Wie Du Deine Accounts absicherst

Kommentare

1. 

   Marek Walther

   5. Januar 2019

   Wah­re Wor­te, die aber auf wenig frucht­ba­ren Boden fallen.

   Die Pro­ble­ma­tik ist seit über einem Jahr­zehnt bekannt und wird von den meis­ten Nut­zern gekonnt igno­riert. Gera­de im poli­ti­schem Geschäfts­be­trieb und im pro­mi­nen­ten Umfeld lau­fen fast nur digi­ta­le Analpha­be­ten rum, die froh sind, wenn sie ihr iPho­ne mit einer App­leID con­nec­tet haben. Alle exter­nen Diens­te lau­fen dann über das eine Benut­ze/­Pass­wort-Kom­bi­na­ti­on, die maxi­mal 8 Stel­len lang ist und Daten aus dem per­sön­li­chen Umfeld ent­hält. Ist das ein­mal anders, weis bei einer Migra­ti­on kei­ner mehr sei­ne Zugangs­da­ten für diver­se Diens­te. Hin­zu kommt, dass man sich ange­wöhnt hat jeden unnö­ti­gen Müll auf sei­nen Mobil­ge­rä­ten vor­zu­hal­ten, Pass­wort­lis­ten im Kon­takt- oder Mail­ma­na­ger zu pfle­gen und jeden Dienst unre­flek­tiert von Mobil­ge­rä­ten oder unbe­kann­ten Rech­nern zu nut­zen. Und dann wäre da noch das Dra­ma der ver­wais­ten Accounts und Diens­te. Vie­le nut­zen irgend­wel­che Accounts ein­fach nicht mehr, ohne die­se zu kün­di­gen. Gera­de bei alten Accounts wo man noch mit einer schlech­ten Pass­wort­po­li­cy unter­wegs war, ist das ein Problem.

   Der ers­te Schritt wäh­re daher Account­ma­nage­ment, gefolgt von Pass­wort­ma­nage­ment. Bei­des lässt sich bes­tens mit einem Off­line Man­ger wie Kee­pass erschla­gen und man hat die Mög­lich­keit, rela­tiv siche­re Zufalls­kenn­wör­ter mit aus­rei­chen­der Län­ge (=>20 Zei­chen) erstel­len zu las­sen. Im Rah­men die­ser Tätig­keit, kann man gleich eine Zonen­be­wer­tung sei­ner Accounts durch­füh­ren und die­se dann enspre­chend der ein­ge­stuf­ten Sicher­heits­zo­ne in eige­nen Daten­ban­ken able­gen. Die Zugangs­da­ten für mei­ne Bank, Ver­si­che­run­gen, Kran­ken­kas­se und Co. brau­che ich meis­tens nicht auf mei­nen Mobil­ge­rä­te, anders wie die Accounts von Twit­ter und Facebook.
   Auf jeden Fall gilt, jeder Account bekommt ein eige­nes siche­re Kennwort.

   Im nächs­ten Fall heist es aus­mis­ten, wel­chen Mist brau­che ich nicht mehr auf mei­nen Mobil­ge­rä­ten und was machen die Fir­men­da­ten auf die­sem. Am bes­ten dienst­li­ches und pri­va­tes auch gerä­te­mäs­sig tren­nen und auf­hö­ren, dienst­li­che Mails und Co. auf pri­va­te Mail­ac­counts umzuleiten.

   Zwei­fak­tor Authen­ti­fi­zie­rung soll­te man bei allen wich­ti­gen Kon­ten ein­setz­ten, am bes­ten mit U2FD. Hier ist aber bei den Accounts dar­an zu den­ken, dass der zwei­te Fak­tor wie Smart­phone mit der Zeit aus­ge­tauscht wer­den wird und dann eine Anpas­sung am Account not­wen­dig ist. Mail­adres­sen und SMS eig­net sich nur bedingt für 2F. Bes­ser sind U2FD-Sticks oder der gute alte Yubikey.

   Lan­ge Pass­phra­sen las­sen sich sehr gut aus Lied­tex­ten oder Gedichtsver­sen bil­den. Ein­fach von jedem Wort nach eig­nen Regeln eine Buch­sta­ben neh­men, mit Son­der­zei­chen und Zah­len wür­zen und schon hat man eine 20 Zei­chen Pass­phra­se, die man sich mit dem Wis­sen schnell wie­der zusam­men­setz­ten kann. Ist nicht so per­fekt wie eine Zufalls­pa­phra­se, aber schnell anzu­wen­den und spä­ter im Alten­heim ist man als ers­tes mit dem Gedächs­trai­nig durch und darf ans Büffet.

   Das sind Sachen, die alle Admins seit über einem Jahr­zehnt pre­di­gen und die bei den Anwen­de­ren auf Bera­tungs­re­sis­tenz fällt. Es bringt nichts, der inne­re Schwei­ne­hund ist stär­ker und die Bequem­lich­keit siegt. Gera­de in der jetzt betrof­fe­nen Per­so­nen­grup­pe die es gewohnt ist, das ande­re ihre Belan­ge mana­gen. Sehr schön ist das an den Reak­tio­nen zu erken­nen, wo die Poli­tik von einem Angriff auf die Demo­kra­tie, hack­back und bru­talst mög­li­che Auf­klä­rung for­dert. Das ist ja schon fast so wie 2013 bei den Snow­den Ent­hül­lun­gen, nicht. Es wird ver­sucht die eige­ne Unfä­hig­keit als Mis­se­tat der ande­ren zu ver­kau­fen, Ände­run­gen oder Bes­se­run­gen sind damit nicht in Sicht. Es ist wie bei einem Alko­ho­li­ker der an Leber­zir­rho­se ster­ben wird, weil er sei­ne Pro­ble­me nicht eige­steht. Da ist es halt auch immer der Bar­mann, der stän­dig das Glaß auffüllt.

   Ergo, es wird sich nichts ändern und die gan­ze Sache ist auch nur ein Sturm im Was­ser­glas der dafür genutzt wer­den wird, sinn­lo­se Geset­ze und Ein­schnit­te in den Frei­hei­ten der ande­ren durch­zu­setz­ten. Inhalt­lich ist der Leak auch eher mau und es gibt in den Daten wenig Sub­stanz. Für die Betrof­fe­nen sicher unschön, aber die meis­ten Daten bestehen aus Aggre­ga­ti­on von Lis­ten und öffent­lich zugäng­li­chen Infor­ma­ti­on. Allei­ne schon die per­sön­li­chen Kon­takt­da­ten der Poli­ti­ker resul­tie­ren wahr­schein­lich aus einer Hand­voll der gele­ak­ten Adress­bü­cher. Es wur­de mehr Auf­wand in die Dar­stel­lung des Mate­ri­als gelegt als in das Mate­ri­al sel­ber. Das macht aber auch deut­lich, dass jeder mit sei­nen Kar­tei­lei­chen auf sei­nen Mobil­ge­rä­ten oder Cloud­diens­ten eine Gefahr für ande­re dar­stellt. Hygie­ne und Daten­spar­sam­keit ist ange­sagt. Dage­gen haben wir im letz­ten Jahr die DSGVO gesetzt, die die Daten­sam­me­lei durch Infor­ma­ti­on und Unter­schrift lega­li­siert. In den rich­ti­gen Ecken des Net­zes bekommt man schön heu­te Daten­be­stän­de die eine deut­lich höhe­re Bri­sanz haben, als der der­zei­ti­ge Leak. Auch kön­nen wir uns in der Zukunft sicher an wei­te­rer sol­cher Leaks erfreu­en, denn wo Daten­hal­den auf­ge­baut wer­den, gehen auch Daten­hal­den ver­lo­ren. Das betrifft wie man jetzt sieht nicht nur den prof. Bereich der Hos­ter und Anbie­ter, son­dern ins­be­son­de­re den pri­va­ten Bereich.

   In dem Sin­ne, will­kom­men in der Digi­ta­li­sie­rung und ein span­nen­des 2019

2. 

   Steffen Voß

   6. Januar 2019

   Wie du schon sagst: Die­se Tipps sind zeit­los. Des­we­gen habe ich sie mal auf­ge­schrie­ben. So kann ich sie ab und zu mal weitergeben. 

   Ohne Pass­wort-Mana­ger ist es voll­kom­men unmög­lich, siche­re Pass­wör­ter nur für einen Account zu benut­zen. Pass­wort-Mana­ger sind aber immer noch nicht wirk­lich bekannt – obwohl in Apple-Gerä­ten mit dem iCloud-Schlüs­sel­bund einer ein­ge­baut ist…

3. Chromebook Linux: GalliumOS ist flott und hübsch

   21. September 2021

   […] Gal­li­um­OS mit Chro­mi­um als Brow­ser. Fire­fox lässt sich aber ein­fach nach­in­stal­lie­ren. Genau wie Kee­pass als Pass­wort­ma­na­ger. Was lei­der nicht dabei ist, ist der Next­cloud-​Cli­ent. Man kann aber einfach […]