Privatsphäre und IT-Sicherheit

[MaxMueller]

Ich habe mit c't Desinfec't 12/2025 gute Erfahrungen gemacht im Bekanntenkreis.
Um nur zu schauen was wirklich so drauf war, platt machen bei Verdacht/Fund versteht sich von selbst

Klingt gut... hab mir die C't mal gebraucht geordert, mal schauen ob das für einen download reicht... sonderheft hab ich auch schon gesehen, konstet ~20€, wäre der plan B...


Ja, win7 hab ich auch angesprochen, dass man quasi schutzlos unterwegs ist und nur drauf hofft nicht angegriffen zu werden... aber die person ist rentner und macht nur das nötigste am rechner, entsprechend gering war bisher die bereitschaft... der einschlag hat jetzt etwas sensibilisiert....

Angriffsvektor konnte grob nachvollzogen werden:
Gut gemachte Kleinanzeigen Phishing-Mail (aus gründen XY müssen Sie ein neues passwort vergeben, mit nem button "jetzt neues passwort vergeben"), formatierung war sauber, und absendemail schien noreply@kleinanzeigen.de zu sein (ich hab die mail auf den ersten Blick trotz verdacht auch für sauber gehalten)....
Draufgeklickt und Email+altes passwort eingegeben damit waren sie drin...
passwort bei der Email war das gleiche also hatten sie dort auch sofort zugriff... dann bei der Email ne weiterleitungsregel eingestellt (dadurch ist es aufgefallen, weil keine mails mehr angekommen sind) und bei kleinanzeigen die anmelde-email geändert...

War im grunde auch glück, dass ich zufällig mal vorbei gekommen bin, ansonsten hätte das einfach paar wochen "nicht funktioniert" und die person hätte es nicht genutzt und "alles wäre gut gewesen"

Kleinanzeigen haben wir fremdzugriff gemeldet, mal schauen was da kommt... gestern hatte sich schon jemand gemeldet, der silber kaufen wollte, beim rückruf heute meinte der auf nachfrage, alle Anzeigen sind gelöscht.... also toitoitoi, dass der schaden in den 2 Tagen überschaubar bleibt...

Darüber hinaus konnten keine veränderungen festgestellt werden, aber man weiß ja nie....

[Real-Duke]

passwort bei der Email war das gleiche also hatten sie dort auch sofort zugriff...

In dem Augenblick als ich das gelesen habe, musste ich mir beide Hände vor das Gesicht halten und etwas den Kopf schütteln
Ich hoffe, Du kannst dem Rentner jetzt ein wenig auf die Sprünge helfen beim aktuellen Betriebssystem und bei der Erstellung von unterschiedlichen Passwörtern.
Jetzt hat er am eigenen Leib erfahren wie wichtig es ist nicht überall die gleichen einzusetzen, auch wenn es bestimm sehr bequem war...bisher!

dann bei der Email ne weiterleitungsregel eingestellt (dadurch ist es aufgefallen, weil keine mails mehr angekommen sind) und bei kleinanzeigen die anmelde-email geändert...

Da hat er auch noch großes Glück im Unglück gehabt. Bei einer Umleitung hätte er von den Mailkopien an die Scammer noch nicht mal etwas mitbekommen...
Falls er eh nur Mails und Surfen mit dem Computer vor hat, lohnt sich bestimmt der Umstieg auf ein aktuelles Mint 22.3 wie von @Cricktor bereits vorgeschlagen wurde.
Kostenlos, schnell und Viren gibt es nicht wirklich unter Linux.

[5tift]

Ich habe mit c't Desinfec't 12/2025 gute Erfahrungen gemacht im Bekanntenkreis.
Um nur zu schauen was wirklich so drauf war, platt machen bei Verdacht/Fund versteht sich von selbst

Klingt gut... hab mir die C't mal gebraucht geordert, mal schauen ob das für einen download reicht... sonderheft hab ich auch schon gesehen, konstet ~20€, wäre der plan B...

Du kannst die DVD auch so laden auf der Seite von Heise.de, so war mein letzter Stand.

[mole0815]

Du kannst die DVD auch so laden auf der Seite von Heise.de, so war mein letzter Stand.

Ist bei dem Heft die Vollversion dabei?
Auf der Heise-Seite wird sie mit "ab 12,40 Euro" angeboten: https://www.heise.de/download/product/desinfect-71642

Windows Defender (immer aktuell gehalten) + Vorsicht beim Faktor Mensch (was ja zum Großteil der Probleme führt) ist schon mal ein guter Start.

[MaxMueller]

Du kannst die DVD auch so laden auf der Seite von Heise.de, so war mein letzter Stand.

Das kann ich jetzt bestätigen.... auf "ct.de/desinfect2025" kann man seine Email eintragen und darüber einen downloadlink anfordern... Zur Info für diejenigen, die sich vielleicht auch gleich eindecken wollen...

[JonasKernDE]

Guter Überblick – vor allem der Punkt „Datenschutz ist eine endlose Aufgabe“ trifft es. Ich würde das (Stand heute) noch um ein paar praxisnahe Dinge ergänzen, die bei vielen realen Vorfällen die Hauptrolle spielen:

1) Passwortmanager + Passkeys
Ohne Passwortmanager geht’s eigentlich nicht mehr. Wichtig: Master-Passwort stark + 2FA fürs Vault. Wo möglich: Passkeys nutzen statt Passwort.

2) 2FA richtig (weg von SMS)
SMS ist anfällig (SIM-Swap). Besser: Authenticator-App, am besten Hardware-Key für die wichtigsten Accounts (E-Mail, Exchanges, Cloud). Backup-Codes offline sichern.

3) E-Mail ist der „Root Account“
Viele übernehmen am Ende die E-Mail und resetten dann alles andere. Daher: eigene starke Sicherheit für Mail, getrennte Recovery-Adresse, 2FA, Login-Alerts.

4) Device-Security Basics
Full-Disk-Encryption (Laptop/Phone), Auto-Lock, saubere Updates, keine „Admin-Accounts“ für Daily Use. Browser/Extensions minimal halten (weniger Angriffsfläche).

5) Phishing & „Support“-Scams
Nicht nur Ads: häufig sind es Fake-Support DMs, gefälschte Login-Seiten, „Wallet verbinden“/Signaturen. Grundregel: niemals Seeds/Keys eingeben, URLs doppelt checken, keine Remote-Tools mit Fremden.

6) Backup-Strategie
Backups sind nur gut, wenn man sie testen kann (Restore-Test). Wichtig: 3-2-1-Prinzip (3 Kopien, 2 Medien, 1 offsite) – und verschlüsselt.
Meine Best-Practice Infrastruktur (kompakt):
Mail: Proton/Tuta + 2FA
Passwörter: Passwortmanager + unique PW überall
2FA: Hardware-Key für kritische Accounts, Auth-App sonst
Browser: uBlock + sparsame Addons, getrennte Profile (Alltag vs. „Krypto“)
Krypto: Hot Wallet klein, größere Beträge cold/hardware, Seeds offline

Würde mich interessieren: Nutzt ihr eher Hardware-Keys (Yubi/ähnlich) oder reicht euch Auth-App + gute OpSec?

[Lakai01]

1) Passwortmanager + Passkeys
Ohne Passwortmanager geht’s eigentlich nicht mehr. Wichtig: Master-Passwort stark + 2FA fürs Vault. Wo möglich: Passkeys nutzen statt Passwort.

Sehe ich grundsätzlich genauso, ohne Passwortmanager geht es mittlerweile kaum mehr.
Man muss hier jedoch etwas aufpassen: Online-Dienste wie LastPass sind hier genauso gefährlich als wenn man überall das gleiche Passwort verwendet und gaukeln die zusätzliche Sicherheit nur vor.

Warum?
Onlinedienste sind hackbar und man muss sich darauf verlassen, dass sie deine Daten sicher speichern. LastPass wurde bspw. bereits gehacked und die verschlüsselten Masterkeys der Userbasis konnten abgezogen werden. Es ist also nur eine Frage der Zeit, bis diese gebrochen werden können (auch wenn der Faktor "Zeit" derzeit schützt ist es fraglich, ob das auch in 10 Jahren noch so ist).

Auch sind Passwortmanager, die standardmäßig mit einem Browser ausgeliefert werden, kein geeigneter Ersatz für ein richtiges Passwortmanagement-Werkzeug, auch wenn sie komfortabel sind. Sie funktionieren mEn. nicht richtig und sind im schlimmsten Fall auslesbar wenn jemand Zugriff auf den Rechner, auf dem das Browserprofil liegt, erlangt.

Es gibt aber eine handvoll sehr guter (opensource) Passwortmanager die man durchaus empfehlen kann, bspw. ProtonPass oder mein persönlicher Favorit KeePass. 

[mole0815]

Guter Überblick – vor allem der Punkt „Datenschutz ist eine endlose Aufgabe“ trifft es. Ich würde das (Stand heute) noch um ein paar praxisnahe Dinge ergänzen, die bei vielen realen Vorfällen die Hauptrolle spielen:

1) Passwortmanager + Passkeys
Ohne Passwortmanager geht’s eigentlich nicht mehr. Wichtig: Master-Passwort stark + 2FA fürs Vault. Wo möglich: Passkeys nutzen statt Passwort.

2) 2FA richtig (weg von SMS)
SMS ist anfällig (SIM-Swap). Besser: Authenticator-App, am besten Hardware-Key für die wichtigsten Accounts (E-Mail, Exchanges, Cloud). Backup-Codes offline sichern.

3) E-Mail ist der „Root Account“
Viele übernehmen am Ende die E-Mail und resetten dann alles andere. Daher: eigene starke Sicherheit für Mail, getrennte Recovery-Adresse, 2FA, Login-Alerts.

4) Device-Security Basics
Full-Disk-Encryption (Laptop/Phone), Auto-Lock, saubere Updates, keine „Admin-Accounts“ für Daily Use. Browser/Extensions minimal halten (weniger Angriffsfläche).

5) Phishing & „Support“-Scams
Nicht nur Ads: häufig sind es Fake-Support DMs, gefälschte Login-Seiten, „Wallet verbinden“/Signaturen. Grundregel: niemals Seeds/Keys eingeben, URLs doppelt checken, keine Remote-Tools mit Fremden.

6) Backup-Strategie
Backups sind nur gut, wenn man sie testen kann (Restore-Test). Wichtig: 3-2-1-Prinzip (3 Kopien, 2 Medien, 1 offsite) – und verschlüsselt.
Meine Best-Practice Infrastruktur (kompakt):
Mail: Proton/Tuta + 2FA
Passwörter: Passwortmanager + unique PW überall
2FA: Hardware-Key für kritische Accounts, Auth-App sonst
Browser: uBlock + sparsame Addons, getrennte Profile (Alltag vs. „Krypto“)
Krypto: Hot Wallet klein, größere Beträge cold/hardware, Seeds offline

Würde mich interessieren: Nutzt ihr eher Hardware-Keys (Yubi/ähnlich) oder reicht euch Auth-App + gute OpSec?

Sehr schöne Auflistung und herzlich willkommen im Forum Jonas

1) KeePassXC. Schon lange Zeit und funktioniert gut.
2) Korrept - per App.
3) Passwort ist unendlich lang und wie du schon sagst ist die "Hauptmailadresse" zu verlieren der Supergau.
4) Habe ich
5) Befolge ich
6) Da hast du mich kalt erwischt. Da bin ich noch ganz und gar nicht am Ziel.

Würde mich freuen wenn du uns langfristig erhalten bleibst.

Gruß
m

[JonasKernDE]

1) Passwortmanager + Passkeys
Ohne Passwortmanager geht’s eigentlich nicht mehr. Wichtig: Master-Passwort stark + 2FA fürs Vault. Wo möglich: Passkeys nutzen statt Passwort.

Sehe ich grundsätzlich genauso, ohne Passwortmanager geht es mittlerweile kaum mehr.
Man muss hier jedoch etwas aufpassen: Online-Dienste wie LastPass sind hier genauso gefährlich als wenn man überall das gleiche Passwort verwendet und gaukeln die zusätzliche Sicherheit nur vor.

Warum?
Onlinedienste sind hackbar und man muss sich darauf verlassen, dass sie deine Daten sicher speichern. LastPass wurde bspw. bereits gehacked und die verschlüsselten Masterkeys der Userbasis konnten abgezogen werden. Es ist also nur eine Frage der Zeit, bis diese gebrochen werden können (auch wenn der Faktor "Zeit" derzeit schützt ist es fraglich, ob das auch in 10 Jahren noch so ist).

Auch sind Passwortmanager, die standardmäßig mit einem Browser ausgeliefert werden, kein geeigneter Ersatz für ein richtiges Passwortmanagement-Werkzeug, auch wenn sie komfortabel sind. Sie funktionieren mEn. nicht richtig und sind im schlimmsten Fall auslesbar wenn jemand Zugriff auf den Rechner, auf dem das Browserprofil liegt, erlangt.

Es gibt aber eine handvoll sehr guter (opensource) Passwortmanager die man durchaus empfehlen kann, bspw. ProtonPass oder mein persönlicher Favorit KeePass. 

Guter Punkt. Ich würde das differenzieren:
Online/Cloud-PW-Manager haben ein anderes Risikoprofil (zentraler Angriffspunkt, Meta-Daten, Server-Side Target). Das heißt aber nicht automatisch „genauso gefährlich wie Passwort-Reuse“ – ein sauber genutzter Manager ist in der Praxis fast immer deutlich besser als Wiederverwendung/„Memorized Passwords“.
Wenn jemand maximale Kontrolle will: lokal/offline (z. B. KeePass/Bitwarden self-hosted) + starke Master-Phrase + 2FA/Keyfile + Backups.
Für viele User ist aber ein etablierter Manager (z. B. Bitwarden/1Password) mit starkem Master-PW und 2FA schon ein riesiger Sicherheitsgewinn – Hauptsache: unique passwords everywhere und Recovery sauber (Backup-Codes offline).

[Cricktor]

...

Danke dir für die nette Aufnahme im Forum 🙂 Freut mich, wenn der Beitrag hilfreich ist.

Willkommen im Forum, JonasKernDE!

Es ist m.E. nicht nötig mole0815s Beitrag bei deiner Danksagung komplett zu zitieren, meistens sind Komplettzitate eh unnötig und stören den Lesefluss. Noch schlimmer sind, finde ich, Pyramiden-Vollzitate; deinen eigenen Beitrag hättest du ja nun wirklich nicht auch noch (eingeschachtelt) mitzitieren müssen.

Und da du auch noch zwei Beiträge direkt hintereinander geschrieben hast, gehe ich mal davon aus, daß du die Forenregeln, hier insbesondere die Regel #32 nicht kennst. Sorry, wenn ich darauf hinweise, aber Forenregeln haben insofern ihre Berechtigung, um Chaos zu vermeiden und die Nutzung des Forum für alle möglichst angenehm zu ermöglichen.


Um beim Thema zu bleiben.
Einen Passwortmanager nutze ich schon lange, auf Passkeys werde ich, wo möglich und wo gesichert ist, daß mindestens zwei Geräte die synchronisiert haben, langsam umsteigen. Das ist für mich auch ein mit 'nem Hardwarekey verknüpftes Thema. Dazu später mehr.

2FA mache ich praktisch nur mit mehreren Authentifizierer-Apps. Hier kommt später vielleicht auch ein Hardwarekey ins Spiel.

Email-Kontoabsicherung und Trennung von Alltags-Email und einer für die Sicherheit ist bei mir noch eine Baustelle und im Fluss.

Vollverschlüsselung der Datenträger, insbesondere wo Wallets oder andere wertvolle Daten drauf sind, nutze ich schon länger. Ebenso landen meine Backups auf vollverschlüsselten Datenträgern, da ich auch immer eine Kopie außer Haus verwahre.

Restore-Tests habe ich am Anfang meiner Backup-Strategie verifiziert, also daß ein Restore grundsätzlich funktioniert und einen meiner Rechner wiederherstellen kann. Jeder Backup-Lauf wird nach dem Schreiben lesend verifiziert.

Ich habe jetzt nicht ganz das 3-2-1-Prinzip. Ich habe Zuhause einen Server als Backup-Ziel, wo täglich inkrementelle Backups landen, die dauern nicht lange. Monatlich gibt es dann immer ein vollständiges Backup meiner Rechner. Diese Backups sind auf dem Backup-Server und ich bewahre eine Backup-Historie von einem Jahr auf (meistens etwas gefühlt Overkill, aber solange es mit dem Speicherplatz hinhaut, habe ich damit kein Problem).
Eine Vollsicherung des Backup-Servers mache ich dann abwechselnd auf zwei verschlüsselten Festplatten, wobei eine Vollsicherung auf eine Platte passt und die neueste bewahre ich außer Haus auf. Die Platte, die Zuhause bleibt, hat also die letzte Vollsicherung des Backup-Servers vom vorletzten Monat. Die wird dann bei einer erneuten Vollsicherung überschrieben und dann mit der Außer-Haus-Platte ausgetauscht.

Ich habe also keine zwei identischen Kopien der letzten Vollsicherung auf zwei getrennten Datenträgern. Ist nicht ideal, aber immer noch besser als garkein vernünftiges Backup.  


Bezüglich Hardware-Schlüssel bin ich noch etwas unentschlossen und auf der Suche. Es kann sein, daß ich einige Details durcheinanderbringe, habe nicht alles frisch im Kopf.

An Yubikeys stört mich, daß sie vergleichsweise wenige Passkeys speichern. Da finde ich, wenn ich korrekt erinnere, die Nitrokeys besser.

Ich hätte aber gerne einen Hardware-Schlüssel, der alles kann: USB-A (kompromissbereit auch über 'nen Adapter USB-C_auf_A), USB-C und NFC für Smartphone. Ich weiß nicht, ob so'n Teil per USB-C am Smartphone (Android) funktioniert.

Der eingezäunte Fallobstgarten interessiert mich eher weniger, solange Fallobst-Herrscher Funktionen künstlich beschneiden (limitierte USB-C- und NFC-Funktionalität nur für ihr eigenes Geraffel).

[Lakai01]

[...]

Rein Interesse halber ... welche Daten verwahrst du auf deinen Systemen damit du einen großen Aufwand für die Backups betreiben musst? Ich nutze den PC bzw. das Smartphone eigentlich nur für komplett unkritische Datenspeicherungen, alles, was irgendwie Crypto-Bezug hat, ist offline.

Für Fotos und sonstige Daten, die nicht verloren gehen sollen, nutze ich natürlich ebenfalls Backups, hier aber meistens mehrere portable Festplatten.

[Cricktor]

...

Ich habe, denke ich, nichts besonderes an Daten auf meinen Rechnern, die nicht jeder Andere auch hat. Alle persönlichen Daten, insbesondere meine gesammelten Fotos, möchte ich auf keinen Fall verlieren. Ich habe auch eine gewisse Menge an Videos, deren Verlust schmerzlich wäre, aber die haben eine deutlich niedrigere Priorität als z.B. meine Fotos.

Computer und IT, schon fast immer Hobby, seit etlichen Jahren dann auch Beruf, da habe ich wahrscheinlich einen anderen Bezug zu meinem digitalen Datenfundus.

Crypto Wallets habe ich nur noch welche, die per Wiederherstellungswörtern und anderen Details gesichert werden müssen. Meine Legacy wallet.dat von 2011 ist schon lange umgezogen (natürlich trotzdem nicht gelöscht, weil man das einfach nicht tut).

Ich bin nicht der Meinung, ich betriebe großen Aufwand für Backups. Man sollte es einfach nur machen und das regelmäßig. Also habe ich mir einen Backup-Plan erstellt, denn ich dann auch regelmäßig durchziehe. Da läuft viel automatisiert ab. Ich muss eigentlich nur für die Vollsicherung auf die externen Festplatten eingreifen und die Platte mit der neuesten Vollsicherung außer Haus bringen und die vorherige zurück nach Hause.

Daten zu verlieren, weil ich kein oder nur ein viel zu altes Backup hätte, wäre mir selbst gegenüber schwer vermittelbar und erträglich. Außerdem schläft es sich mit Backups deutlich entspannter.


Ich habe selten Sachen aus Versehen gelöscht, aber passiert ist es mir auch. Mit Backup braucht man dann nicht unentspannt zu werden.

Ich weiß garnicht mehr, wann es genau passiert ist. Das war jedenfalls zu Zeiten, als ich wie viele 08/15-DAUs praktisch kein Backup hatte, bootete mein Windows-Rechner auf einmal nicht mehr. Da war meine Legacy wallet.dat drauf, lol, natürlich auch ohne Backup. Das war ein bisschen scheiße, gelinde gesagt.

Die machte etwas komische Geräusche und die S.M.A.R.T. Daten ließen nichts Gutes erahnen. Hab' dann ganz fix (kann auch sein, daß ich die Platte erstmal beiseite gelegt habe, bis ich mir genug Wissen angeeignet habe, mit dem Problem umzugehen; Hauptsache die Platte nicht mehr strapazieren) mit ddrescue möglichst viel von der Platte gekratzt, um später hoffentlich alles Wichtige daraus wiederherstellen zu können. Die Platte produzierte an diversen Stellen Leseprobleme, was man mit ddrescue gut sehen kann, wenn das Tool die erstmal zu umschiffen versucht und sich dann langsam an die Problembereiche herantastet.

Lange Rede, kurzer Sinn. Meine wallet.dat konnte ich retten, eigentlich sogar ziemlich viel, wenn nicht alles, was mir wichtig war. Das war aber der Wecker, daß ich sowas nicht nochmal erleben und durchmachen wollte.

Kein Backup, kein Mitleid.