GMX Accounts können gehackt werden?

[IronMarvel]

Habe meine Account nun wieder. Schön das theymos und alle Beteiligten so schnell reagiert haben, bevor der Account irgend welchen Schaden anrichten konnte.

Der Thread Sicheres Adressverzeichnis hats gebracht und eine Signatur mit der hinterlegten Adresse war für theymos genug mir meinen Account wieder zu geben.

Hab mich auch mal in dem Thread eingetragen. Du bist ja bei Muto mit eingetragen. Wie funktioniert diese Variante?

[OhShei8e]

2FA bringt wenig, solange man den Server nicht unter Kontrolle hat. Wer hindert den Angreifer daran, den Check zu umgehen oder seine eigenen Credentials zu setzen?

Ich verwalte meine Mails seit Jahren auf meinem eigenen Server. Allerdings mache ich das "nebenbei" auch beruflich und wenn man das nicht tut, dann kann man sich damit schön ins Knie schießen oder man muss bereits sein sehr viel Zeit zu investieren, um sich das notwendige Wissen anzueignen. Permanente Pflege des eigenen Mailsystems selbstverständlich inbegriffen. Das ganze Drumherum macht sehr viel Arbeit, obwohl Mail im Kern eigentlich ganz einfach ist. Die SMTP Basics versteht ein Kind.  

Diese Erkenntnis ist übrigens auch genau der Grund, aus dem ich nicht an die private Verwaltung von Bitcoins im großen Stil glaube. Ein paar wenige können sich das erlauben, die Masse ist auf Dienstleister angewiesen.

Nach den letzten Hacks habt ihr ja sicherlich schon alle die Randomization eurer Keys überprüft.  

[OhShei8e]

Es ist nicht unfair, wenn ich bevorzugt werde  

Schön mal wieder was von Dir hier zu hören. Die Umstände hätten andere sein dürfen.

[Akka]

Es ist nicht unfair, wenn ich bevorzugt werde  

Schön mal wieder was von Dir hier zu hören. Die Umstände hätten andere sein dürfen.

Ja, hatte mir etwas eine "BTC Überdosis" verpasst und musste mal etwas langsamer machen.

[elitenoob]

Habe meine Account nun wieder. Schön das theymos und alle Beteiligten so schnell reagiert haben, bevor der Account irgend welchen Schaden anrichten konnte.

Der Thread Sicheres Adressverzeichnis hats gebracht und eine Signatur mit der hinterlegten Adresse war für theymos genug mir meinen Account wieder zu geben.

Hab mich auch mal in dem Thread eingetragen. Du bist ja bei Muto mit eingetragen. Wie funktioniert diese Variante?

Muto scheint ja nicht die Liste aktuell zu halten. Meine, von vor Monaten eingetragene Signatur wurde nicht gequotet von ihm...
Ansonsten müsste das vielleicht ein anderer übernehmen, der auch aktiv(er) ist.
zB Akka...ach ne warte der wird ja immer gehackt

[klaus]

prima Akka, freue mich das es so schnell geklappt hat.

[mezzomix]

Ja, hatte mir etwas eine "BTC Überdosis" verpasst und musste mal etwas langsamer machen.

Ich finde, BTC kann man gar nicht überdosieren. Bei 21M ist sowieso Schluss.  

[Acura3600]

Habe bisher seit gestern noch nichts von theymos gehört gehabt auf meine mail die ich ihm schrieb. Mal abwarten.

[molecular]

Habe meine Account nun wieder. Schön das theymos und alle Beteiligten so schnell reagiert haben, bevor der Account irgend welchen Schaden anrichten konnte.

Der Thread Sicheres Adressverzeichnis hats gebracht und eine Signatur mit der hinterlegten Adresse war für theymos genug mir meinen Account wieder zu geben.

Hab mich auch mal in dem Thread eingetragen. Du bist ja bei Muto mit eingetragen. Wie funktioniert diese Variante?

nicht dumm, bin auch dabei.

[C. Bergmann]

Guten Morgen,

ich bin mir nicht ganz sicher, ob ich die komplette Geschichte vollständig verstanden habe, aber der Vorsicht wegen habe ich mal ein Post verfasst, um unsere Kunden mit gmx Account zu warnen.

http://bitcoinblog.de/2015/01/09/achtung-gmx-mail-accounts-womoglich-nicht-sicher/

Falls ich etwas falsch verstanden habe, bitte informiert mich einfach, per PM oder diesen Thread.

[Acura3600]

Ist gut geschrieben. Ich selber habe nun auch meine Emailadresse bei bitcoin.de und bei den anderen Anbietern umgeändert.
Echt ne Riesensauerei das GMX da nichts macht bzw. findet.
Zudem habe ich den nachteil das ich jetzt nicht mehr an meinen alten Forumsaccount hier rankomme :-/

[david123]

ob das der gleiche exploit ist mit dem auch satoshis adresse gehackt wurde
ist allerdings pure Spekulation.

[C. Bergmann]

ob das der gleiche exploit ist mit dem auch satoshis adresse gehackt wurde
ist allerdings pure Spekulation.

Hm, stimmt, schien mir naheliegend, ist aber, wie du sagst, reine Spekulation. Habe nachgebessert.

[mezzomix]

Ich verwalte meine Mails seit Jahren auf meinem eigenen Server. Allerdings mache ich das "nebenbei" auch beruflich und wenn man das nicht tut, dann kann man sich damit schön ins Knie schießen oder man muss bereits sein sehr viel Zeit zu investieren, um sich das notwendige Wissen anzueignen. Permanente Pflege des eigenen Mailsystems selbstverständlich inbegriffen. Das ganze Drumherum macht sehr viel Arbeit, obwohl Mail im Kern eigentlich ganz einfach ist. Die SMTP Basics versteht ein Kind.  

Ich habe - unter anderem - auch eigene MX, da kein Provider das notwendige Leistungs- und Kompetenzspektrum anbieten kann. Der Arbeitsaufwand hält sich aber stark in Grenzen. Die aktuellen Security Meldungen muss ich sowieso verfolgen, bzw. Updates installieren. Da man sowieso nie alle Lücken kennt, war es mir aber wichtiger, dass unerwünschtes Verhalten nicht unbemerkt bleibt. Allerdings habe ich damit in den 20 Jahren seit ich die Systeme betreibe nur DDOS (gegen den ich selbst nichts machen konnte), Routingprobleme (ebenfalls nicht in meinem Einflussbereich), fehlkonfigurierte Mailserver als Kommunikationspartner und Hardwaredefekte. Ein Einbruch war noch nie da oder der Einbrecher war so gut, dass er in der internen wie auch externen Überwachung und Konfiguration keinerlei Spuren hinterlassen hat.

[molecular]

Guten Morgen,

ich bin mir nicht ganz sicher, ob ich die komplette Geschichte vollständig verstanden habe, aber der Vorsicht wegen habe ich mal ein Post verfasst, um unsere Kunden mit gmx Account zu warnen.

http://bitcoinblog.de/2015/01/09/achtung-gmx-mail-accounts-womoglich-nicht-sicher/

Falls ich etwas falsch verstanden habe, bitte informiert mich einfach, per PM oder diesen Thread.

Hallo C.,

vielen Dank für den Artikel, ich finde das sehr gut, daß ihr darauf aufmerksam macht.

Ich finde auch super, daß du pgp ansprichst!

Allerdings glaube ich daß folgende Aussage nicht stimmt:

Indem GnuPGP einen öffentlichen und einen privaten Schlüssel generiert und den öffentlichen Schlüssel in ein Verzeichnis einträgt, kann der Besitzer des privaten Schlüssels beweisen, dass er er ist, indem er eine Nachricht mit diesem signiert.

Der Eintrag in's Verzeichnis wird ja keineswegs irgendwie geprüft. Da kann jeder einen key für "Angela@merkel.de" eintragen. Auch Mehrfacheintragungen sind möglich. (falls ich Unsinn rede, bitte korrigiert mich)

Es ist vielmehr so, daß die Identität des Schlüsselinhabers vorher vom potentiellen Signatur-Überprüfer festgestellt werden muss. Eine sichere Identifikation von Personen bietet die PKI nicht. Dafür könnte man evtl. SSL-Zertifikate nehmen,... oder postident (wie bitcoin.de das ja auch tut oder getan hat).

Man könnte allerdings eine Möglichkeit schaffen, seinen public key bei bitcoin.de zu hinterlegen. Ich meine das könnte echten Mehrwert haben.

Ich weiss also nicht, ob man das so stehen lassen kann/soll. Ich würde es auch nicht komplizierter machen wollen um die Leute nicht zu überfordern,... vielleicht ein bisschen umformulieren?

[CryptKeeper]

Guten Morgen,

ich bin mir nicht ganz sicher, ob ich die komplette Geschichte vollständig verstanden habe, aber der Vorsicht wegen habe ich mal ein Post verfasst, um unsere Kunden mit gmx Account zu warnen.

http://bitcoinblog.de/2015/01/09/achtung-gmx-mail-accounts-womoglich-nicht-sicher/

Falls ich etwas falsch verstanden habe, bitte informiert mich einfach, per PM oder diesen Thread.

Sehr gut!
Könnte es sein, dass auch web.de-Konten betroffen sind? Soweit ich weiß, ist das doch alles dieselbe Codebasis!

[CryptKeeper]

@klaus: wenn du magst, schaue dir mal den Mailanbieter posteo.de an. Haben auch 2FA und meiner Meinung nach sind sie vertrauenswürdiger als Gmail.

http://www.zeit.de/digital/datenschutz/2014-05/posteo-transparenzbericht-polizei

@hacked: Drücke euch die Daumen, dass ihr die Accounts wieder bekommt. Diese Hackerseuche...

Ja, Posteo ist klasse (auch wenn sie keine Bitcoins akzeptieren)!
Habe von web.de nach Posteo gewechselt, nachdem ich ein paar "Supportprobleme" mit denen hatte. Sicherheit hat bei web.de anscheinend nicht die höchste Priorität oder warum kommt man beim Aufruf von web.de nicht automatisch auf die SSL-Seite? Antwort des Supports: "wir wollen den Kunden ja nicht zwingen SSL zu benutzen.!!! 

[molecular]

Könnte es sein, dass auch web.de-Konten betroffen sind? Soweit ich weiß, ist das doch alles dieselbe Codebasis!

ich vermute ja. Grund: das exploit verkaufsangebot auf hackforums bezog sich auf "gmx and web.de"

[CryptKeeper]

Könnte es sein, dass auch web.de-Konten betroffen sind? Soweit ich weiß, ist das doch alles dieselbe Codebasis!

ich vermute ja. Grund: das exploit verkaufsangebot auf hackforums bezog sich auf "gmx and web.de"

Danke für die Info. Glücklicherweise bin ich vor einigen Wochen von web.de nach Posteo gewechselt, daher kann ich jetzt gut schlafen!   

[hodlcoins]

Mail.com gehört doch wie GMX und web.de auch zu 1&1, dazu noch ne menge anderer Dienste.
Wie ist es bei denen?