Welle an Apple-ID-Hacks: Zwei-Faktor-Authentifizierung schützt

[Martin Wendel]

In den vergangenen Tagen meldeten sich ungewöhnlich viele Nutzer im Apfeltalk-Forum und berichteten, dass ihre Apple-ID gehackt wurde. Die Sicherheitsfragen wurden geändert, die eigentlichen Nutzer aus dem Account ausgesperrt und Apps aus China gekauft.

Ein Insider teilte uns mit, die Zahl der Betroffenen in die Tausende gehe. Wie die Datendiebe an die Anmeldedaten gelangten, ist noch nicht ganz klar. Es liegt jedoch eine Vermutung im Raum: Die Accounts der betroffenen Nutzer sollen eine Gemeinsamkeit haben – sie haben ClickandBuy eingerichtet.

Als Nutzer hat man eine sehr effektive Möglichkeit, um sich gegen diese Art von Angriffen zu schützen – die Aktivierung der Zwei-Faktor-Authentifizierung. Vorfälle wie diese rufen ins Bewusstsein, wie wichtig solche Sicherheitseinstellungen sind.

Bei der Zwei-Faktor-Authentifizierung ist es Angreifern selbst bei Kenntnis der Anmeldedaten nicht möglich, einen Account zu übernehmen. Denn bei der Anmeldung auf neuen Geräten ist neben dem Passwort auch ein einmaliger Code notwendig, der per SMS oder Push-Benachrichtigung auf verifizierte Geräte zugestellt wird.

Die Komforteinbußen sind im Vergleich zum Gewinn an Sicherheit minimal. Apfeltalk empfiehlt daher ausdrücklich, die Zwei-Faktor-Authentifizierung zu nutzen – vor allem für wichtige Dienste wie die Apple-ID. Sicher ist jedenfalls niemand vor einem Datenleck bei einem Anbieter. Auch bei der aktuellen Welle an Apple-ID-Hacks beteuern Betroffene, keine leicht zu erratenden Passwörter verwendet zu haben.

Auch ein sicheres Passwort scheint also kein ausreichender Schutz zu sein. Nähere Infos zur Einrichtung der zweistufigen Authentifizierung bzw. der Zwei-Faktor-Authentifizierung (für aktuelle Systeme) verrät Apple auf seinen Supportseiten.

Bild von Blake Patterson (flickr), bestimmte Rechte vorbehalten

zurück zum Magazin...

 

[Dareonsky]

Zwei-Faktor-Authentifizierung

Sollte eigentlich Pflicht sein. Ist zwar nicht allmächtig aber wesentlich sicherer als nur ein Password. Vor allem gegen Datenbanken hacks.

 

[HeinerM]

Clickanbuy? Dessen Betrieb Ende April diesen Jahres eingestellt wird?

 

[saw]

Eventuell der Hinweis, das die Umstellung noch nicht für jeden möglich ist?

 

[chris21]

Hallo, meine Apple ID wurde auch gehackt, ich hatte ein langes Passwort und die zwei stufige authentifizierung aktiv. Nach der zeitlichen Email Benachrichtigung von Apple wurde erst mein Passwort geändert, drei Minuten später die zweistufige Authentifizierung und vier Minuten später wurde mein Account mit dem China Store verbunden und Apps gekauft. Gemerkt habe ich das erst im Laufe des Tages weil mein iPhone regelmäßig nach der Anmeldung mit Apple ID fragte. Mfg

 

[Balkenende]

Noch lustiger ist mein Fall. Ich wurde nicht gehackt. Aber die Zwei-Faktor-Aut. funktionierte bei mir nicht. Angeblich sei mein Passwort geändert worden (was nicht der Fall ist, funktioniert noch).

Ich darf also erst nach ein paar Tagen das Procedere durchlaufen, aus Sicherheitsgründen also erst nach Wartezeit

Mal sehen, was da los ist.

(Clickandbuy habe ich übrigens nicht. Öffentliche Wlans kann ich komplett ausschließen innerhalb des letzen Jahres oder länger).

 

[ottomane]

Hallo, meine Apple ID wurde auch gehackt

Bist du auch bei ClickandBuy? Das nimmt ja langsam fiese Ausmaße an.

EDIT: Ich habe gerade mal nach ClickAndBuy und "Hack" gegoogelt. Erschreckend. Solche und ähnliche Probleme gibt es schon lange, z.B. 2011 Betrügereien über iTunes.

 

[Schupunkt]

Ich fürchte das zwei-Faktor-Aut. den Horizont für viele Nutzer bereits überschreitet. Ich kenne einige bei denen wäre es nur ne frage der Zeit bis sie an zwei der drei Komponenten nicht mehr ran kommen (weil vergessen, verloren...)

 

[ottomane]

Leider wahr.

 

[E-Harry]

Der Support sagte zu mir aber es ging vom E-Mail Account aus ......wie sonst.? Das sind unterschiedliche Passwörter...

 

[Apfelrix]

Das verstehe ich nicht. Angenommen ckickandbuy wurde gehackt. Dann haben die Hacker doch erst einmal den Zugang zu ckickandbuy. Dort ist doch nicht mein Passwort für meine Apple-ID hinterlegt.

Als Hacker hat man doch erst dann zur Apple-ID Zugang wenn E-Mail-Adresse und Passwort mit denen, die bei Apple verwendet werden, übereinstimmen. Oder sehe ich da was falsch?

Edit Anfang:
Folgender Gedanke mir ist Quatsch: Und wenn diese übereinstimmen, dann hilft doch auch keine Zwei-Faktor-Authentifizierung mehr.
Edit Ende.

Stimmt, auch wenn man die Zugangsdaten zur Apple-ID hat, müsste die Zwei-Faktor-Authentifizierung greifen, um sich dort anmelden zu können.

 

[raven]

Hallo, meine Apple ID wurde auch gehackt, ich hatte ein langes Passwort und die zwei stufige authentifizierung aktiv.

Da frage ich mich aber, was die 2 stufige Authentifizierung. nützt?

Und wenn diese übereinstimmen, dann hilft doch auch keine Zwei-Faktor-Authentifizierung mehr.

Das sit ja genau das was ich mich auch eben fragte?

 

[Kannix]

Ist ja witzig, kaum lese ich diesen Artikel bekomm ich ne Email von "Apple", dass meine Rechnungs- und Adressdaten geändert wurden und ich auf unteren Link klicken soll falls das nicht von mir gemacht wurde (wo ich natürlich nicht raufgeklickt habe). Ein Blick in meinen Account zeigte das nichts geändert wurde (zumal ich ja diese 2 stufige Dingens habe) und auch ein Telefonat mit Apple ergab das alles beim alten ist und ich von denen auch keine Mail bekommen habe. Die Mail sah derart perfekt aus, nicht der kleinste Schreibfehler und selbst der Link stimmte, dass ich vermute das eventuell viele diese Mail bekommen haben und besagten Link gewählt haben und man vielleicht so an die Daten gekommen ist.

 

[jack_pott]

Danke für den Hinweis. Ich habe auch ClickAndBuy verwendet, meinen Account dort aber löschen lassen, nachdem die Mail mit dem Hinweis zum Ende des Services kam. Gerade eben habe ich dann auch bei iTunes die Bezahlmethode auf "keine" gesetzt und die 2-FA aktiviert. Ich blieb bis dato (glücklicherweise) von jeglichem "Hack" verschont.

Und wenn man sich nicht sicher ist, ob eine Mail echt oder ein Fake ist, lohnt sich der Blick in den Header (⇧⌘H in Apple Mail). Wenn dort im "Received:"-Abschnitt ein Server steht, der augenscheinlich nicht zum Absender passt, ist es besser, die Finger davon zu lassen.

Prinzipiell klicke ich aber auch eher nicht auf Links in Mails zu irgendeinem meiner Accounts. Es sei denn, ich erwarte eine Bestätigungsmail. Lieber gehe ich "händisch" in den Account.

 

[Schupunkt]

Da frage ich mich aber, was die 2 stufige Authentifizierung. nützt?


Das sit ja genau das was ich mich auch eben fragte?

Kann ich mir eigentlich nicht vorstellen, man kann praktisch nichts machen ohne sich zuvor durch ein vertrauenswürdiges Gerät autorisieren zu lassen. Selbst einloggen von nem fremden Rechner aus geht glaube ich nicht ohne

 

[raven]

Kann ich mir eigentlich nicht vorstellen, man kann praktisch nichts machen ohne sich zuvor durch ein vertrauenswürdiges Gerät autorisieren zu lassen. Selbst einloggen von nem fremden Rechner aus geht glaube ich nicht ohne

Kann ich nicht beurteilen. Aber vielleicht kann man jetzt mal erkennen, dass es auch zur Verwirrung führen kann.

 

[Mac 2.2]

Verstehe ich das richtig: Also Click-and-buy wurde anscheinend gehackt und es sind jetzt alle die betroffen, die überall das gleiche Passwort verwenden?

 

[Frischluft]

Was nützt mir die zwei Zwei-Faktor-Authentifizierung?

Ich kann mir den Code doch auf das selbe Gerät schicken lassen, zudem als SMS direkt auf das iPhone.

Für mich ist dies das eigentliche Sicherheitsrisiko.

 

[Apfelrix]

Verstehe ich das richtig: Also Click-and-buy wurde anscheinend gehackt und es sind jetzt alle die betroffen, die überall das gleiche Passwort verwenden?

Das könnte man spekulieren, steht aber so nirgends geschrieben.

Meine Vermutung geht eher in die Richtung, dass E-Mails versendet wurden, an bekannte E-Mail-Adressen (woher auch immer), die einen Link enthalten, der wiederum zu einer Pishing-Seite führt.

Wie in Post #13 erwähnt.
http://www.apfeltalk.de/community/t...thentifizierung-schuetzt.498072/#post-4849267

 

[maniag]

Die Mail sah derart perfekt aus, nicht der kleinste Schreibfehler und selbst der Link stimmte, dass ich vermute das eventuell viele diese Mail bekommen haben und besagten Link gewählt haben und man vielleicht so an die Daten gekommen ist.

Wenn der Link stimmt, dann bekommt der Hacker ja keine Informationen.
Bist du denn sicher das der Link stimmt? Die Bezeichnung in der E-Mail ist ja irrelevant. Was sagt denn der Hyperlink.