Cyberkiminalität steigt! Schütze deinen Windows Rechner

[andreas911]

Da mir aufgefallen ist, dass sich hier im Forum die Threads von Opfern von Hackern und Angriffen aller Art häufen, möchte ich einen Thread über Computersicherheit eröffnen.

Diese Auflistung soll helfen einen Überblick zu erhalten wie man sein Windows-System sichern und VOR Plagegeister aller Art möglichst freihalten kann. Eines vorweg, eine 100 %ige Sicherheit gibt es nicht! Am wichtigsten ist ein vernünftiger Umgang der Geräte mit Internetzugang und beim Surfen, denn der Browser ist das größte Einfallstor für Schädlinge!

Grundsätzliche Absicherungen und Vorsichtsmaßnahmen:

1.   Online Passwörter sollten den aktuellen Sicherheitsstandart ensprechen, sorgfältig ausgewählt werden und keinesfalls doppelt vergeben werden. Gegebenenfalls sollten sie dem entsprechenen Standart angepasst werden. Für die Speicherung empfehlen sich verschlüsselte PW-Manager

2.   Es sollten regelmäßig Backups der wichtigen Daten erstellt werden (bewahre Backups sicher und am besten verschlüsselt auf)

3.   Halte dein Betriebssystem, Anti Virus und folgende wichtige Programme stehts up-to-date:
        
        -   Adobe Reader
        -   Java
        -   Flash-Player
        -   Deine/n Web-Browser (sehr wichtig)

4.   Außerdem Bios und Gerätetreiber up-to-date halten

5.   Es sollten keine Raubkopien und gecrackte Software verwendet werden (cui bono?)

6.   Aus Datenschutzgründen ist von der Verwendung von Chrome abzuraten (https://heise.de/-4010887)

7.   Html Darstellung im Mailproramm deaktivieren, keine Mailanhänge downloaden (nur bei bekannten und vertrauensvollen Absender) (tatsächlich immer
        noch die zweitmeiste Verbreitungsart von Schädlingen)

8.   Software nicht von Zweit- oder Drittanbieter downloaden! Hier besteht hohe Gefahr, dass sich Malware mitinstalliert (z.B. Chip, softonic o.ä.) Software
        am besten direkt vom Hersteller downloaden!

9.   Bei der Installation von kostenfreien Programmen grundsätzlich die benutzerdefinierte Installation verwenden und nur die vom Programm benötigten
        Bestandteile installieren! So wird die heimliche Installation von Malware und lästigen Browser-Toolbars unterbunden.

10.   Vorsicht bei Verwendung von browser plugins und Erweiterungen (toolbars u.s.w.) Nur vertrauenswürdige verwenden!

11.   Vorsicht mit Tuning Programmen, automatischen Treiber-Updater und Registry-Cleanern! Damit kann man sein System schädigen,
        Software unbenutzbar machen, es können Sicherheitslücken entstehen, bis hin zum kompletten Systemversagen!

12.   Passwörter nicht im Browser speichern! Können in sekundenschnelle ausgelesen werden!!


Schutzmaßnahmen:

1.   Es wird empfohlen das Firefox Plugin uBlock Origin zu verwenden. Dies ist ein einfacher und zuverlässiger Ad- und Trackerblocker
        (ähnlich wie AddBlockPlus, aber wesentlich Ressourcen freundlicher).

2.   Außerdem das Plugin HTTPS Everywhere. Es sorgt dafür, dass Firefox, sofern möglich, immer verschlüsselte Verbindungen (HTTPS) verwendet statt HTTP.
        Bei Bedarf ist es möglich durch das einfache Setzen eines Häkchens alle unverschlüsselten Verbindungen zu blockieren. Firefox nutzt dann nur noch HTTPS Verbindungen
        und lädt nichts mehr über unverschlüsselte Verbindungen (HTTP).


Virenscanner & Firewall


Hier streiten sich die Geister, ich habe vielseitig recherchiert und werde nachfolgend versuchen möglichst ausgewogen zu berichten! Eines ist sicher, kein Virenprogramm schützt zu 100 % !!!

Jeder kennt es, wenn man einen Rechner neu aufsetzt, wird als aller erstes überhaupt die Anti Virus Software installiert. Das ist seit Jahren so, aber warum? Richtig, weil Windows bis zur Version 8 keinen eigenen Virenschutz hatte und die ersten Schritte vom Windows hauseigenen Schutz waren haarsträubend. Niemand hat die Tools genutzt. Das Angebot von Herstellern wie Norton, McAfee und Kaspersky (nur um ein paar zu benennen) hatten längst den Markt erobert und die Chartlisten der Vergleichstests angeführt. Aus gutem Grund…

Mittlerweile sind Anti-VirenProgramme zu großen Allroundern herangewachsen und bieten einen scheinbaren allumfassenden Schutz. Anderseits schreiben sich diese Programme tief in das Windows System ein, fressen Systemressourcen auf, verändern bereits installierte Programme und bieten dadurch Angreifern nicht selten neue hauseigene Sicherheitslücken. Außerdem kann es vorkommen, dass die Allrounder keine SSL Verbindungen mehr zulassen und die Kommunikation zwischen Server und Browser blockieren.

Mittlerweile haben alle Anti Virus Programme ziemlich ausgeglichene Erkennungsraten. Auch Microsoft hat mit dem Windows 10 Fall Creators Update den Windows Defender aufgerüstet. Wer sich damit beschäftigt hat wird festgestellt haben, dass der WD mittlerweile auf dem Niveau alternativer, teurer, gar Enterprise Solutions zu vergleichen ist. (und das völlig kostenfrei)

Deshalb sollte meiner Meinung nach jeder User die AV-Software seines Vertrauens selbst finden und verwenden.

Ich nutzte seit Jahren Kaspersky Internet Security. 2006 hat mir das Programm noch sehr gut gefallen, da es funktioniert hat und aufs wesentliche beschränkt war. Von Jahr zu Jahr ist es allerdings aufgebläht wurden und wird immer mehr verschachtelt. Funktioniert zwar aus den o.g. Gründen, aber man vermisst die Einfachheit.

Bevor man also Geld in eine AV Software investiert, sollte man sich fernab von Zeitschriften oder Vergleiche auf den großen Internetportalen informieren. In der Branche geht es um viel Geld, Marktanteile sind hat umkämpft und werden sich natürlich mit allen möglichen Mitteln beschafft.

Meiner Meinung nach reicht neben einer Hardware Firewall (über die z.B. jeder FritzBox oder W-Lan Modem Besitzer verfügt) eine Software Firewall und ein einfaches AV Programm. Dies deckt der WD bereits ab.

Wem der WD nicht taugt, der kann sich diese Empfehlungen ansehen (man sollte maximal eines der Vorschläge verwenden):

-   Emsisoft Anti-Malware (kostenpflichtig)
-   ESET NOD32 Antivirus (kostenpflichtig)
-   Malwarebytes AntiMalware Premium (kostenpflichtig)

Zusätzlich kann der PC regelmäßig mit Malwarebytes Anti-Malware oder mit dem AdwCleaner gescannt werden. Diese sind kostenlos und stören den Betrieb des Antivirenprogramms nicht.

Allen voran ist es wichtig sich keinen dieser Plagegeister einzufangen. Dafür gilt zunächst bestmöglich die oben genannten Vorsichtsmaßnahmen einzuhalten!

(Nur nochmal zum Verständnis, dies ist keine Kauf- oder Nutzungsberatung, mein Artikel spiegelt lediglich gesammelte Erfahrungen wieder. Ich hoffe den einen oder anderen damit weiterhelfen zu können und weiteren Erfahrungsaustausch.)

Lesenswerte Links:
Passwortsicherheit:    https://bitcointalk.org/index.php?topic=3838210
Passwortmanager:     https://bitcointalk.org/index.php?topic=3322034

[1713908338]

1713908338

[1713908338]

1713908338

[1713908338]

1713908338

[narrrf]

Hi

Gute Tipps ... Bin selber auf einer Technik 0900 Line tätig und kann diese Schritte auch empfehlen.

Die meisten Hacks passieren auch wenn "Freunde" Deine private Keys abfotografieren .. Also aufpassen wer neben euch sitzt wenn Ihr in eure Wallets oder Exchanges einsteigt.

lG

[mmueller75]

Very good...

Vielen Dank... Dann gehe ich mal meine Sicherheit aufsteigen... danke danke

[andreas911]

Danke für die Blumen und Merits, ich werde von Zeit zu zeit den Thread weiterpflegen und ergänzen. Gibt ja ständig Neuerungen und Fortschritte in der Technik.

@narrrf: es ist ganzschön leichtsinnig im Beisein von anderen die PK's oder Passwörter auszupacken.

Bei Exchanges ist 2FA ja standart.

[mezzomix]

Die meisten Punkte würde ich so unterstützen, bei ein paar Punkten habe ich jedoch Anmerkungen.

Zu 1:

Generell sollte man für jeden Service ein eigenes Passwort nutzen. Da man sich diese kaum merken kann - ich habe inzwsichen an die 500 PW - müssen diese sicher gespeichert werden. Wer keinen ausreichend sicheren Rechner hat (also fast alle Windows Nutzer und viele Nutzer anderer Systeme), der sollte auf ein externes Gerät ausweichen. Ein altes Smartphone ohne Netzzugang/Internet mit Passwortsafe wäre ausreichend. Verschlüsseltes Backup der Passwörter nicht vergessen und vor allem die Wiederherstellung durchspielen!

Eine regelmässige Änderung der Passwörter würde ich dann allerdings nicht empfehlen. Dies bringt weitere Angriffsvektoren ins Spiel. Ich würde die Passwörter dann ändern, wenn es Hinweise auf unregelmässigkeiten (lokal oder beim Anbieter), entsprechende News oder Warnungen des Servicenbieters gibt.

Zu den Schutzmassnahmen:

Jedes Plugin bringt weitere Angriffsvektoren ins Spiel. Daher würde ich immer dann auf ein Plugin verzichten, wenn man die Aufgabe auch ohne Plugin bewältigen kann. Also uBlock Origin ja (weil es das beste für den Job ist und die Aufgabe nicht ohne Plugin erledigt werden kann), weitere Plugins nur unter speziellen Bedingungen. Unverschlüsselte Seiten und gemischte Seiten kann man im Browser mit Bordmitteln erkennen. Daher würde ich hier auf ein Plugin verzichten.

Zu den zusätzlichen Schutzprogrammen:

Diese greifen, wie bereits beschrieben, sehr tief in das System ein. Wer nicht jede Grusskarte unbedingt starten muss, der sollte lieber mit weniger auskommen. Die Anderen werden alle Ratschläge aus diesem Thread sowieso ignorieren - da hilft/schadet der Virenscanner auch nicht mehr viel. 

Generell:

Wenig Services. Jeder Service bringt zusätzliche Angriffsvektoren und die meisten davon benötigt der Anwender gar nicht. Warum sollte ein Netzwerkfilesystem laufen, wenn der Nutzer sowas gar nicht einsetzt?! Das ist leider unter Windows extrem schwierig umzusetzen, da Microsoft gerne alles startet, was bei 3 noch auf der Platte ist. Nebenbei wird dem Anwender das Leben erschwert in dem das System nicht mehr (ordentlich) arbeitet, sollte der falsche Service nicht mehr laufen.

[andreas911]

Danke für dein Feedback @mezzomix!

Das wichtigste ist so zu interagieren, dass Schädlinge am besten überhaupt nicht den Weg auf den einen Rechner finden. Deshalb möglichst an die Vorsichtsmaßnahmen halten.

Mit der Passwortfrage stimme ich mit Dir überhaupt nicht überein. Über Jahre hinweg die gleichen Logindaten zu behalten ist mMn nicht zu unterschätzen. Angefangen von unloyalen MA des jeweiligen Anbieter/Unternehmen wo man seinen jeweiligen Account hat, bis hin zur Sicherheit der eigenen Umgebung.
2FA ist Pflicht und schützt selbst bei PW-Diebstal enorm. Allerdings gilt das nicht, wenn das E-Mail Postfach betroffen ist. Mann soll also nicht alle 300-600 Passwörter ändern, jedoch die mit der höchsten Priorität. Also das Mailfach und jene, wo das meiste Kapital liegt

Erklärung:
2FA schützt nur begrenzt. Den Zugang zu den Börsen ok. Aber die Mailfächer, die Base einer digitalen Identität nicht. Wenn also ein Hacker den Zugang eines Postfach erlangt, dann stehen ihm Tür und Tore offen. Jeder weiß, 2FA kann man mit Mailzugang und gewissen Tricks umgehen, dieser Königsweg ist allerdings nur über die Mailaccountsmöglich. Deshalb hat der Schutz der Mail-Postfächer höchste Priorität. Es ist selbsterklärend, dass von Zeit zu Zeit das jeweilige Passwort den aktuellen Sicherheitsansprüchen angepasst werden sollte. Hier läuft die Zeit gegen uns!

Vor 10 Jahren hat ein 8-stelliges Passwort ausgereicht. Heute empfiehlt es sich Minimum 8 Buchstaben, 4 Zahlen plus min. 4 Sonderzeichen!
(um so mehr, um so besser)

Computer, Hacker und Software auf der einen wie auch auf der anderen Seite werden immer besser
Schützen muss man sich aber selbst, also sollte man von Zeit zu Zeit sich entsprechend der Gegebenheiten anpassen, bzw. am besten einen Schritt voraus sein

[werner52911]

Das ist eine gute Auflistung um seinen PC sicherer zu machen und wird für den einen oder anderem User hilfreich sein.

Allerdings sollte sich auch jeder User bewußt sein, dass er sich mit seinem Surf-Verhalten viel Ärger ins Haus holen kann.. Wer sich auf dubiosen Seiten herumtreibt und alles möglich downloaded, braucht sich über Schädlinge auf seinem PC nicht wundern.

Bei der Mailflut die viele User derzeit in ihrem Postfach haben, sollte man keine Links oder Anhänge öffnen. Auch wenn sie auf den ersten Blick noch so seriös aussehen. (Beispiel: PayPal Fake-Mails) Ich hoffe dem sind sich die Meisten hier bewußt.

[GOYA58]

Ich würde empfehlen so etwas wie NoScript (Mozilla Firefox) oder ScriptSafe (Google Chrome) zu benutzen. Ist am Anfang gewöhnungsbedürftig, da alle Scripts auf einer Webseite erstmal deaktiviert sind und man einzelnd die benötigten freischalten muss, aber man kann so gewährleisten, dass nichts im Hintergrund läuft, was man nicht möchte.

Kann mich dem Vorredner eigentlich nur anschließen und man könnte auch überlegen, ob man zwei Browser benutzt. Einen nur für Crypto und den anderen für alles andere (Emails, Facebook, Nachrichten). Worauf ich auch achten würde sind die ganzen Icos, die für irgendwelche free token versprechen, wenn man ihre Alpha-Versionen etc. installiert. Aufpassen, dass man sich nicht irgenwelche Viren damit schnappt.

[gdm41]

Guter Artikel, danke dafür (Keine Ahnung wie ich merits verteilen kann). Das mit Chrome war mir neu, welche Browser kannst du als Alternative empfehlen?

[andreas911]

Ja, von Chrome ist grundsätzlich abzuraten (siehe Artikel). Außerdem ist Chrome eine Closed-Source-Software (von Google) und den ihr Geschäftsmodell ist ja bekannt. Letztlich verdienen die Geld mit den Nutzerdaten.

Firefox ist vollständig Open Source, dass heißt der Quellcode ist offen, jeder kann nachprüfen was die Software alles kann/macht. Firefox bietet ausreichend Privatsphäre, wird ständig weiter entwickelt was ausreichend Sicherheit bietet und ist mit verschiedenen Plugins erweiterbar. Je nach Anforderungen kann der Browser angepasst werden. Allerdings gilt hier, jede Erweiterung verändert auch das System und bietet evtl. neue Sicherheitslücken. Also nicht jedes 0815 Plugin installieren, nur wenn man es tatsächlich braucht, einen Nutzen hat und von einem seriösen Anbieter stammt.

Wie schon im Artikel erwähnt ist das Nutzerverhalten am wichtigsten. Auch ein Browser hat seine Grenzen was das Schutzverhalten betrifft.

PS: Mertis kannst Du vergeben indem du bei dem jeweiligen Post oben rechts auf +Merit klickst. Vorausgesetzt ist allerdings, dass man Merits besitzt

[KingScorpio]

cyberkriminalität wird noch weiter wachsen, erst recht mit cryptos in existenz

[cypher21]

finde besonders den Punkte mit den Passwörtern kritisch. Wie mezzo schon sagte, so wenig wie möglich ändern. Ist es ein gutes sicheres Passwort sehe ich für die Änderung gar keinen Grund.

[mezzomix]

Beim Passwort ist es interessant, da die relevanten Parameter üblicherweise ausserhalb des eigenen Lösungsraums liegen. Ist es beispielsweise gut gespeichert (Salted Hash), dann wäre die Änderung eines guten Passworts kontraproduktiv. Ist das Passwort zwar gut, aber der Service hat eine schlechte Speichermethode, dann könnte die Änderung sinnvoll sein. Allerdings müsste man für die Änderungsfrequenz das übliche Zeitfenster für Angriffe - also den Speicheralgorithmus und di möglichen Angriffmethoden - abschätzen können und bewerten können. Das fällt aber aus, da die meisten Services ihre Speichermethode geheim halten.

Insgesammt ist daher der aktuelle Stand der Technik, gute Passwörter einmal zu verwenden und nicht willkürlich zu ändern. Die alte Forderung nach anlassloser regelmässiger Änderung hat bisher keine massiven Vorteil gezeigt, hat aber teilweise zu verschiedenen zusätzlichen Problemen geführt und sogar weitere Lücken nutzbar gemacht.

ACHTUNG: Das ist selbstverständlich nicht die Aufforderung, ein schlechtes Passwort weiter zu nutzen oder ein Passwort nach einem Angriff auf einen Service nicht zu ändern.

[trantute2]

Ich möchte mich nochmal für ein weiteres deutsches Unterforum stark machen, welches sich ausschliesslich um Sicherheitsfragen dreht!

Viele nützliche Beiträge gehen irgendwann im Wust der allgemeinen Threads, insbesondere im "Anfänger und Hilfe"-Subforum unter. Und Bitcoin ist nicht geholfen, wenn Leute wieder und wieder die gleichen Fehler machen.

Gibt es prinzipiell daran ein Interesse hier im Forum? Dann würde ich erstmal mit einer Umfrage beginnen um das genauer auszuleuchten.

Hier mal ein paar Denkanregungen bzw. Themen für dieses Subforum:

• Allgemeine Sicherheitsvorkehrungen (denn mit Speck fängt man Mäuse)
• Möglichst sichere Nutzung von Onlinedienstleistern
• Möglichst guter Schutz des eigenen PCs
• Möglichst sicheres Browsen im Internet (denn mit Speck fängt man Mäuse)
• Methoden zu sicheren Erstellung von Wallets
• Methoden zur sicheren Verwaltung von Wallets
• Methoden zur Überwachung der Wallets
• Social Engineering als Angriffsvektor (denn mit Speck fängt man Mäuse)
• Wie hält man die eigene Paranoia unter Kontrolle

Es gibt bei den einzelnen Punkten natürlich Überschneidungen.

[qwk]

Vor 10 Jahren hat ein 8-stelliges Passwort ausgereicht. Heute empfiehlt es sich Minimum 8 Buchstaben, 4 Zahlen plus min. 4 Sonderzeichen!

Das will ich nicht einfach so stehen lassen.
Besser als 8 Buchstaben, 4 Zahlen und 4 Sonderzeichen (insgesamt 16 Zeichen aus 26 + 10 + X* = 66^16) wären schon 26 einfache Buchstaben.
26 einfache Buchstaben sind sicherlich einfacher zu merken als dein Sonderzeichensalat
Manchmal kommt's einfach nur auf die Länge an

Es ist in jedem Fall sinnvoller, sich eine lange Wortfolge merken zu können, als ein kompliziertes Passwort auf einem Post-It am Bildschirmrand zu haben


https://xkcd.com/936/

* wieviele Sonderzeichen gibt es? zählen Emojis auch? Ich sage jetzt einfach mal 30 für diese Rechnung.
P.S.: mist, eigentlich sind es natürlich nicht nur 26 Buchstaben, sondern 52. Jetzt bin ich zu faul, das nochmal anzupassen.

[andreas911]

Die Passwortfrage macht ja mächtig Furore

Der Eingangsgedanke von diesem Thread ist ja jener, den nicht Computeraffinen Menschen, welche sich im Crypto-Currency-Bereich von BTC und Co. bewegen, Hinweise zu geben, sich ein möglichst sicheres Umfeld zu schaffen und Gefahren zu meiden. Dazu gehört mMn auch die Passwortsicherheit. Näher betrachtet war der PW Punkt im Eingangspost nicht so glücklich gewählt, deshalb habe ich ihn angepasst.

Welche Art von Passwort (Länge, Sonderzeichen, et cetera) besser ist und sicherheitstechnisch eine längere Haltbarkeit hat, möchte ich nicht beurteilen. Allerdings ist es leicht festzustellen, dass die Möglichkeiten Passwörter zu knacken mit dem Fortschritt der Technik einfacher werden. Deshalb sollten Passwörter die vor 5 Jahren noch als gut und sicher gewertet wurden, um den heutigen Sicherheitsstandart angepasst werden. Nicht mehr und nicht weniger wollte ich damit ausdrücken.

Tiefer betrachtet macht ein PW-Wechsel Sinn, auch wenn das PW als absolut sicher erscheint. Wie oft wurden Server gehackt und Accountdaten gestohlen, teilweise sogar ohne dass es der Betreiber festgestellt hat!!! Beispiele gibt es viele, wie IS24, UBISoft, Imgur... wo Millionen Accountdaten gestohlen wurden und es niemand bemerkte...

Einen Königsweg gibt es natürlich nicht, weil es die 100 %ige Sicherheit nicht gibt. Aber mit der nötigen Sensibilität kann man sich schützen und gut positionieren.

[trantute2]

P.S.: mist, eigentlich sind es natürlich nicht nur 26 Buchstaben, sondern 52. Jetzt bin ich zu faul, das nochmal anzupassen.

Ich rechne da immer mit knapp 100 Zeichen:

a-z + A-Z + 0-9 + ca. 37-Sonderzeichen, also bei einer Länge von 16 sind das dann 100^16 = 10^32 Passwort Möglichkeiten, was weniger als die Anzahl an Bitcoinadressen wäre. Nichtsdestotrotz sollte das ausreichend für einen Onlineaccount sein. Bei Wallets und Co sieht das natürlich ganz anders aus.

[trantute2]

Tiefer betrachtet macht ein PW-Wechsel Sinn, auch wenn das PW als absolut sicher erscheint. Wie oft wurden Server gehackt und Accountdaten gestohlen, teilweise sogar ohne dass es der Betreiber festgestellt hat!!! Beispiele gibt es viele, wie IS24, UBISoft, Imgur... wo Millionen Accountdaten gestohlen wurden und es niemand bemerkte...

Ja, solche Passwortdatenbanken kann man sogar auf github finden. Wenn ich Zeit und Muße finde suche ich den entsprechenden Link vielleicht raus (Edit: Muße gehabt):

https://github.com/danielmiessler/SecLists

Sollte das eigene Passwort darin auftreten, dann sollte man schleunigst das Passwort ändern. Denn für einen Hacker ist es leichter solch eine Datenbank durchzutesten, als den gesamten Passwortraum für alle Passwortlängen abzugrasen.

[Patwoll]

Alle müssen größere Passworte haben. Außerdem muss man oft Antiviren verwenden und die Rechner prüfen.

[Kassandro]

@trantute2 Ui, das wird gleich mal gegengecheckt, das auf jeden Fall muss ich nur sagen - sicheri st sicher, danke für das Muße haben!
Und naja ich denke da muss mal jeder seinen eigenen Ansatz finden aber in jedem Falle sollte man wirklich Acht geben auf den eigenen Rechner, die eigenen Daten und so weiter, das muss auf jeden Fall immer gut geschützt werden im Zeitalter des gläsernen Menschen.