[TGSG] Eine Lektion in Sachen Internetsicherheit

Willst du Posten?

Möchtest du Beitragen? Erstelle ein Konto oder melde dich an!

    Hallo ihr heftigen Hacker!


    Cybersicherheit bzw. Datensicherheit ist ein Thema, was viel zu oft viel zu leichtsinnig genommen wird.

    Und achtung...


    Auch von mir! :D

    Bis dann mal irgendwas passieren musste.

    Das war meine Lektion in Sachen Internetsicherheit.


    Ich hatte ein gemoddetes Programm gedownloadet. Ging ja bisher auch immer gut, hm?

    Um das Ding zu installieren und zu patchen musste man den Windows Antivirus deaktivieren.

    TATSÄCHLICH ist das nicht so ungewöhnlich. Denn Windows reagiert da auch bei legitim Manipulierten Programmen SEHR allergisch.

    Aus gutem Grund - man weiss ja nie was da abgeht.

    Hab ich also gemacht - ging die letzten 10 male doch auch gut?

    Also Windows Defender gekillt - installiert - funktioniert alles, jawoll!

    Und augeschneinlich ist auch nix passiert.

    Naja. Bis ich nur paar Minuten nachm Ausmachen den Windows Defender wieder angemacht hatte. :D

    Der dann direkt losgeschrien hat. Er hat einen PrivateLoaderMTB!RM gefunden.

    WTF dachte ich mir was solln das sein? Windows hat das Ding direkt abgeschossen und ermordet.

    Nochmal das System gescannt - alles sauber. (Hat mehrere Stunden gedauert ALLE Dateien zu scannen...)

    Hm. Glück gehabt?


    Schön wärs.

    Dieser reudige "PrivateLoader" ist zwar weg, hatte aber paar Minuten zum Spaß haben.

    Hab dann mal gegoogelt, was das überhaupt ist. Nun, das kann alles mögliche sein. Meistens ist es ein Trojaner, der andere böse Dinge runterlädt, wozu er bei mir ja den absoluten Freifahrtschein für 3 Minuten hatte xD

    Aber es kann auch etwas sein, was Sitzungsdaten und Cookies aus Browsern kopiert und verschickt.

    Und das letzte ist der Part, der eigentlich extrem besorgniserregend ist.


    Wichtige Info: Euer Browser ist NICHT 100% sicher.

    Es mag zwar stimmen, dass Webseiten undso nichtmehr einfach so eure Browserdaten wegnaschen können.

    Programme die Zugriff auf dem PC selber haben aber schon!

    All eure Browsercookies, der Verlauf und am schlimmsten: Eure Passwörter sind im Browser gespeichert. (Zumindest wenn euer Browser für euch Passwörter automatisch ausfüllt, was bei mir der Fall war)

    DIe Passwörter sind zwar verschlüsselt, aber leider nicht besonders gut. Bei manchen Browsern sogar gar nicht.

    Aber noch viel schlimmer sind die Cookies.


    Warum müsst ihr euch nicht bei jedem YouTube, Boards of Legends, Amazon Besuch neu einloggen?

    Weil sich der Browser eure Sitzung merkt. Und die ist in den Cookies.

    Und genau diese Cookies kann man kopieren und klauen.

    Noch viel schlimmer: Damit muss man nichtmal euer Passwort mehr eingeben. Und auch kein 2-Faktor Code.

    Man fügt den Cookie im eigenen Browser ein und ist quasi einfach drin, die Zielseite hinterfragt das oft gar nicht.


    Erstmal schien ich fein raus.

    Erstmal. Bis mir dann auf Telegram ein Bot schrieb, dass mein Account keine Limitationen hat.

    Diese Info hatte ich per Befehl angefordert. ....zumindest stand das da.

    Hab ich nicht.


    Schau ich also in meine aktiven Geräte - mein PC war gerade online.

    Das kann aber überhaupt nicht sein. Mein PC war nichtmal an.

    Wenige Minuten später erhalte ich eine Mail, das ich auf Google Ads gebannt wurde. Wegen Scamwerbung. Wie bitte?

    Geh ich also hin - 2 Kampagnen die ich nie geschaltet hab.

    Kriege noch eine Mail das ein Google Play Geschenkkartenkauf von mir abgelehnt und meine Zahlungsmittel gesperrt worden - weil verdächtig.

    Spätestens jetzt war es nichtmehr schwer 1 und 1 zusammenzuzählen.

    Aber so richtig konnte ich es nicht glauben. Ich bekam keine Anmeldebenachrichtigung, kein 2FA Code, gar nix. Neue Geräte waren auch in meinen Accounts nicht zu sehen.

    Kann das wirklich sein?


    Ja, kann es. Wenn Viren eure Sitzungen klauen können sie eure Accounts zumindest eine Weile Problemlos nutzen.

    Ein weiteres großes Problem...


    Passwortsicherheit

    Ich hatte zwar ein paar lange und ziemlich komplexe Passwörter, die man definitiv nicht einfach mal so errät.

    Aber ich hab halt viele davon MEHRMALS benutzt.

    Das ist nicht gut, denn sollte der Virus tatsächlich auch meine Passwörter geklaut haben (wofür ich bis jetzt keine Beweise habe) können gleich mehrere meiner Accounts aufgesaugt werden.

    Also Passwörter ändern. Und zwar ALLE. Uff....

    Aber wieder dasselbe für alle? Keine gute Idee. Aber kann ich mir 50 Passwörter merken? Natürlich nicht!

    Es muss doch eine Lösung geben?

    Ich habe erstmal bei meinen Accounts alle Geräte außer mein Handy gekickt. Sofern die Passwörter nicht geklaut wurden, würde das dem Spuk schon ein Ende setzen, weil es die Sitzungen ungültig macht.

    Aber noch eine Sicherheitsebene muss her.

    Passwort Manager

    Ja gibt es.

    Und eigentlich wollte ich das längst schonmal gemacht haben, war aber immer zu faul. Na toll.


    Passwortmanager speichern all eure Accounts und Passwörter hinter einem Masterpasswort.

    Das Masterpasswort legt ihr fest, um in den Tresor zu gelangen für all eure Restlichen Accounts.

    Der Passwortmanager ist dabei extrem sicher.


    Das Passwort sollte sehr lang und komplex sein. Es ist das EINZIGE, was man sich dann noch merken muss, also sollte das schon gehen.

    Dann kann man den Manager noch mit 2FA schützen. Nach dem Passwort müsst ihr auf nem neuen Gerät also noch extra einen Code vom Handy eingeben. Und dann müsst ihr das neue Gerät ZUSÄTZLICH NOCH von einem anderen Gerät (zb. Handy) aus freigeben.

    Die Sitzungen des Managers können nicht geklaut werden. Sie laufen super schnell ab und sind nach strengen Prüfverfahren limitiert.

    Die Passwörter im Tresor können auch nicht geklaut werden. Sie sind extrem komplex verschlüsselt. Der Schlüssel zum Entschlüsseln ist das Master Passwort (was nur du kennst), die Account ID (Was nur der Manager kennt) und noch einige andere Faktoren. Ohne diese ist der Tresorinhalt unlesbarer Datenmüll.


    Dann hat der Manager noch Session und Tresor Kill-Switches.

    Er ist also wirklich extrem sicher, solange das Masterpasswort gut ist. Selbst wenn man sich dann nochmal einen Virus einfängt.


    Da ich jetzt also den Manager hab, kann ich für jeden Account ein eigenes Passwort nehmen. Und da er diese sowieso sicher speichert, können diese ruhig auch extrem komplex sein!

    Man kann Accountdaten dann übrigens auch per Tastenkombi einfügen lassen, wenn man sich wo einloggen will. (Natürlich muss dafür der Tresor entsperrt werden)

    Zusätzlich kann der Manager auchnoch Passwörter für einen generieren.

    Und jetzt bin ich hier. Alle Passwörter sind komplett random, extrem lang und machen GAR KEINEN SINN.

    Ich könnte mir niemals auch nur eins davon merken.


    So sieht eins zum Beispiel aus:

    Btw, keines davon ist ein Passwort von mir, schuldigung! :D

    Bei sogenannten Brute Force attacken, versuchen Programme Accounts zu knacken, indem sie das Passwort extrem schnell durchprobieren. Mithilfe von Datenbanken, Wörterbüchern und anderen.


    Mein "sicher" Beispiel würde für so ein Programm schon Jahre dauern. "Extrem sicher" würde länger dauern, als unsere Sonne noch lebt. Und das letzte wird in diesem Universum nicht mehr erraten. Ihr könnt darauf wetten, dass selbst "Extrem sicher" bisher niemals von irgendwem anders generiert wurde.


    Keiner kann sich diese Passwörter merken. Erraten erst recht nicht.


    Das ist aber völlig egal! :D

    Es kann natürlich nervig sein, den Tresor entsperren zu müssen immer wenn man sich wo einloggt.

    Aber die ENORME SIcherheitssteigerung ist es eigentlich echt Wert.


    Der Passwortmanager meiner Wahl ist übrigens "Bitwarden".

    -Schick und simpel mit DARK MODE <3 *-*

    -Praktisch und Effizient

    -Kein Geräte-Limit / Kein Account-Limit

    -Alles was man so braucht ist im dauerhaft Kostenlosen Free Plan enthalten!

    -Synchronisiert sich - meldet es auf euren Geräten an und ihr habt eure Accounts überall.

    Was lernen wir daraus?

    -Macht den Antivirus nicht aus.

    :pikachu:

    -Verwendet lange und Komplexe Passwörter

    -Verwendet keine Passwörer mehrmals!!! (Nein ernsthaft. Das macht euch im Ernstfall so viel mehr Stress!)

    -Nutzt einen Passwortmanager für extremen Schutz und trotzdem Komfort

    -Nutzt dann aber ein wirklich gutes Masterpasswort. Schreibt das NIRGENDWO Zugänglich auf!

    -Richtet euch überall wo es geht 2FA ein. Glaubt mir, den extra Code eingeben ist die 15 Sekunden aufwand Wert, vorallem weil es oft pro Gerät nur EINMAL nötig ist.


    Hackende Grüße,

    -Pichu

    Zitat von CptPICHU

    -Nutzt dann aber ein wirklich gutes Masterpasswort. Schreibt das NIRGENDWO Zugänglich auf!

    Oh, doch, macht das. 1-2 mal auf Papier, und lasst die dann an einer zu findenden, aber doch nicht sofort sichtbaren Stelle in eurem Zimmer, eurer Wohung oder eurem Haus. Denn je nach PW-Manager gibt es im Notfall sont beim Vergessen (Oder wenn ihr im Koma seid, oder im schlimmsten Fall beim Todesfall) KEINEN Zugang zu euren Passwörtern (ja, bei den meisten PW-Managern geht das, weil die mit Synchronisierung etc. über Server laufen, was der Hersteller abfangen/modifizieren kann zum Notfallzugriff, gibt aber welche wie z.B. Keepass, die nur mit einer lokalen Datenbank arbeiten, die man dann manuell auf jedes Gerät schmeißen muss, und auch Synchro-Hersteller, die sich keine Hintertür gelassen haben, was eigentlich gut ist, erhöht die Sicherheit).

    Hatte damit letztes Jahr nämlich schlimer Erfahrungen gehabt, da beim Tod meines Vaters wir so ein Papier nicht gefunden haben, und somit hoffen mussten, dass wir ans Handy oder Tablet rankommen (das ging ja), und dann er sich in seinem E-Mail Programm automatisch einloggt (war bei uns der Fall, daher haben wird alles bis auf die SIM-Karten noch einfach reaktivieren, übertragen oder löschen können). Wäre das nicht der Fall gewesen, währe vieles verloren gewesen, und auch so hatten wir teils noch anfang diesen Jahres böse Überraschungen ind er Form von Rechnungen für Sachen, die wir gar nicht wussten, dass es die gab, da der PW-Manager doch oft auch eine gute Erinnerung in der Form von "Ach ja, das hatte ich ja auch noch" ist.

    Also nein, das Master-PW nicht nur im Kopf haben, wenn es da mal rausfällt oder der Schaden nimmt macht man sich sont echt dicke Probleme (und auch wenn der Hersteller sich eine Hintertür gelassen hat, mit Master-PW ist es immer schneller und angenehmer, und im Fall der Fälle möchte man ja genau das haben, damit es nicht noch stressiger wird als es eh schon ist).


    Ansonsten ja, PW-Manager sind sehr gut, bin selbst derzeit dabei meine Passörter so langsam zu übertragen/zu ersetzen, kann ja schlecht schaden :) (ich nutze KeePass, hat dann alles in einer lokalen Datei, die selbst die Hersteller nicht knacken können ohne Master-PW, die muss man dann zwar manuell auf alle Geräte übertragen und synchronisieren [außer, man hat die auf einem Privaten Dateiserver {NAS o.ä.} und steuert dann immer die an], hat aber den Vorteil dass es egal ist, ob der Hersteller/Anbieter gehackt wird, ob ihr das Programm aktuell haltet o.ä., was sonst die Hauptschwachstellen mancher andere Anbieter sind).

    astrofan guter Post! Ich stimme zu.

    Hab ich glaube blöd ausgedrückt.

    Ihr sollt das nicht zb. Einfach in ne Textdatei oderso schreiben. Das kann bei nem Virus Katastrophale Folgen haben.


    Physisch ist was anderes, aber auch da ruhig kreativ werden. Soll ja nicht gleich jeder finden.


    Digital geht wenn man sich was gutes Einfallen lässt. Ich zb. Hab ne Backup Festplatte, wo ich alle paar Wochen ein PC Komplettbackup draufmache. Nur dann ist die Platte über angeschlossen. Darauf könnte man das Passwort auch legen. Eine ausgeschaltete/abgesteckte Platte erreicht ein Virus nicht.


    Oder im Beispiel von Bitwarden (beim Premium Plan für 1€/m) kann man sich Notfallkontakte einrichten. Ist man X Tage nichtmehr online gewesen wird damm soweit ich weiss das Passwort an diese Kontakte gemailt.


    Aber nicht euer Passwort einfach in ne txt aufm Desktop schreiben bitte xD

    aus diesem Grund sind ,bei kritischen Webseiten wie online shops oder email, meine Passwörter nicht im Browser gespeichert. Passwortmanager bin ich persönlich auch eher skeptisch.

    Früher hab ich auch wie astrophan, meine Passwörter auf nen zettel geschrieben(auf dem pc als datei speichern find ich auch nicht schlau).


    Mittlerweile sind die meisten veraltet. Inzwischen hab ich so 4-5 Passwörter mit leichten Varianten, die ich je nach sicherheitsgrad nutze.


    Ansonsten ist "Passwort vergessen" mein Passwort manager :biggrin: .


    meiner Frau hab ich ausserdem mal gesagt, an welche andere email Adresse mein hauptmail Account gesichert ist.

    Ja, da ich denen auch nicht ganz traue nutze ich eben die verschlüsselte lokale Option, wer weiß, wann der neue Depp bei denen eine Hintertür offen lässt?

    Aber ja, die unbedingt notwendigen auf den Zettel, der Rest in die Datei, und sonst geht immer "Passwort vergessen", mit der Kombi schafft man das immer sicher.

    Und das Backup "Hey, weißt du noch was ich da hatte?" ist erstaunlich verlässlich, sofern man da nur einige wenige Passwörter ablegt. Hat leider ein sehr geringe Kapazität, daher bitte nur für E-Mail, Nutzername auf dewm PC, Handy, o.ä. nutzen, sonst sind da schnell mal alle weg.

    Also ich finde es schon grundsätzlich zweifelhaft, wenn ein Programm mich fragt, ob ich den Antivirus ausschalten würde.

    Sowas fliegt im Moment in dem die Anfrage kommt hochkant aus dem Fenster.


    Das das "üblich" ist bezweifle ich auch irgendwie, denn mir wurde noch nie die Anfrage gestellt den Antivirus auszuschalten.


    ________


    Bezüglich Passwort-Manager: Ich finde diese Programme in der Regel zu aufwendig. Da verstecke ich mich lieber hinter einem starken Antivirus und lasse die Finger weg von allem, dass seltsame Anfragen stellt.

    Mit freundlichen Grüßen:

    Amycos Cyrus


    Content Manager des Unterforums "Champion- & Skinkonzepte"

    Moderator


    "Schlagfertigkeit ist das, was einem am nächsten Tag einfällt" - Mark Twain

    Zitat von Amycos Cyrus

    Das das "üblich" ist bezweifle ich auch irgendwie, denn mir wurde noch nie die Anfrage gestellt den Antivirus auszuschalten

    Dafür muss man sich rechtlich zweifelhalte, modifizierte Programme runterladen :D

    Da erkennt der Antivirus richtigerweise, dass da was nicht so ist, wie es sein sollte.


    machen sollte man das trotzdem nicht. Oder vorher in ner Virtuellen Maschine testen.


    Es sei noch dazu gesagt das aber nicht jedes Misshandelte Programm eine Warnung auslöst xD

    Zitat von Amycos Cyrus

    Na was soll man da sagen? Ala Sesamstraße: Wer das macht ist dumm. ^^

    Nicht wenn es funktoniert und man sich dann die Komplett überteuerte Software spart :D

    Aber es wäre wohl am besten, vorher das ganze in ner Virtuellen Maschine durchzutesten und zu analysieren da kann es keinen Schaden anrichten falls es doch böse ist.

    Tatsächlich werden viele dieser Sachen blockiert, obwohl sie eigentlich nicht gefährlich sind.

    Aber manchmal... nur manchmal... ist das Pferd vlt doch aus Troja :)

    Als ich noch seeehr viel jünger war, hatte ich kein Geld für Minecraft, aber ich wollte das unbedingt spielen xD


    Hab es mir also modifiziert umsonst geholt... xD

    Ist aber alles gut gegangen und geklappt hat es auch :D


    Mittlerweile habe ich Minecraft schon laaaange gekauft. Die 20€ hatte ich dann doch irgendwann mal übrig ^^

    Passwortmanager bei mir auch an Bord ist total entspannt wenn man dran gewöhnt ist.


    Ich hab mir bis jetzt noch nichts eingefangen aber ich kenn das :biggrin:


    Wie viele hunderte Euro ich schon gespart hab indem ich teure Programme oder eklige Publisher nicht supportet habe...

    Ist alles schon teuer genug :teetrinken:


    Defender ausmachen müssen hatte ich eher selten aber ja das ist schon gruselig :D

    Gut zu wissen das da wirklich was passieren kann das mit Virtuelle Maschine wär mal gut...


    Wie mach ich so eine?

    Zitat von MiniGnar

    Gut zu wissen das da wirklich was passieren kann das mit Virtuelle Maschine wär mal gut...


    Wie mach ich so eine?

    An sich ganz simpel. Finde eine .iso (oder anderweitig von deiner VM genutzes Format) des Betriebssystems, das du in der VM laufen lassen willst (für Windows oder Mac etwas nervig, aber geht) , und lasse die in einer VM (z.B. Oracle VM VirtualBox, das ist Freeware, gibt aber auch noch andere, einfach Google nutzen) als künstlichen PC auf deinem PC installieren. Dafür findest du oft erstaunlich gute Anleitungen, und inzwischen sind viele VMs sogar relativ übersichtlich und verständlich. Das einzig etwas nervige ist Dateien aus einer VM raus zu holen, wenn man die nicht noch mal runter laden will, aber das ist ein eher kleines Problem (oft einfach über USB-Stick oder NAS/Dropbox u.ä. lösbar).


    Man muss dann aber auch dran denken, die VM erst mal ein zu richten, und für so was zu nutzen... Ruhe da hinten, Spiegel!

    Ja, ich nutze auch VirtualBox.

    Ganz wichtig ist, dass eine VM nicht automatisch immer 100% sicher und abgeschottet ist.

    Wenn man da heftige Trojaner ballern will, muss man unbedingt drauf achten, dass die VM völlig isoliert ist!!


    1. Die VM darf auf keine deiner Ordner/Dateien/Platten von deinem richtigen PC zugriff haben.

    2. Die VM darf nicht im Netzwerk drin sein (also zumindest nicht so, dass sie andere Geräte oder gar Netzlaufwerke sieht!)

    3. Melde dich in der VM niemals irgendwo in irgendeinem deiner Accounts an. Bei Win11 ist ein Microsoft Account pflicht. Nimm da NICHT deinen, sondern mach einen Wegwerf-Account.

    4. Setze den gesamten PC Datenverkehr hinter einen VPN. (von deiner VM aus oder noch besser vom richtigen PC aus) WICHTIG: Nicht die Browser-Erweiterungen von den VPNs sondern die PC Apps! Die schalten ALLEN Netzwerkverkehr hinter ein VPN.

    Auf diese Weise findet ein potenzieller Virus auch nicht raus, wer du wirklich bist und wo. Stichwort IP Adresse.


    Generell würde ich vorkehrungen dafür treffen, dass die VM in keinster weise aus ihrer Virtuellen Festplatte raus kann. Auch nicht übers Netzwerk oderso. Noch besser wäre, wenn man möglicherweise Gefährliche Programme ausführen will, den Internetzugang für die VM noch zusätzlich abzuschalten.