[Problem] 1un1-Account wurde offenbar gehackt

[3949354]

Hallo,
Du meinst das "Abhören" Deiner Daten, die Du vom Smartphone sendest?

 

[Bibie]

Ja genau, abhören, mitsniffen, ausspionieren, ganz egal wie man es nennt. Man liest ja immer wieder, daß auch Smartphones von Viren und so nicht verschont sind. Desshalb auch meine Frage. Das macht mir angst...

 

[3949354]

Hallo,
Auch wenn Ihr lachen mögt, ich schaue regelmäßig ins CC, auch wenn es dann schon zu späht sein mag. bin halt ein wenig übervorsichtig ...

 

[Rohrnetzmeister]

Du kommst über dein Smartphone genau wie über jeden anderen Computer in das CC. Aus diesen Grund sollte man sein Smartphone auch wie jeden anderen Computer mit diverser Software schützen.

 

[chasniju]

Ist das auch 1&1 bekannt?

Ich habe mal eine Supportanfrage an 1&1 gestellt und sie darauf hingewiesen.

 

[3949354]

Hallo,

@grossergelberFreundmitderschwarzenBrille,
Deshalb gehe ich auch nie damit ins CC, bzw nur von Rechnern/Zugängen, die ich kenne.

 

[Rohrnetzmeister]

Das Handhabe ich genau so wie Onlinebanking. Nur mit eigenen Rechner bzw. wie du es schon gesagt hast.

 

[Bibie]

Ich auch. Ich hab bisher noch nie mit dem Smartphone im CC irgendetwas geguckt, eingestellt oder eingerichtet. Immer nur mit dem PC daheim.

 

[AndyLee]

Es gibt Neuigkeiten bzw. es kommt Bewegung in die Sache, nachdem ich 1und1 vor einiger Zeit per Email kontaktiert habe:

Heute morgen hat mich jemand vom "Sicherheitscenter" von 1und1 aus dem Bett geklingelt. Sollte ich diesen Mitarbeiter richtig verstanden haben, so werde ich den entstandenen Schaden nicht bezahlen müssen, wobei mir ein riesiger Stein vom Herzen gefallen ist. Dennoch: Ich warte jetzt erst einmal ab, was nun wirklich passiert, noch traue ich diesem Angebot nicht ganz. Zusammenfassend wurden Sicherheitsmängel eingeräumt, so z. B. dass ich mit einem Paswort den vollen Zugang zum Account mit sämtlichen Möglichkeiten habe. Hier versicherte mir der Mitarbeiter, werden schnellstens Änderungen anstehen. Auch hier: Bin gespannt, was dann tatsächlich passiert und wann. Immerhin steht nun ja auch das Vertrauen zu einem der größten Internet- u. Telefonanbieter zur Disposition.

Meines Erachtens wäre hier ja z. B. eine kombinierte Möglichkeit sinnvoll: Wie bei "ebay" eine sofortige, verifizierte Email von 1und1 bei einer Veränderung über den Account an den Besitzer, neu wäre dann, dass - wie bei einer Registrierung - die Veränderung erst über die Email vom User über einen Link bestätigt werden muss bevor sie aktiv wird. Setzt voraus, dass im Account die Email-Adressen unter sicherem Verschluss gehalten werden. Wie seht ihr das...? Einige User haben hier ja schon m. E. recht gute Vorschläge gemacht...

EDIT:
Habe gerade mit meinem Anwalt telefoniert, der deutlich gemacht hat, dass es zu meiner Thematik bereits ein BGH-Urteil gebe, wonach ganz klar der Anbieter für die entstandenen Kosten aufkommt, sofern das Passwort für den Zugang sicher verwahrt wurde, was es bei mir ja auch wurde. Nun warte ich mit noch etwas mehr Sicherheit und Gespanntheit auf eine schriftl. Reaktion von 1und1.

 

[andilao]

Wenn einem der eigene PC daheim per Trojaner nicht mehr "gehört", sind alle Kommunikationskanäle über genau diesen PC kompromittiert. Dann sind beliebige Szenarien vorstellbar, wo Info- und Bestätigungsmail zur Farce werden können.

 

[AndyLee]

Stimmt. Aber: wenn nicht?

 

[Hans Juergen]

Nun, dafür gäbe es ja die Möglichkeit einer PIN aufs Handy, also getrenntes Medium... (sollte dann aber nicht das 1&1-Handy sein)

 

[HabNeFritzbox]

Der Briefzusteller könnte auch Briefe abfangen, der Nachbar könnte mit den Fingern Briefe aus dem Briefkasten nehmen. Der Angreifer könnte auch Opfer anrufen und sich als 1&1 ausgeben und weiter Daten erlangen.

Evt noch für jede Änderung ne TAN und Bestätigung per Post welche unterschrieben zurückgeschickt werden muss?
Für jeden Dienst getrennte Kundennummern und Zugangsdaten?

Man kanns übertreiben. Alles hat Vor- und Nachteile.

Würde Provider einem Hardware vorschreiben und Zugang nur mit dieser ermöglichen wäre es auch vielen nicht recht...

Bringt dem TE aber auch alles nix mehr ...

 

[3949354]

Hallo,
Es waren 0137er Rufnummern? Im 1&1-Forum gibt es etwas mehr oder weniger aktuelles dazu: >>>klick<<<

 

[Cnecky]

Diese ominöse Sicherheitsabfrage soll kommen, wenn man nicht von seinem DSL-Anschluss im CC surft?

Das ist auch so, wenn man bei "Telefonie" etwas ändern möchte.
Der Witz ist aber, dass ich die Antwort auf die Sicherheitsfrage problemlos unter den Kundendaten ändern kann, ohne die bisherige Frage/Antwort zu kennen.
So geschehen bei mir, als ich bei einer DSL-Störung über UMTS im CC Rufumleitungen einrichten wollte.

VG Cnecky

 

[andilao]

In der Tat, das ist ja eine echt krasse Aushilfs-Praktkanten-Sicherheitslücke.

 

[SteffenGrün]

Zusammenfassend wurden Sicherheitsmängel eingeräumt, so z. B. dass ich mit einem Paswort den vollen Zugang zum Account mit sämtlichen Möglichkeiten habe.

Das sehe ich keineswegs als Sicherheitsmangel und ist gang und gebe im Providerbereich. Schon seit längerem versendet 1&1 2 Passwörter. Eins für den Internetzugang und ein anderes für den Zugang zum Kundenbereich. Ich brauche nicht für jeden Mausklick im Kundencenter ein eigenes Passwort.
Das Entscheidende ist die Qualität des Passworts, die unter aller Kanone ist. Da sollte es Vorgaben wie mind. 1 Zahl, Groß und Kleinbuchstaben, vielleicht ein Sonderzeichen geben. Und ganz besonders: Nicht den Kundennamen oder alle Zeichen gleich. So etwas habe ich schon oft gesehen und die Kunden darauf hingewiesen.
Ich vermute einfach mal, dass in vielen Fällen von Mißbrauch der Kunde nicht das von 1&1 versendete sichere Ausgangspasswort verwendete, sondern irgendein leicht zu erratendes. Viele Kunden waren sich da nicht mal bewusst, was alles passieren kann: "Na dann kann eben einer meine Rechnungen lesen - ist doch egal". Sehr überrascht waren sie dann schon, was man tatsächlich alles machen kann und änderten das dann sofort.

ein BGH-Urteil gebe, wonach ganz klar der Anbieter für die entstandenen Kosten aufkommt, sofern das Passwort für den Zugang sicher verwahrt wurde, was es bei mir ja auch wurde. Nun warte ich mit noch etwas mehr Sicherheit und Gespanntheit auf eine schriftl. Reaktion von 1und1.

Wurde in dem Urteil auch die Qualität des Passworts angesprochen? Denn sicher verwahren und qwertz als Passwort sollte eine Haftung des Kunden nicht ausschliessen.

 

[mom0gulli]

Hallo nochmal:

ich habe nun endlich wieder Zugang zum Kundencenter.

Es wurde also am 28.12. zwischen 12:00 und 15:00 folgende Nummer: +491377443980 von all meinen möglichen 10 Rufnummern abgefrühstückt. Je Nummer exakt 80 mal soweit ich das gesehen habe. Jeweils immer zwischen 59 und 62 sekunden lang.

Was aber auch interessant ist: ich musste beim Anmelden im Kundencenter eine Sicherheitsfrage vergeben. Diese Funktion war wohl bei mir zuvor nicht aktiviert.

 

[Rohrnetzmeister]

Uih... interessante Nummer. Da gibt es noch mehr Leidensgenossen im Netz. Wird sicherlich nur die Spitze des Eisbergs sein.

 

[3949354]

Hallo,
Wenn ich das im 1&1-Kundenforum richtig gelesen habe, soll es zu der Rufnummer auch schon eine "Sperre" oder ein Urteil geben. Wenn ja, dann müsste 1&1 diese Nummer imho blockieren können. Lese Dich da doch ggf einmal ein und berichte dann