen Code gibt...

Inwiefern?

Jeder kann beliebige Emailadressen auf der Webseite eingeben. Wenn in jedem Fall eine Email verschickt würde, könnte man mit einem Script beliebige Emailadresse bei einem Provider durchprobieren und die Emailserver des Providers ggfls. in die Knie zwingen. (Ok, der Begriff "Spammer" in meinem vorherigen Beitrag war nicht ideal, ich hätte vllt. besser von eine DOS-Attacke sprechen sollen).
Dadurch, daß nur im Trefferfall Emails verschickt werden, wird das Emailaufkommen in Grenzen gehalten.

 

[d1zZy]

Zettel und Stift? :thumbup:

Jau. Problem...Backup, Unfälle und Verlust (z.B. durch Brand), sichere Aufbewahrung, Chiffrieren (komplexe Chiffren sind händisch schwer durchführbar und Caesar zählt nicht)...

Nicht unbedingt, dann geht es hier weiter: http://kontext.fraunhofer.de/haenelt/kurs/folien/Haenelt_IE_RE_Grundlagen.ppt :thumbsup:

Was bitte haben Automaten damit zu tun?

 

[laptopheaven]

Chiffrieren

https://www.youtube.com/watch?v=7tJdE3Q29yU

 

[beserene]

...
Jeder kann beliebige Emailadressen auf der Webseite eingeben. Wenn in jedem Fall eine Email verschickt würde, ...

Und die Anzahl an Abfragen pro Person und Zeitraum zu begrenzen ist weshalb nicht möglich?

Worauf ich hinaus will: natürlich gibt es Möglichkeiten das momentane System irgendwie zu missbrauchen, aber genauso gibt es einfache Optionen dieses einzugrenzen.
Der Benutzer selbst bleibt aber weiterhin eher im Unklaren, mal ganz davon abgesehen das Provider ihre Rundmails deutlich anders formulieren.

 

[moronoxyd]

Und die Anzahl an Abfragen pro Person und Zeitraum zu begrenzen ist weshalb nicht möglich?

Und was bringt das, wenn per DDOS-Attacke (Zombie-PCs) x Anfragen mit Emailadressen zu demselben Provider gestellt werden?

Worauf ich hinaus will: natürlich gibt es Möglichkeiten das momentane System irgendwie zu missbrauchen, aber genauso gibt es einfache Optionen dieses einzugrenzen.

Die Tatsache, daß nur im Trefferfall eine Email verschickt wird, IST so eine Eingrenzung. Nur anscheinend keine, die dir gefällt.

 

[beserene]

Und was bringt das, wenn per DDOS-Attacke (Zombie-PCs) x Anfragen mit Emailadressen zu demselben Provider gestellt werden?

Dann wären diese Anfragen immer noch eingeschränkt. Mal davon abgesehen das mit einem Botnet ein DDOS auf den Provider direkt ebenso möglich wäre.

Die Tatsache, daß nur im Trefferfall eine Email verschickt wird, IST so eine Eingrenzung. Nur anscheinend keine, die dir gefällt.

Es geht mir auch eher explizit darum das es nicht erkennbar ist um was für Daten es sich handelt, und die gesamte Vorgehensweise den Benutzer mehr oder weniger im Dunkeln lässt.
Beim BSI ist von allgemeinen Login-Daten die Rede, und bei einigen Providern wieder nur vom Email-Account. Diese Misskommunikation ist mehr Panikmache als hilfreich, und verursacht vor allem sinnlos Arbeit bei "Betroffenen".
Wieso werden Leute von einem Provider gewarnt, erhalten dann aber nie eine Mail vom BSI?
(ich hatte inzwischen auch etwas Zeit mal herumzufragen, und es waren ein paar dabei, jedoch noch keiner auf seine / ihre eigentliche Mail-Adresse (Glück gehabt / größerer Datensatz einer Website?).

Es wird ja u.a. eine Art Verifikations-Code ausgegeben, wieso erlaubt dieser z.B. keinen Zugriff auf den jeweiligen Datensatz?

 

[PandorasThinkpad]

Huiii, also gut, vielleicht trudelt da dann eine entsprechende Nachricht wo in einem der weitverzweigten und hundertfach vorhandenen meinen Mailkonten ein, habe ja auf der ganzen Welt verstreut welche, was genau da nun möglicherweise betroffen ist, das ist bereits schon vom reinen Aufwand her zumindest für mich bereits nicht mehr zu bewältigen. Also vielen Dank liebes BSI, ich habe zwar so meine Vorbehalte gegen alles an Bundes....usw., aber nun ja, gewiss meinen jene es ja nur gut. So ich also mal da und dort eine entsprechende Nachricht finden werde, so werde ich heilfroh darüber sein, eben doch so etwas wie das BSI damit in Verbindung bringen zu können, die es ja doch eben nur gut mit mir und allen anderen meinen.

Die wirklich wichtigen Dinge habe ich eh im Kopf.

Schöne Grüße an alle hier und auch ganz speziell an das BSI,

Pandora

 

[moronoxyd]

Huiii, also gut, vielleicht trudelt da dann eine entsprechende Nachricht wo in einem der weitverzweigten und hundertfach vorhandenen meinen Mailkonten ein, habe ja auf der ganzen Welt verstreut welche, was genau da nun möglicherweise betroffen ist, das ist bereits schon vom reinen Aufwand her zumindest für mich bereits nicht mehr zu bewältigen. Also vielen Dank liebes BSI, ich habe zwar so meine Vorbehalte gegen alles an Bundes....usw., aber nun ja, gewiss meinen jene es ja nur gut. So ich also mal da und dort eine entsprechende Nachricht finden werde, so werde ich heilfroh darüber sein, eben doch so etwas wie das BSI damit in Verbindung bringen zu können, die es ja doch eben nur gut mit mir und allen anderen meinen.

Ich schlage vor, daß du erstmal liest, was das BSI hier macht.
Es schickt dir nicht einfach so eine Email an irgendwelche Emailadressen, sondern nur, wenn du (oder jemand, der deine Adresse kennt) das über ein Webinterface anfordert. Und eben auch nur, wenn die angegebene Emailadresse in der Liste von entwendeten Anmeldedaten enthalten ist.

Und wenn du keinen Überblick über alle deine Emailadressen hast, dann solltest du daran mal was ändern.

 

[PandorasThinkpad]

Hallloo!

Nun ja, es sind manche darunter, da kommen immer Paypalkonto Nachrichten an, wird sich also mal wer die Adresse selbst für so ein Konto ausgeliehen haben, nun ja, eben deswegen halte ich bereits rein gar nichts von Paypal und Konsorten, also besten Dank dafür. Ansonsten mögen da doch diese Spezialisten nun mal richtig Aufklärung betreiben und vor allem auch wirklich Betroffene ausfindig machen, in Zeiten von Bundestrojaner und Co. dürfte das doch wohl locker vom Hocker gehen. Also das waren dann nur mal eben meine einigen Zeilen hier zum Thema an sich.

Grüssenderseits,

Pandora

 

[d1zZy]

Halloo!

Also mal so locker vom Hocker den Bundestrojaner bei allen Bundesbürgern installieren, damit man diese dann per freundlichem Pop-Up darauf hinweisen kann, dass Ihre E-Mail Adresse gekapert wurde. Das wäre sicherlich jedem total recht...

Grüße

 

[Fee]

Zum Glück bin ich nicht betroffen.