Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comp.security.misc > #41045 > unrolled thread

fremde, falsche Passworteingabe Grund für Änderungsaufforderung?

Back to article view | Back to de.comp.security.misc

Contents

  fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-20 12:05 +0100
    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 12:23 +0100
      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-20 12:36 +0100
        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 14:49 +0100
          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-20 15:07 +0100
            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 15:27 +0100
              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-20 15:56 +0100
                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 16:37 +0100
                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-20 16:45 +0100
                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 17:04 +0100
                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-20 19:04 +0100
                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 19:17 +0100
                      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-20 19:57 +0100
                        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 20:56 +0100
                          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-20 21:14 +0100
                            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-20 23:13 +0100
                              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-20 23:43 +0100
                                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ruediger Lahl <ruediger.lahl@gmx.de> - 2026-02-21 00:41 +0100
        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-21 00:57 +0100
          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-21 09:19 +0100
            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-21 09:36 +0100
              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-21 10:39 +0100
                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-21 11:03 +0100
                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-21 13:43 +0100
                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-21 14:23 +0100
                      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-21 19:18 +0100
                        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 07:48 +0100
                          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Ralph Aichinger <ra@h5.or.at> - 2026-02-22 08:09 +0000
                            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-22 09:34 +0100
                              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 09:52 +0100
                                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-22 10:09 +0100
                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Hochstein <thh@thh.name> - 2026-02-22 10:46 +0100
                                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 11:08 +0100
                                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Noll <-_tn_-@web.de> - 2026-02-22 10:18 +0000
                                      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-22 12:23 +0100
                                      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 11:23 +0100
                                        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-23 19:07 +0100
                                          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 20:26 +0100
                                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Heuving <heuving@gmx.de> - 2026-02-22 20:11 +0100
                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-22 14:33 +0100
                                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 11:25 +0100
                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Helmut Waitzmann <nn.throttle@erine.email> - 2026-02-22 16:21 +0100
                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 11:19 +0100
                                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Hochstein <thh@thh.name> - 2026-02-22 10:09 +0100
                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-22 10:30 +0100
                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 10:56 +0100
                                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Hochstein <thh@thh.name> - 2026-02-22 11:06 +0100
                                      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 12:07 +0100
                                        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-22 12:17 +0100
                                          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 13:10 +0100
                                            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-22 14:44 +0100
                                              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 16:19 +0100
                                                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-22 17:39 +0100
                                                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 11:30 +0100
                                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-23 19:08 +0100
                                                    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 20:27 +0100
                                            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-22 16:02 +0100
                                              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 16:37 +0100
                                                Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Jörg Lorenz <hugybear@gmx.net> - 2026-02-22 16:56 +0100
                                                  Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 17:05 +0100
                                        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Hochstein <thh@thh.name> - 2026-02-22 12:20 +0100
                                          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 13:42 +0100
                                            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-22 16:09 +0100
                            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Herbert Kleebauer <klee@unibwm.de> - 2026-02-22 09:46 +0100
                              Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marco Moock <mm+solani@dorfdsl.de> - 2026-02-22 12:22 +0100
          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-21 09:31 +0100
    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-20 12:27 +0100
    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Andreas M. Kirchwitz" <amk@spamfence.net> - 2026-02-20 12:47 +0000
      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-20 14:07 +0100
        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Michael Pachta <mipani@gmx.de> - 2026-02-20 14:11 +0100
        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Andreas M. Kirchwitz" <amk@spamfence.net> - 2026-02-20 14:15 +0000
          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Schwarzer <thomas@erdverwachsen.de> - 2026-02-20 17:50 +0100
            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-20 19:14 +0100
            Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Andreas M. Kirchwitz" <amk@spamfence.net> - 2026-02-22 17:03 +0000
          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Thomas Hochstein <thh@thh.name> - 2026-02-20 21:27 +0100
          Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Alexander Schreiber <als@usenet.thangorodrim.de> - 2026-02-21 12:03 +0100
        Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? "Peter J. Holzer" <hjp-usenet4@hjp.at> - 2026-02-20 18:40 +0100
    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Beate Goebel <boerps@spamfence.net> - 2026-02-21 14:06 +0100
    Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Arno Welzel <usenet@arnowelzel.de> - 2026-02-23 11:12 +0100
      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Lukas Maier <no-answer@mail.com> - 2026-02-23 13:03 +0100
      Re: fremde, falsche Passworteingabe Grund für Änderungsaufforderung? Marc Haber <mh+usenetspam1118@zugschl.us> - 2026-02-24 13:52 +0100

Page 4 of 5 — ← Prev page 1 2 3 [4] 5  Next page →

#41132

Herbert Kleebauer schrieb:

> On 2/22/2026 11:06 AM, Thomas Hochstein wrote:
> > Herbert Kleebauer schrieb:
> >>> Und dann muss man dieses Passwort immer sofort ändern, wenn jemand es
> >>> nicht erraten konnte.
> >> Dann nicht, aber dann, wenn man weiß jemand hat versucht es zu erraten
> >> und man hat keine Information darüber ob er es erraten hat oder nicht.
> > Da man darüber in diesem Szenario prinzipbedingt keine Information haben
> > kann, kommt das aufs selbe raus.
> 
> Was ist denn das für eine schräge Logik?

Es kommt eine Mitteilung: "Jemand hat ein falsches Passwort eingegeben."
Das ist die Sachlage, die wir hier diskutieren.

Mehr wissen wir nicht.

Alles andere ist Spekulation.

Du meinst, man müsse daher das Passwort ändern. Das ist schräg, aber
nicht unbedingt logisch.

> Falls im Fall 1 ein sicheres Passwort verwendet wurde, gibt es keinen
> Grund das Passwort zu ändern, eine Änderung schadet aber auch nicht.

| > Warum? Welchen Sicherheitsgewinn bringt es, ein sicheres Passwort
| > regelmäßig zu ändern?
| 
| Nur weil es keinen Sicherheitsgewinn bringt, spricht dies ja
| nicht dagegen es zu ändern. Aufgrund des menschlichen
| Verhalten bringt es statistisch aber einen tatsächlichem
| Sicherheitsverlust.
<10nekjm$20k8b$2@dont-email.me>

Was jetzt?

Man kann ja durchaus beide Ansichten vertreten, aber doch nicht
gleichzeitig.

> Und du behauptest jetzt der Fall 3 ist zu behandeln wie Fall 1.

Natürlich. Niemand "errät" ein sicheres Passwort, insbesondere nicht
beim zweiten Versuch.

-thh

[toc] | [prev] | [next] | [standalone]

#41134

On 2/22/2026 12:20 PM, Thomas Hochstein wrote:
> Herbert Kleebauer schrieb:

>> Was ist denn das für eine schräge Logik?
> 
> Es kommt eine Mitteilung: "Jemand hat ein falsches Passwort eingegeben."
> Das ist die Sachlage, die wir hier diskutieren.
> 
> Mehr wissen wir nicht.

Ganz genau. Und genau aus diesem Grund habe ich die drei Szenarien
beschrieben:

1. Jemand hat versucht das Passwort zu erraten aber er hat es nicht geschafft
2. Jemand hat versucht das Passwort zu erraten und er hat es geschafft
3. Jemand hat versucht das Passwort zu erraten und man hat keine Information
     darüber, ob er es geschafft hat oder nicht.

Wir befinden uns also in Szenario 3.

> Alles andere ist Spekulation.

Ganz genau. Wenn wir allwissend wären, wüssten wir ob sich hinter
dem Fall 3 tatsächlich Fall 1 oder Fall 2 verbirgt. Da wir das nicht
sind, bleibt nur, eine Lösung zu finden die sowohl für Fall 1 als auch
für Fall 2 gut ausgeht und die dann auf Fall 3 anzuwenden. Und wie
schon ausführlich dargelegt, gibt es diese Lösung und die heißt:
Passwort ändern!

Wir müssen nicht wissen ob Schrödingers Katze tot oder lebendig
ist, wenn wir eine Lösung haben die sowohl für tote als auch
lebende Katzen funktioniert.



> | > Warum? Welchen Sicherheitsgewinn bringt es, ein sicheres Passwort
> | > regelmäßig zu ändern?
> |
> | Nur weil es keinen Sicherheitsgewinn bringt, spricht dies ja
> | nicht dagegen es zu ändern. Aufgrund des menschlichen
> | Verhalten bringt es statistisch aber einen tatsächlichem
> | Sicherheitsverlust.

> Was jetzt?

Ach komm, siehst den Unterschied nicht? In dem einen Fall geht
es darum, anlasslos regelmäßig das Passwort zu ändern und in
dem anderen Fall darum, bei einem auftretenden Ereignis (mit
(beschränken Informationen) die richtige Reaktion zu finden.
Und in dem hier diskutierten Fall bedeutet das, entweder mehr
Informationen beschaffen oder Passwort ändern.


> Man kann ja durchaus beide Ansichten vertreten, aber doch nicht
> gleichzeitig.

Die beiden Ansichten haben überhaupt nichts miteinander zu tun.


>> Und du behauptest jetzt der Fall 3 ist zu behandeln wie Fall 1.
> 
> Natürlich. Niemand "errät" ein sicheres Passwort, insbesondere nicht
> beim zweiten Versuch.

Woher weißt du, dass es beim zweiten Versuch war? Woher weißt du,
dass es ein sicheres Passwort war? Woher weiß du, dass er das
ganze Passwort erraten musste. Vielleicht hat er ja beim Eintippen
zugesehen und nur das letzte Zeichen nicht richtig mitbekommen?

Wie du so schön sagtest "> Mehr wissen wir nicht." und plötzlich
machst du Annahmen die du ganz einfach nicht wissen kannst.

Genauso machst du die widersinnige Annahme, dass eine Newsgruppe
mit minimalem Traffic überflüssig ist.

[toc] | [prev] | [next] | [standalone]

#41138

Am 22.02.2026 13:42 Uhr schrieb Herbert Kleebauer:

> On 2/22/2026 12:20 PM, Thomas Hochstein wrote:
> > Herbert Kleebauer schrieb:  
> 
> >> Was ist denn das für eine schräge Logik?  
> > 
> > Es kommt eine Mitteilung: "Jemand hat ein falsches Passwort
> > eingegeben." Das ist die Sachlage, die wir hier diskutieren.
> > 
> > Mehr wissen wir nicht.  
> 
> Ganz genau. Und genau aus diesem Grund habe ich die drei Szenarien
> beschrieben:
> 
> 1. Jemand hat versucht das Passwort zu erraten aber er hat es nicht
> geschafft 2. Jemand hat versucht das Passwort zu erraten und er hat
> es geschafft 3. Jemand hat versucht das Passwort zu erraten und man
> hat keine Information darüber, ob er es geschafft hat oder nicht.
> 
> Wir befinden uns also in Szenario 3.
> 
> > Alles andere ist Spekulation.  
> 
> Ganz genau. Wenn wir allwissend wären, wüssten wir ob sich hinter
> dem Fall 3 tatsächlich Fall 1 oder Fall 2 verbirgt. Da wir das nicht
> sind, bleibt nur, eine Lösung zu finden die sowohl für Fall 1 als auch
> für Fall 2 gut ausgeht und die dann auf Fall 3 anzuwenden. Und wie
> schon ausführlich dargelegt, gibt es diese Lösung und die heißt:
> Passwort ändern!

Nein, hilft dir nicht. Dass der Angreifer ein ausreichend langes
Kennwort zufällig errät, ist praktisch unmöglich (theoretisch geht das,
aber die Wahrscheinlichkeit ist so gering, dass man diese ignorieren
kann). Da Brute-Force-Angreifer immer einen ganzen Pool an Systemen aus
unterschiedlichen Netzen nutzen, kann man nicht sinnvoll erkennen, ob
das ein legitimer User war oder der Angreifer. VPNs und TOR (was auch
legitime Nutzer verwenden) tun ihr Übriges.

> Wir müssen nicht wissen ob Schrödingers Katze tot oder lebendig
> ist, wenn wir eine Lösung haben die sowohl für tote als auch
> lebende Katzen funktioniert.

Es ist nur keine Lösung, weil es ein Problem lösen soll, was es gar
nicht gibt. Fehlgeschlagene Loginversuche stellen an sich einfach kein
Problem dar, weil die immer da sind.

> > | > Warum? Welchen Sicherheitsgewinn bringt es, ein sicheres
> > Passwort | > regelmäßig zu ändern?
> > |
> > | Nur weil es keinen Sicherheitsgewinn bringt, spricht dies ja
> > | nicht dagegen es zu ändern. Aufgrund des menschlichen
> > | Verhalten bringt es statistisch aber einen tatsächlichem
> > | Sicherheitsverlust.  
> 
> > Was jetzt?  
> 
> Ach komm, siehst den Unterschied nicht? In dem einen Fall geht
> es darum, anlasslos regelmäßig das Passwort zu ändern und in
> dem anderen Fall darum, bei einem auftretenden Ereignis (mit
> (beschränken Informationen) die richtige Reaktion zu finden.

Der Anlass ist immer vorhanden, weil über das Internet erreichbare
Systeme ständig per Brute-Force getestet werden. Das habe ich mit SSH,
HTTP und SMTP zu Genüge erlebt. Ich könnte dann täglich das Kennwort
ändern.

> Und in dem hier diskutierten Fall bedeutet das, entweder mehr
> Informationen beschaffen oder Passwort ändern.

Was für Information willst du denn beschaffen und was bringt die dir?

> > Man kann ja durchaus beide Ansichten vertreten, aber doch nicht
> > gleichzeitig.  
> 
> Die beiden Ansichten haben überhaupt nichts miteinander zu tun.
> 
> 
> >> Und du behauptest jetzt der Fall 3 ist zu behandeln wie Fall 1.  
> > 
> > Natürlich. Niemand "errät" ein sicheres Passwort, insbesondere nicht
> > beim zweiten Versuch.  
> 
> Woher weißt du, dass es beim zweiten Versuch war? Woher weißt du,
> dass es ein sicheres Passwort war? Woher weiß du, dass er das
> ganze Passwort erraten musste. Vielleicht hat er ja beim Eintippen
> zugesehen und nur das letzte Zeichen nicht richtig mitbekommen?

Wenn dieser Angriff beim ersten Mal funktioniert hat, wird das auch
beim neuen Passwort gelingen, zur Not mit einer geeigneten Kamera.
Daher auch der Rat, in der Öffentlichkeit keine Passwörter einzugeben
oder sich einzuloggen. Es kann einem auch einer den Laptop in diesem
Moment klauen. :-)


-- 
Gruß
Marco

Spam und Werbung bitte an
1771764174ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#41118

On 2/22/2026 9:09 AM, Ralph Aichinger wrote:
> Herbert Kleebauer <klee@unibwm.de> wrote:

>> Und wenn du nicht in Erfahrung bringen kannst, ob es nur
>> Loginversuche oder einen tatsächlichen login gab, würde
>> ich einfach den Rat befolgen und das Passwort ändern.
> 
> Dann mußt du aber permanent das Passwort ändern, denn es
> gibt immer die Möglichkeit, dass das richtige Passwort
> eingegeben worden ist, ohne dass du vorher über "falsche"
> Loginversuche informiert worden bist.

Und woher soll derjenige das richtige Passwort haben?
Beim probieren gleich beim ersten mal das richtige zu
erwischen ist eher unwahrscheinlich.

Die Frage ist doch, wird irgendwas schlechter wenn er
das Passwort ändert? Ich sehe da kein Beispiel dafür.

D.h. wenn es auch nur ein Beispiel gibt, bei dem sich die
Situation verbessert, sollte man es tun.

Nimm an, jemand hat ihn beim Eintippen des Passorts beobachtet,
konnte es aber nicht komplett erkennen. Er probiert dann
einfach ein paar Variationen durch und hat nach 5 Fehlversuchen
das richtige gefunden. Durch eine Änderung des Passworts
ist das Problem dann wieder gelöst.

[toc] | [prev] | [next] | [standalone]

#41130

Am 22.02.2026 09:46 Uhr schrieb Herbert Kleebauer:

> On 2/22/2026 9:09 AM, Ralph Aichinger wrote:
> > Herbert Kleebauer <klee@unibwm.de> wrote:  
> 
> >> Und wenn du nicht in Erfahrung bringen kannst, ob es nur
> >> Loginversuche oder einen tatsächlichen login gab, würde
> >> ich einfach den Rat befolgen und das Passwort ändern.  
> > 
> > Dann mußt du aber permanent das Passwort ändern, denn es
> > gibt immer die Möglichkeit, dass das richtige Passwort
> > eingegeben worden ist, ohne dass du vorher über "falsche"
> > Loginversuche informiert worden bist.  
> 
> Und woher soll derjenige das richtige Passwort haben?

Aus einem Datenleak eines anderen Dienstes, wenn das gleiche Passwort
an mehreren Stellen genutzt wurde. Oder es ist so einfach, dass man mit
vorgenerierten Listen Glück hat (viele Leute nehmen ihren Vornamen oder
einfache Wörter aus dem Wörterbuch als Passwort).

> Beim probieren gleich beim ersten mal das richtige zu
> erwischen ist eher unwahrscheinlich.

Richtig, aber deshalb probiert man das mehrfach. Von vielen
verschiedenen Systemen aus (am besten bei Heimuser-ISPs, die man nicht
sinnvoll komplett sperren kann), damit auch fail2ban nicht mehr
sinnvoll funktioniert.

> Die Frage ist doch, wird irgendwas schlechter wenn er
> das Passwort ändert? Ich sehe da kein Beispiel dafür.

Nein.

> D.h. wenn es auch nur ein Beispiel gibt, bei dem sich die
> Situation verbessert, sollte man es tun.

Bevor man das tut, sollte man die gesamte Situation durchdenken.

> Nimm an, jemand hat ihn beim Eintippen des Passorts beobachtet,
> konnte es aber nicht komplett erkennen. Er probiert dann
> einfach ein paar Variationen durch und hat nach 5 Fehlversuchen
> das richtige gefunden. Durch eine Änderung des Passworts
> ist das Problem dann wieder gelöst.

Wenn das Kennwort komplett geändert wurde.
Nur ist diese Art des Angriffs eher selten und auf Spezialfälle
beschränkt, weil der Aufwand recht groß ist.

-- 
Gruß
Marco

Spam und Werbung bitte an
1771750006ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#41083

On 2026-02-21 00:57, Herbert Kleebauer <klee@unibwm.de> wrote:
> On 2/20/2026 12:36 PM, Lukas Maier wrote:
>> Ich würde meinen, es ist grundsätzlich unnötig, das Passwort zu ändern,
>> nur weil jemand den Benutzernamen erraten hat, aber das dazugehörige
>> Passwort nicht. Oder gibt es da andere Meinungen?
>
> Da steht ja nicht, dass der login nicht erfolgreich war.

Es steht aber auch nicht drin, dass er erfolgreich war. Dabei wäre das
die wichtige Information.

Viele Anbieter machen das. Da bekommt man eine Mail in der sinngemäß
steht:

    Jemand hat sich am <datum> um <uhrzeit> von <ip-adresse> in <ort>
    mit einem <gerätetyp/betriebssystem/browser-typ> eingeloggt.

    Wenn Sie das waren, müssen Sie nichts weiter tun.
    Wenn Sie es nicht waren, sollten Sie <aktion>.

Das enthält alle Information für den User, um zu entscheiden, ob er
Handlungsbedarf hat.

(Manche übertreiben das. Da bekommt man solche Meldungen in einer Menge,
dass man beginnt, sie zu ignorieren.)

> Wenn 3x ein falsches und dann das richtige Passwort eingegeben wurde
> ist so eine Mail schon sinnvoll.

Ja, wenn. Aber der Empfänger der Mail kann auf Grund der Mail nicht
wissen, ob das der Fall war. Und nur dann, wenn es der Fall war, hat er
Handlungsbedarf (Ein "knapp vorbei" würde auch Handlungsbedarf bedeuten,
aber das kann man normalerweise nicht feststellen).

        hjp

[toc] | [prev] | [next] | [standalone]

#41048

Es weissagte Lukas Maier am 20.02.2026 um 12:05:

> (zB. https, keine falschen Zeichen in Website).

Ich meinte natürlich, keine falschen Zeichen in der url.

Gruss, Lukas

[toc] | [prev] | [next] | [standalone]

#41050

Lukas Maier <no-answer@mail.com> wrote:

> Soll ich effektiv mein Passwort ändern, wenn ein Loginversuch mit 
> falschen Passworten stattgefunden hat?

Wenn der Angreifer an Deinem Passwort gescheitert ist, scheint es
ja ein gutes Passwort zu sein, was man eher beibehalten sollte.

Natürlich kann man trotzdem mal gucken, ob das Passwort wirklich
noch zeitgemäß ist oder doch relativ leicht erraten werden könnte.

> Ich habe ein Mail von einem bekannten Schweizer Buchhändler erhalten, 
> wonach ein Loginversuch in mein Konto stattgefunden habe. Falls nicht 
> ich es war, der falsche Passworte eingegeben habe, solle ich "umgehend 
> mein Passwort ändern".

Ja, das steht oft in solchen Benachrichtigungen, und ich weiß
nicht, warum die solch einen Ratschlag geben, denn warum sollte
man prinzipiell ein Passwort ändern, dass ja seinen Sinn voll
erfüllt hat, nämlich einen Angreifer abzuwehren.

> Das Mail sieht echt aus. Die Links darin führen auf die echte Website 
> (zB. https, keine falschen Zeichen in Website).

Leider ist solche Mail oftmals der wahre Angriff. Wenn ich einen
kurzen und einfachen Tipp geben müsste: Solche Hinweise ignorieren,
egal ob echt oder falsch.

Der Angriff wurde ja abgewehrt, also warum sich Gedanken machen?

Und natürlich der wichtigste Hinweise von allen: Überall ein
anderes Passwort setzen. Ausnahmslos. Keine Ausrede. Auch nicht
"nur mal schnell" oder "mache ich später besser". Selbst jedes
noch so dumme und offensichtliche Passwort-Schema ist besser,
als überhaupt keine Variation in seinen Passwörtern zu haben.

	Grüße, Andreas

[toc] | [prev] | [next] | [standalone]

#41051

Es weissagte Andreas M. Kirchwitz am 20.02.2026 um 13:47:
> ...ich weiß
> nicht, warum die solch einen Ratschlag geben, denn warum sollte
> man prinzipiell ein Passwort ändern, dass ja seinen Sinn voll
> erfüllt hat,...
Genau das machte mich stutzig. Warum eine Warnung, wenn keine nötig ist? 
Was eben ein Hinweis darauf sein könnte, dass der Mailabsender nicht der 
Vorgegebene ist.

Andererseits soll die Fälschung von Anzeigen im Mailclient (fast) nicht 
möglich sein (zB. die Anzeige des Ziels in der Statusleiste, wenn man 
mit der Maus über einen Link fährt oder das Kopieren des Ziels über das 
Kontextmenü).

Gruss, Lukas

[toc] | [prev] | [next] | [standalone]

#41052

Am 20.02.2026 um 14:07 schrieb Lukas Maier:
> Andererseits soll die Fälschung von Anzeigen im Mailclient (fast) nicht 
> möglich sein (zB. die Anzeige des Ziels in der Statusleiste, wenn man 
> mit der Maus über einen Link fährt oder das Kopieren des Ziels über das 
> Kontextmenü).

Viele unbedarfte User checken das aber nicht, klicken und machen dann 
das, was die Kriminellen wollen. Später wird dann gejammert: "Ich wurde 
gehackt!".

[toc] | [prev] | [next] | [standalone]

#41055

Lukas Maier <no-answer@mail.com> wrote:

> Andererseits soll die Fälschung von Anzeigen im Mailclient (fast) nicht 
> möglich sein (zB. die Anzeige des Ziels in der Statusleiste, wenn man 
> mit der Maus über einen Link fährt oder das Kopieren des Ziels über das 
> Kontextmenü).

Ich könnte mir vorstellen, dass manche Mailclients getäuscht werden
könnten bei dem, was sie visuell dem Nutzer als Link-Ziel anzeigen und
welche URL sie dann aber tatsächlich intern an den Browser weitergeben.

Allerdings sehe ich das größere Problem ganz woanders, denn heutzutage
lesen viele Leute ihre Mail auf Touch-Geräten, wo es keinen (Maus-)Zeiger
mehr gibt, mit dem man über Links gehen könnte.

Beispielsweise auf meinem Smartphone sehe ich nicht, wohin Links gehen,
außer ich drücke drauf, doch dann kann es bereits zu spät sein. Absender
kann ich schwer verifizieren, weil Realname und Mailadresse fast nie
zusammen angezeigt werden können. Mail-Header anschauen ist umständlich.

Man lacht oft über Leute, die auf falsche Links reinfallen, aber auf
Touch-Geräten ist man selbst billigsten Angriffen hilflos ausgeliefert.

	Grüße, Andreas

[toc] | [prev] | [next] | [standalone]

#41061

Am 20.02.26 schrieb Andreas M. Kirchwitz:

> Allerdings sehe ich das größere Problem ganz woanders, denn heutzutage
> lesen viele Leute ihre Mail auf Touch-Geräten, wo es keinen (Maus-)Zeiger
> mehr gibt, mit dem man über Links gehen könnte.
> 
> Beispielsweise auf meinem Smartphone sehe ich nicht, wohin Links gehen,
> außer ich drücke drauf, doch dann kann es bereits zu spät sein. Absender
> kann ich schwer verifizieren, weil Realname und Mailadresse fast nie
> zusammen angezeigt werden können. Mail-Header anschauen ist umständlich.
> 
> Man lacht oft über Leute, die auf falsche Links reinfallen, aber auf
> Touch-Geräten ist man selbst billigsten Angriffen hilflos ausgeliefert.

Es ist nicht so intuitiv wie auf dem Desktop, da hast Du Recht, aber z.B.
FairEMail öffnet bei jedem Klick erstmal ein Fenster mit der URL.
Und selbst in GMail (ja ja, ich weiss :-) ) kann man mit einem langen Klick
erstmal einen Dialog mit Anzeige der URL öffnen.
Wie es in anderen Programmen aussieht, kann ich nicht sagen.

Gruß Thomas

[toc] | [prev] | [next] | [standalone]

#41066

On 2026-02-20 17:50, Thomas Schwarzer <thomas@erdverwachsen.de> wrote:
> Am 20.02.26 schrieb Andreas M. Kirchwitz:
>> Allerdings sehe ich das größere Problem ganz woanders, denn heutzutage
>> lesen viele Leute ihre Mail auf Touch-Geräten, wo es keinen (Maus-)Zeiger
>> mehr gibt, mit dem man über Links gehen könnte.
>> 
>> Beispielsweise auf meinem Smartphone sehe ich nicht, wohin Links gehen,
>> außer ich drücke drauf, doch dann kann es bereits zu spät sein. Absender
>> kann ich schwer verifizieren, weil Realname und Mailadresse fast nie
>> zusammen angezeigt werden können. Mail-Header anschauen ist umständlich.
>> 
>> Man lacht oft über Leute, die auf falsche Links reinfallen, aber auf
>> Touch-Geräten ist man selbst billigsten Angriffen hilflos ausgeliefert.
>
> Es ist nicht so intuitiv wie auf dem Desktop, da hast Du Recht, aber z.B.
> FairEMail öffnet bei jedem Klick erstmal ein Fenster mit der URL.
> Und selbst in GMail (ja ja, ich weiss :-) ) kann man mit einem langen Klick
> erstmal einen Dialog mit Anzeige der URL öffnen.
> Wie es in anderen Programmen aussieht, kann ich nicht sagen.

Bei Browsern (zumindest Firefox und Chrome) ist es so wie in GMail (oder
umgekehrt: In GMail ist es so wie in einem Browser): Ein langer Klick
öffnet einen Dialog, der den URL (gegebenenfalls in Punycode) anzeigt,
gemeinsam mit diversen Optionen.

        hjp

[toc] | [prev] | [next] | [standalone]

#41145

Thomas Schwarzer <thomas@erdverwachsen.de> wrote:

>> Man lacht oft über Leute, die auf falsche Links reinfallen, aber auf
>> Touch-Geräten ist man selbst billigsten Angriffen hilflos ausgeliefert.
>
> Es ist nicht so intuitiv wie auf dem Desktop, da hast Du Recht, aber z.B.
> FairEMail öffnet bei jedem Klick erstmal ein Fenster mit der URL.

Stimmt, FairEMail ist diesbezüglich prima. Manchmal etwas umständlich
zu bedienen, aber dafür weniger Risiko, auf Angreifer reinzufallen.
Ja, definitiv eine gute Empfehlung.

> Und selbst in GMail (ja ja, ich weiss :-) ) kann man mit einem langen Klick
> erstmal einen Dialog mit Anzeige der URL öffnen.
> Wie es in anderen Programmen aussieht, kann ich nicht sagen.

Okay, stimmt, jetzt wo Du und anderes erwähnt haben, benutze ich
instinktiv "gedrückt halten" bisher bereits, um URLs zu kopieren.
Dass sie dabei (teilweise) auch angezeigt wird, ist mir nie so
richtig aufgefallen. Lustig.

Das Bedienkonzept ist schwierig auf Touch-Geräten. Man verlässt
sich blind darauf, dass ein langes Berühren hoffentlich nicht
die URL öffnet, sondern etwas anderes tut. Was ist, wenn eine
App das mal bedauerlicherweise nicht unterstützt?

Mein persönliches Gefühl bleibt dennoch, dass mich Angreifer auf
dem Smartphone eher überlisten könnten als am Desktop. Dafür sind
allerdings unter Android alle Apps besser voneinander abgeschottet,
was im Desktop zwar auch machbar wäre, aber im Alltag unüblich ist.

Na ja, solange wir hier fleißig diskutieren, weil uns bewusst ist,
dass überall Gefahren lauern können, sind wir der Mehrheit bereits
einen einen Schritt voraus. :-)

	Grüße, Andreas

[toc] | [prev] | [next] | [standalone]

#41072

Andreas M. Kirchwitz schrieb:

> Beispielsweise auf meinem Smartphone sehe ich nicht, wohin Links gehen,
> außer ich drücke drauf, doch dann kann es bereits zu spät sein. 

In der Regel genügt nach meiner Erfahrung ein langer Druck auf den Link,
aber das ist im Zweifel freilich App-spezifisch.

[toc] | [prev] | [next] | [standalone]

#41095

Andreas M. Kirchwitz <amk@spamfence.net> wrote:
> Lukas Maier <no-answer@mail.com> wrote:
>
>> Andererseits soll die Fälschung von Anzeigen im Mailclient (fast) nicht 
>> möglich sein (zB. die Anzeige des Ziels in der Statusleiste, wenn man 
>> mit der Maus über einen Link fährt oder das Kopieren des Ziels über das 
>> Kontextmenü).
>
> Ich könnte mir vorstellen, dass manche Mailclients getäuscht werden
> könnten bei dem, was sie visuell dem Nutzer als Link-Ziel anzeigen und
> welche URL sie dann aber tatsächlich intern an den Browser weitergeben.
>
> Allerdings sehe ich das größere Problem ganz woanders, denn heutzutage
> lesen viele Leute ihre Mail auf Touch-Geräten, wo es keinen (Maus-)Zeiger
> mehr gibt, mit dem man über Links gehen könnte.

Hier ist als EMail-Client immer noch mutt im Einsatz, das entschärft
die meisten dieser Scam-Tricks (u.a. eine halbwegs plausibel aussehende
Mail von Versanddienstleister/Bank/etc ... aber von komplett falscher
Domain) ganz automatisch.

> Beispielsweise auf meinem Smartphone sehe ich nicht, wohin Links gehen,
> außer ich drücke drauf, doch dann kann es bereits zu spät sein. Absender
> kann ich schwer verifizieren, weil Realname und Mailadresse fast nie
> zusammen angezeigt werden können. Mail-Header anschauen ist umständlich.
>
> Man lacht oft über Leute, die auf falsche Links reinfallen, aber auf
> Touch-Geräten ist man selbst billigsten Angriffen hilflos ausgeliefert.

Tja.

Man liest sich,
             Alex.
-- 
"Opportunity is missed by most people because it is dressed in overalls and
 looks like work."                                      -- Thomas A. Edison

[toc] | [prev] | [next] | [standalone]

#41064

On 2026-02-20 14:07, Lukas Maier <no-answer@mail.com> wrote:
> Es weissagte Andreas M. Kirchwitz am 20.02.2026 um 13:47:
>> ...ich weiß nicht, warum die solch einen Ratschlag geben, denn warum
>> sollte man prinzipiell ein Passwort ändern, dass ja seinen Sinn voll
>> erfüllt hat,...
> Genau das machte mich stutzig. Warum eine Warnung, wenn keine nötig ist? 

Harmlose Erklärung: Weil der Betreiber der Website wenig Ahnung hat aber
sich trotzdem genötigt fühlt, gute Ratschläge zu geben. Das würde mich
beim durchschnittlichen Betreiber eines Online-Shops nicht überraschen.
Leider bekommt man auch von Leuten, die es besser wissen sollten, oft
Ratschläge und/oder Auskünfte, die bei näherer Betrachtung wenig Sinn
ergeben.

> Was eben ein Hinweis darauf sein könnte, dass der Mailabsender nicht der 
> Vorgegebene ist.

Das wäre die weniger harmlose Erklärung.

> Andererseits soll die Fälschung von Anzeigen im Mailclient (fast) nicht 
> möglich sein (zB. die Anzeige des Ziels in der Statusleiste, wenn man 
> mit der Maus über einen Link fährt oder das Kopieren des Ziels über das 
> Kontextmenü).

Sowas hängt natürlich auch vom Mailclient ab. Bei manchen ist das
vielleicht leichter als bei Deinem (und wie sicher bist Du Dir bei
Deinem wirklich?). Ich frage mich auch manchmal, was die Zielplattform
bei manchen Phishing-Mails ist: Die sehen nicht mal in MS-Outlook
plausibel aus, geschweigen denn in einem vernünftigen Mailclient.

        hjp

[toc] | [prev] | [next] | [standalone]

#41100

Lukas Maier schrieb am 20 Feb 2026

> Das Mail sieht echt aus. Die Links darin führen auf die echte
> Website (zB. https, keine falschen Zeichen in Website).

Nie auf einen Link in einer Mail klicken! Immer im Browser selbst von
Hand(!) eingeben.

Und ein neues PW schadt nicht. Mache ich zB. bei Amazon immer, wenn
wieder mal Alarm kommt.

Zweifaktor einschalten! Dann käuft ein Versuch oft ins Leere. Es sei
denn der Nutzer fällt auf klickbare Links in Mails rein. Nennt sich
Phishing.

Beate

-- 
"Im Usenet nach einem inoffiziellen Webforum zu fragen ist IMHO fast wie 
wenn man einen Pfarrer nach dem naechsten Bordell fragen wuerde :-)"
[Bastian Lutz in <46e17970$0$4531$9b4e6d93@newsspool3.arcor-online.net>]

[toc] | [prev] | [next] | [standalone]

#41147

Lukas Maier, 2026-02-20 12:05:

> Hi
> 
> Soll ich effektiv mein Passwort ändern, wenn ein Loginversuch mit 
> falschen Passworten stattgefunden hat?

Nein. Denn ein *falsches* Passwort bedeutet ja, dass der Angreifer es
*nicht* geschafft hat. Bedenklicher wäre, wenn ein *erfolgreicher*
Loginversuch gemeldet wird, aber von einem Gerät aus, was dem
Dienstleister ungewöhnlich erscheint - z.B. weil es aus einem anderen
Land ist oder weil der benutzte Browser ein anderer ist, als sonst etc..
Manche Systeme prüfen sowas und warnen ggf. die Kontoinhaber dazu.

> Ich habe ein Mail von einem bekannten Schweizer Buchhändler erhalten, 
> wonach ein Loginversuch in mein Konto stattgefunden habe. Falls nicht 
> ich es war, der falsche Passworte eingegeben habe, solle ich "umgehend 
> mein Passwort ändern".

Frage den Buchhändler, ob sein System solche Mails schickt. Weiterhin
wäre die Nutzung von 2FA oder Passkey sinnvoll, wenn sowas angeboten
wird. Es gibt auch Passwortmanager, die sowas im Browser unterstützen,
wie z.B. Bitwarden.

> Das Mail sieht echt aus. Die Links darin führen auf die echte Website 
> (zB. https, keine falschen Zeichen in Website).

Das ist komplett irrelevant. Für Logins benutzt man *nie* Links aus
E-Mails, sondern nur den, den man im Browser als Bookmark gespeichert
hat oder manuell eingibt.

-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#41156

Es weissagte Arno Welzel am 23.02.2026 um 11:12:
> Lukas Maier, 2026-02-20 12:05:

>> Das Mail sieht echt aus. Die Links darin führen auf die echte Website
>> (zB. https, keine falschen Zeichen in Website).
> 
> Das ist komplett irrelevant.

Es dürfte insofern relevant sein, dass es ein Hinweis darauf sein 
dürfte, dass der Mailabsender auch effektiv der Vorgegebene ist.

> Für Logins benutzt man *nie* Links aus
>> E-Mails, sondern nur den, den man im Browser als Bookmark gespeichert
>> hat oder manuell eingibt.

Ja, danke. Bisher habe ich es geschafft, mich daran zu halten. Ganz blöd 
bin ich auch nicht.

Gruss, Lukas

[toc] | [prev] | [next] | [standalone]

Page 4 of 5 — ← Prev page 1 2 3 [4] 5  Next page →

Back to top | Article view | de.comp.security.misc

csiph-web