Was mich gerade aufregt (der durchschnittliche PC-Zocker)

[golani79]

Wollte gerade in die Beta von TD2 reinschauen, weil ja 01.03. und so und dann muss ich feststellen, dass die erst um 1000 CET startet .. hmpf -.-

 

[MichaelG]

sind die passwörter auch nicht hier zu sehen: https://passwords.google.com ?

Nein. Eben auch nicht[emoji29]

 

[Rabowke]

[...]Werde jetzt wohl einen PW-Manager nehmen. Aber welcher taugt etwas ?

KeePass 2.

Ist kostenlos, wird mehr oder weniger immer weiterentwickelt & es gibt z.B. Applikationen für iOS, nennt sich MiniKeePass, um auf die keepass Datenbank zuzugreifen. Diese Datenbank kann in der Dropbox liegen, so nutze ich das z.B. auf meinem Macbook, wo aber Windows drauf läuft, meinem privaten PC & natürlich noch meinem PC in der Kanzlei, gesichert wird meine Dropbox auf meinem NAS.

Einzig und allein beim iPhone muss man diese Datenbank inkl. Schlüsseldatei händisch über iTunes und Dateifreigabe kopieren, aber das sind keine 10sek. ... ggf. kommt irgendwann ein Update von Minikeepass welches auch mit Dropbox & Co. umgehen kann.

Die Benutzung ist im Grunde selbst erklärend, ich kann es nur empfehlen und nutze das Programm seit ... einigen Jahren.

Kleine Ergänzung: https://keepass.info/download.html
Hier findest du z.B. die Ports für die unterschiedlichen Systeme, ggf. gibt es ja bessere Programme wie Minikeepass?

 

[Loosa]

Die ganze Paßwortliste (mal eben so locker flockig eine weit tief 2-stellige Zahl) ist den Bach hinunter gelaufen.

Wow, das ist echt Übel.
Wenigstens hast du noch Zugang zu deiner Mail und kannst alles zurücksetzen, aber da biste echt erstmal beschäftigt. Immerhin ist das Wetter am Wochenende mies.

KeePass nehmen wir in der Arbeit her, das ist schon sehr in Ordnung. Mit den vielen Möglichkeiten, die es einem bietet, ist es aber entsprechend etwas komplexer. Man kann als Extraschutz dem Masterpasswort zum Beispiel noch einen Schlüssel hinzufügen (Stick oder Festplatte?). Wenn der verloren geht, kommt man aber natürlich gar nicht mehr rein. Und es gibt wohl auch diverse Plugins, um es in Browser u.ä. zu integrieren.


Privat benutze ich iPin als PW Manager, weil ich das am Smartphone schon ewig hatte und es das auch für Mac gibt. Einmalig Kostenpflichtig (pro Betriebssystem), entriegelt per Muster (mittlerweile Fingerabdruck), bietet verschiedene Accounts (standard Login, Bank, Kreditkarte) und synchronisiert per iCloud. Das drucke ich mir immer mal wieder als Backup.
Außerdem den Keychain Access von Apple. Das ist nicht so dolle umfangreich (man kann keine Dokumente oder Fotos hinterlegen) aber dafür tiefer in's System integriert, was es für den alltäglichen Gebrauch praktisch macht. Natürlich auch per iCloud auf allen Geräten.

 

[Exar-K]

Zettel und Stift.

 

[Rabowke]

Zettel und Stift.

... für das Masterpasswort, stimmt.

Aber mal ohne Flachs, man sollte sich wirklich angewöhnen für jede Seite bzw. deren Account ein eigenes Passwort zu generieren, selbst wenn es nur Abwandlungen von einem langen Masterpasswort sind.

Ich habe "früher" aus Bequemlichkeit auch ein, zugegeben, sehr langes Passwort mit Groß- & Kleinschreibung sowie Zahlen gehabt. Dank KeePass hab ich jetzt für jeden Account ein eigenes, niemals nie merkbares Passwort & muss nicht gleich alle Accounts ändern, wenn irgendwo mal das Passwort entwendet wird.

 

[Spassbremse]

Was Passwörter angeht, bin ich sehr altmodisch. Ich verwende möglichst lange, möglichst komplizierte Passwörter (Groß-/Kleinschreibung, Ziffern, Sonderzeichen) und notiere mir diese in einem Notizbuch.

Ich denke, diese Methode ist noch sicherer als ein PW-Manager.

 

[Herbboy]

Nein. Eben auch nicht[emoji29]

Also, da muss aber echt mächtig was schiefgelaufen sein - nicht, dass du da selbst aus versehen einen falschen Klick gemacht hast ^^ Wenn es ein klarer Bug wäre, müsste es doch inzwischen schon längst etliche Leute geben, die darüber klagen, aber bisher finde ich nichts zu diesem Problem.

Ich persönlich verwende für unwichtige Accounts ein leichtes Passwort. Da, wo ich in den Daten maximal meine email-Adresse und einen Nickname hab, kann nichts passieren, wenn einer das "hacken" sollte, außer dass halt einer mit meinem Nickname etwas posten könnte. Und für andere Websites hab ich eine Art Masterpasswort, das sich aber je nach Website an 2 von 10 Stellen unterscheidet. Und nein: es ist nicht einfach nur so, dass vor oder nach dem Wort die ersten beiden Buchstaben des Websitenamens stehen Und da, wo es geht, hab ich eine Zwei-Faktor-Anmeldung, falls man sich mit dem Account an einem bisher nie verwendeten Gerät versucht anzumelden. Wäre ich irgendwo angestellt, wo es enorm sensible Daten gibt, würde ich dafür ein spezielles längeres Passwort verwenden.

 

[Rabowke]

Was Passwörter angeht, bin ich sehr altmodisch. Ich verwende möglichst lange, möglichst komplizierte Passwörter (Groß-/Kleinschreibung, Ziffern, Sonderzeichen) und notiere mir diese in einem Notizbuch.

Ich denke, diese Methode ist noch sicherer als ein PW-Manager.

... ich stell mir das gerade so vor:

Spassbremse in einem roten Samtmantel gehüllt, sitzt mit übergeschlagenen Beinen am Kamin, in einer Hand einen Scotch ... dann steht er auf, geht zu seinem Safe hinter einem, natürlich, originalem Monet & holt dann in Echtleider gebundenes Notizbuch hervor, läuft langsam wieder zurück, setzt sich hin & feuchtet sich dann die Finger an und fängt an das Buch durchzublättern.



Kann man machen. Dauert mir aber zu lang. Programm starten, Masterpasswort eingeben, Eintrag suchen und kopieren. Der Eintrag bleibt für 12 Sek. in der Zwischenablage und wird dann wieder im Speicher überschrieben. Fertig.

Vor allem die Möglichkeit die DB in der Dropbox zu speichern und auf jedem Gerät verfügbar zu haben finde ich ... bequem. Vor allem gibt es keinen Grund mehr, kein Passwort mit 128 Zeichen zu verwenden.

 

[Bonkic]

Also, da muss aber echt mächtig was schiefgelaufen sein - nicht, dass du da selbst aus versehen einen falschen Klick gemacht hast ^^ Wenn es ein klarer Bug wäre, müsste es doch inzwischen schon längst etliche Leute geben, die darüber klagen, aber bisher finde ich nichts zu diesem Problem.

dass chrome gespeicherte passwörter "verschluckt", scheint durchaus vorzukommen. allerdings ist dann offenbar nur die datenbank des browsers futsch. was durch ein missglücktes update ja vielleicht mal passieren kann.
allerdings sollten die passwörter immer noch im account gespeichert sein. dass sie aber komplett perdu sein sollen, ist schon merkwürdig.

 

[Rabowke]

Bonkic der feine Herr ... erst einmal ein frz. Wort eingeschmuggelt. Der Schelm!

 

[Loosa]

Ich denke, diese Methode ist noch sicherer als ein PW-Manager.

Außer es brennt.

Da kenne ich einen, der sein Notizbuch zusätzlich verschlüsselt. Jeder zweite Buchstabe im geschriebenen Passwort ist nur Füllmaterial und muss bei der Eingabe weggelassen werden.
Ich sehe es wie Rabowke. Über hundert Accounts händisch verwalten ist mir zu aufwändig. Und man sollte die ja auch regelmäßig abändern. Dann wird es im Notizbuch schnell hässlich und unübersichtlich. Guter Manager, online wie offline gesichert (und manchmal ausdrucken). Für mich eine gute Mischung aus Sicherheit, Redundanz und Bequemlichkeit.

 

[Bonkic]

Bonkic der feine Herr ... erst einmal ein frz. Wort eingeschmuggelt. Der Schelm!

pardon!

 

[Spiritogre]

Vor allem gibt es keinen Grund mehr, kein Passwort mit 128 Zeichen zu verwenden.

Und was soll das bringen? Schon vier Stellen sind durchaus sicher, bei 6 bis 8 ist es praktisch unmöglich sie zu knacken. Denn niemand knackt einzelne Passwörter / Accounts mit Brute Force, es sei denn vielleicht es ist der Paypal Account von Bill Gates, dann würde es sich vielleicht lohnen.

An die Passwörter kommen die Hacker durch durch schlecht gesicherte, leicht hackbare Datenbanken mit Sicherheitslücken auf den Servern der Anbieter. Selbst die werden also nicht mit Brute force gehackt und deswegen ist das verwendete Passwort, bzw. die Länge praktisch fast egal (Ausnahmen wie 1234 etc. sollte man natürlich trotzdem nicht nutzen).

 

[Herbboy]

Und was soll das bringen? Schon vier Stellen sind durchaus sicher, bei 6 bis 8 ist es praktisch unmöglich sie zu knacken. Denn niemand knackt einzelne Passwörter / Accounts mit Brute Force, es sei denn vielleicht es ist der Paypal Account von Bill Gates, dann würde es sich vielleicht lohnen.

An die Passwörter kommen die Hacker durch durch schlecht gesicherte, leicht hackbare Datenbanken mit Sicherheitslücken auf den Servern der Anbieter. Selbst die werden also nicht mit Brute force gehackt und deswegen ist das verwendete Passwort, bzw. die Länge praktisch fast egal (Ausnahmen wie 1234 etc. sollte man natürlich trotzdem nicht nutzen).

Sofern man Zahlen, kleine/große Buchstaben und Sonderzeichen mischt, reichen in der Tat wenige Stellen aus. Das ist aber dann auch ein "MUSS", denn "Hacker" würden ja zuerst "nur Zahlen", dann "Nur kleine Buchstaben" usw. durchgehen.

Es gibt da aber auch einen Haken: ich kenne ehrlich gesagt keinen Account, bei dem die Firma, für die der Account gilt, mehr als 3 bis maximal 5 Versuche zulässt, ohne dass man entweder eine Weile warten muss bis zum neuen Versuch oder man sogar ganz gesperrt wird und sich an den Service wenden oder zumindest ein neues Passwort an seine hinterlegte Email schicken lassen muss, damit man wieder an den Account rankommt.

Daher sagen die meisten Experten auch: das E-Mail-Passwort ist idr das ALLERwichtigste bei weitem. Denn wer DAS "hackt", der kann oft für viele Accounts des Nutzers neue Passwörter anfordern und dann fleißig zB bei Amazon einkaufen - sofern der Nutzer es nicht schnell genug merkt.

 

[Rabowke]

Und was soll das bringen? Schon vier Stellen sind durchaus sicher, bei 6 bis 8 ist es praktisch unmöglich sie zu knacken. Denn niemand knackt einzelne Passwörter / Accounts mit Brute Force, es sei denn vielleicht es ist der Paypal Account von Bill Gates, dann würde es sich vielleicht lohnen.

Meinst du das wirklich ernst?! In Zeiten wo fast jeder eine einigermaßen potente Grafikkarte hat, kannst du Passwörter eins fix drei mit CUDA knacken.

D.h. dein Passwort mit vier (!!!) Stellen ist eins fix drei geknackt.

An die Passwörter kommen die Hacker durch durch schlecht gesicherte, leicht hackbare Datenbanken mit Sicherheitslücken auf den Servern der Anbieter. Selbst die werden also nicht mit Brute force gehackt und deswegen ist das verwendete Passwort, bzw. die Länge praktisch fast egal (Ausnahmen wie 1234 etc. sollte man natürlich trotzdem nicht nutzen).

Das ist aber nicht richtig. Es gibt seit Jahren keine größere Seite, die die Passwörter unverschlüsselt speichert. Die Frage ist nur: was genau wird wie gemacht, um die Passwörter zusätzlich zu verschlüsseln. Darum geht es. D.h. die Datenbanken werden nämlich offline auf unterschiedliche Dinge 'penetriert', niemand kümmert sich um einen Account und probiert, um jetzt mal Herbboys Beispiel zu nutzen, das direkt beim Anbieter aus.

Sondern es werden ganze Datenbanken 'auseinandergenommen' & dementsprechend aufgearbeitet.

Viele Leute verwenden leider immer das selbe Passwort, d.h. hast du einmal das Passwort zu einer E-Mail Adresse, hast du hier weitere Einstiegspunkte.

Meiner Meinung nach ist es fahrlässig zu behaupten, das ein Passwort mit vier Stellen "durchaus" sicher ist. Hier ist ein interessanter Artikel aus dem Jahr 2016, den man einfach nachstellen kann ... https://www.trustedsec.com/2016/06/introduction-gpu-password-cracking-owning-linkedin-password-dump/

 

[Rabowke]

[...]Es gibt da aber auch einen Haken: ich kenne ehrlich gesagt keinen Account, bei dem die Firma, für die der Account gilt, mehr als 3 bis maximal 5 Versuche zulässt, ohne dass man entweder eine Weile warten muss bis zum neuen Versuch oder man sogar ganz gesperrt wird und sich an den Service wenden oder zumindest ein neues Passwort an seine hinterlegte Email schicken lassen muss, damit man wieder an den Account rankommt.

Niemand wird über brute-force probieren online einen Account zu kapern, sondern es werden ganze Datenbanken offline und damit in sehr viel höherer Geschwindigkeit angegriffen.

Daher sagen die meisten Experten auch: das E-Mail-Passwort ist idr das ALLERwichtigste bei weitem. Denn wer DAS "hackt", der kann oft für viele Accounts des Nutzers neue Passwörter anfordern und dann fleißig zB bei Amazon einkaufen - sofern der Nutzer es nicht schnell genug merkt.

This!

 

[Herbboy]

Niemand wird über brute-force probieren online einen Account zu kapern, sondern es werden ganze Datenbanken offline und damit in sehr viel höherer Geschwindigkeit angegriffen.

ja, dazu muss dann aber auch erstmal eine Datenbank erfolgreich geklaut werden, ohne dass es die Firma merkt. Worauf ich aber hinaus wollte ist eh, dass viele zu denken scheinen, da würden Leute mit nem Laptop in einem Kabuff sitzen und dieses EINE Konto ständig mit Zufallspasswörtern überschütten, bis sie es geknackt haben. So läuft der Hase aber eben nicht.

Und bei Datenbanken werden Täter auch nicht alles versuchen zu knacken, sondern hoffen auf "leichte" Passwörter UND dass die dann zu lukrativen Dingen gehören.

 

[Spiritogre]

Meinst du das wirklich ernst?! In Zeiten wo fast jeder eine einigermaßen potente Grafikkarte hat, kannst du Passwörter eins fix drei mit CUDA knacken.

D.h. dein Passwort mit vier (!!!) Stellen ist eins fix drei geknackt.

Na dann mach mal, ich stelle mein Passwort hier im PC Games Forum auf ein vierstelliges um und du knackst mir das bis Morgen, okay? Sollte ja kein Problem sein ...

 

[Spassbremse]

Spassbremse in einem roten Samtmantel gehüllt, sitzt mit übergeschlagenen Beinen am Kamin, in einer Hand einen Scotch ... dann steht er auf, geht zu seinem Safe hinter einem, natürlich, originalem Monet & holt dann in Echtleider gebundenes Notizbuch hervor, läuft langsam wieder zurück, setzt sich hin & feuchtet sich dann die Finger an und fängt an das Buch durchzublättern.

Erstaunlicherweise hast Du mit dem "in Echtleder gebundenen Notizbuch" einen Treffer erzielt.