Passwort

Waldmeisterchen

Das macht mich stutzig und ist kaum nachvollziehbar. Nach meiner Meinung kann es nur an einem temporär aufgetretenen Fehler in der Forensoftware handeln, die Dir gesagt hat, Dein Passwort sei „abgegriffen“ worden, obwohl es nicht so ist.

Es ist sogar unwahrscheinlich, dass Dein Passwort durch eine „Verseuchung” Deines Rechners abgegriffen wurde, denn woher sollte die Forensoftware das im konkreten Fall überhaupt wissen, um Dich zu warnen?

Vapoo ist sehr gut abgesichert, das kann ich nur bestätigen! Ich wüsste nicht, wie das Passwort abgegriffen worden sein soll.

Bei Registrierung bzw. dem Setzen eines neuen Passworts wir Dein Passwort ein Mal an Vapoo (ich meine damit die Forensoftware auf dem Server) übertragen. Es wird aber dort nicht gespeichert, sondern sofort gelöscht, nachtem ein Hash gebildet wurde. En Hash ist ein Wert, der sich aus dem Passwort berechnen lässt und der immer gleich ist. Dabei ist die Berechnung eine „Einbahnstraße“. Das bedeutet, dass sich aus dem Hash Dein Passwort nicht rekonstruieren lässt. Geknackt werden kann das (falls mal jemand an den Hashwert Deines Passworts gelangt) nur durch massiven Rechenaufwand… je nach Hash-Algorithmus kann das Jahrzehnte dauern. Es werden Passwort-Zufallszeichenketten erzeugt, der Hash davon gebildet und geschaut, ob er dem geleakten Hashwert entspricht. Des Aufwand ist enorm und bringt bei einem Forum eher nix, weshalb das auch quasi nie gemacht wird.

Angenommen, Dein Passwort lautet (sollte ich es zufällig richtig erraten haben, bitte umgehend wieder ändern )

GeheimesPasswort123

dann ergibt das bei Nutzung des Hash-Algorithmus SHA-512 den Hashwert

2ec7aeb8d98b36a1b4b505f39c686eeec9e1af0aee5d95395f7931952777c21145964c001bade5a8e35e955ff7939f005ea371d4c2ad112164c5e286ae46946e

Und nur DER ist bei Vapoo gespeichert. Vapoo kennt Dein Passwort nicht.

Meldest Du Dich an und gibst Dein Passwort ein, so wird es erneut übertragen und der Hashwert errechnet. Es wird aber wieder nicht gespeichert und ist nach der Berechnung sofort vergessen. Vapoo vergleicht nun den errechneten Hash-Wert mit dem Hashwert, der bei Deinem Account hinterlegt ist. Sind die Werte identisch, weiß Vapoo, dass Du das richtige Passwort kanntest… und lässt Dich rein.

Die einzige Stelle (abgesehen von Trojanern auf Deinem Rechner, die die Passwortabfrage ggf. im Klartext protokollieren und weiterleiten), um Dein Passwort abzugreifen, wäre der Weg des Passworts nach der Eingabe an Deinem Rechner duch das Internetz zum Vapoo-Server hin.

Hier könnte sich einer quasi „in die Leitung einklinken“ und es abgreifen. Aber… Vapoo überträgt die Daten (hin und zurück) verschlüsselt (https!!!). Das bedeutet bei einem „Man-in-the-middle-Angriff“ (also wenn sich wer „in die Leitung einklinkt“), dass er das Datenpaket, wo Dein Passwort im Klartext drinsteht, zwar abgreifen kann… aber er kann es nicht lesen, weil das Paket verschlüsselt ist und er den Schlüssel nicht besitzt.

Also echt kein Grund zur Sorge. Du hast nun eh Dein Passwort geändert. Sollte das bei anderen noch öfter auftreten, dann wäre es sinnvoll mal nachzufassen, ob das ein Fehlalarm durch einen Softwarefehler ist. Dass der Server selbst gehackt wurde, halte ich für (nahezu… absolute Sicherheit gibt es nicht) ausgeschlossen, denn die beiden, die das Forum betreiben sind keine Hobby-Computerfritzen, sondern machen das beruflich. Die wissen sehr genau, wie man einen Server absichert.

Ganz WICHTIG!!! Nehme möglichst niemals identische Passwörter für verschiedene Accounts. Es gibt gute Passwort-Verwaltungs-Programme, die Dir helfen, den Überblick zu behalten (ich nutze und empfehle KeePassXC). Solltest Du das trotzdem machen, dann darf aber auf keinen Fall das Passwort identisch zu dem Deiner Haupt-eMail-Adresse sein (machen leider viele… und das kann zum Super-GAU werden). Denn sollte Dein Passwort z.B. hier für Vapoo abgegriffen werden (was ich für unwahrscheinlich halte), dann hätte der Angreifer auch das Passwort für Deinen Mail-Zugang und er könnte damit alle Accounts übernehmen, die mit dieser Mailadresse korrespondieren.

Riecht das nicht irgendwie nach Malware? Waldmeisterchen vielleicht lässt du deinen Rechner mal danach durchsuchen? Geht ziemlich schnell. Diese Malware wird nämlich immer "besser" und ist in der Lage, dir eine Seite zwischenzuschalten, die täuschend echt aussieht.

Welchen Browser hast du benutzt? Chrome hat meine ich seit neuestem einen Passwort Checker, der die Kombination von E-Mail bzw Benutzername und Passwort überprüft auf andere bereits bekannt Datenlecks. Ist mir letztens nämlich auch passiert (ich wusste, aber schon vorher dass das Passwort bekannt ist, störte mich bei der Seite aber nicht). Generell kann man so etwas auch überprüfen auf https://haveibeenpwned.com/

Hier habe ich noch mal die Meldung zu Chrome: https://www.zdnet.de/88374801/chrom…n-passwoertern/

Ist auch relativ neu das Feature, soweit ich weiß von Anfang Dezember. Und wer weiß wie schnell sich die Chromes bei der Arbeit Updaten, da ist es oft ja etwas langsamer.