Über die dort beschriebene Konstellation, ich sollte hier vermutlich nicht einfach den Text der anderen Person kopieren, habe ich mir bis dato noch keine Gedanken gemacht.
Kurze Zusammenfassung:
Hat Mailbox.org Methoden um ein Aussperren der Kunden zu verhindern oder rückgängig zu machen?
Was passiert, wenn man nicht mehr in den Webmailer/Einstellungen kommt und die dort hinterlegten Zugangsdaten geändert wurden?
Es ist halt schwierig, die eierlegende Wollmilchsau haben zu wollen.
Man kann aber selber entscheiden: Entweder ist es anonym, dann gibst Du keine Daten an, hast weniger Sicherheit vor Aussperren.
Oder Du gibst z.B. die Adresse an, dann kann noch auf dem Postweg ein Kennwort verschickt werden. Ist dann aber weniger anonym.
Ich weiss auch nich, wie lange mailbox.org die Logdaten vorhält, wenn es zu Änderungen der Anschrift o.Ä. im Webmailer kommt, das muss man ja für eine Wiederherstellung auch nachvollziehen können.
GAU wäre doch, wenn mailbox.org den Zugang zu meinem Postfach an andere rausgibt, weil sie etwa meine Anschrift kennen oder weil ich mal ne Persokopie im Netz gefunden habe, oder der Portier die Ausweiskopie zweckentfremdet.
Ich glaube, man muss vorher ansetzen. Wenn erstmal wer in Deinem Konto ist, liegt das Kind schon im Brunnen.
Dann musst Du Deine Kontakte auf anderem Wege warnen und überall die E-Mail-Adressen ändern.
Meine Tipps:
NIE das gleiche Kennwort für verschiedene Dienste nehmen. Ein leak irgendwo und das Kennwort wird garantiert an anderer Stelle probiert!
Immer schön Updaten.
Passwortsafe verwenden.
Aufpassen bei Phishingversuchen.
Grundsätzlich sind wir für unser digitales Leben selber verantwortlich. Das wird häufig vergessen, bewusst ignoriert und/oder versucht (an andere) zu deligieren.
Desweiteren ist eine gesunde Netzhygiene dem digitalen Leben insgesamt ausgesprochen dienlich.
Der Kernsatz aus dem Betrag im MBO-Userforum
Wie bekomme ich mein (digitales) Leben nach einer Kompromittierung zurück?
kann sich der Beitragsersteller praktisch selber beantworten. Vermutlich blieb deshalb dort auch eine entsprechende Beantwortung bislang aus.
Ach ja … und: „Kein Backup, kein Mitleid.“ (Zitat: Peer Heinlein)
Die Frage ist ja gerade, was Mailbox.org überhaupt für Möglichkeiten für so einen Notfall bietet.
Das ist richtig und auch alles was Du danach an best practice aufzählst. Das stellt niemand in Frage.
Es geht nur um den konkreten Fall. Was kann man noch tun bzw. was kann Mailbox.org tun. Der Post wirft auch die Frage auf, ob es überhaupt autom. Sperrungen gibt bei einem bestimmten Verhalten.
Bei anderer Anbietern gibt es da zig Maßnahmen. Sperrung, Rücksetzen über alte Passwörter, Login von einem früher bekannten Gerät mit dem alten Passwort usw. Auch dass Passwortänderungen eine gewisse Zeit rückgängig gemacht werden können. Apple macht das ziemlich gut. Es gibt ein Zeitfenster zum Reset bei Passwortänderungen.
Das ist alles richtig, aber nicht der Punkt.
Backups gut und schön, aber die Möglichkeiten über einen Account andere zu übernehmen und auch maligne Mails zu versenden, sind in dieser Situation ein reales Problem. Wer verantwortlich ist spielt für mögliche Gegenmaßnahmen keine Rolle. Das ist eine ganz andere Frage.
Bevor sich/ich hier jemand die Mühe macht alle Angriffsszenarien für MBO aufzulisten, möchte ich fragen wie die Antwort zur Klärung der Frage welche Notfall-Maßnahmen MBO hat beitragen soll.
Ist ja eine interessante Frage, aber imho nicht zielführend.
Aber ich lasse mich gerne überzeugen.
Solange ich mein E-Mail-Postfach bei MBO unterhalte (seit 2016), sind mir schädliche Einflüsse (Malware, Phishing, u. ä.) fremd geworden. Als E-Mail-Client verwende ich einen, der nur Reintext kennt. Den Onlinezugang von MBO, per Zwei-Faktor-Authentifizierung (2FA), benötige und verwende ich ausschließlich für administrative Zwecke. Die regelmäßige Postfachpflege läuft ausschließlich über besagten E-Mail-Client unter MX-Linux. Potenzielle Angreifer müssten neben meinem System (u. a. E-Mail-Client) auch das bzw. die Geräte des zweiten Faktors unter ihre Kontrolle bringen, um das Ziel (Feindliche Übernahme) verwirklichen zu können. Ein solches Szenario ist aus meiner Sicht nur sehr schwer vorstellbar.
Ich glaub, es ist schwierig hier alle Maßnahmen abzudecken.
Einen Passwortreset per Post gibt es bei mailbox.org, ich mein, der kostet aber und dauert natürlich. Jetzt noch viel mehr, weil die Brief-Post per Gesetz langsam werden darf.
Gegenaskpekte:
Früher bekanntes Gerät ist auch übernommen per Trojaner oder war sogar Einfallstor.
Wenn der Nutzer das Passwort geändert hat, könnte ein penetranter Angreifer auch das alte Passwort für den Reset verwenden.
Warum soll man einen Passwortreset rückgängig machen können?
Der Passwortreset hilft doch gerade, wenn ein Postfach übernommen wurde, Spam rausballert.
So wie geschildert, vielleicht gibts ja noch mehr Details, ists mir nicht nachvollziehbar.
Im Forum von mailbox.org habe ich mitbekommen, dass die Postfächer, wen die gehijackt wurden blockieren und nur nach Passwortänderung freigeben.
Das merken die wenn Spam rausgeht, es wird aber schwer, wenn der Angreifer Zugriff auf andre Konten per Zugangsreset , sprich Facebook, Mastodon, etcetera haben will.
Wie soll man das merken?
Wer sagt, dass es keine legitime Nutzung ist, weil der echte Nutzer eben die Passwörter wegen Amnesie vergesssen hat?
Hilf mir bitte noch einmal Dein Szenario zu verstehen. Meine Erfahrung war:
Die Option „Sollten Sie noch Zugriff auf Ihr Postfach haben, aber das Passwort nicht mehr kennen, können wir Ihnen den Passwort-Reset-Link auch in Ihr mailbox.org-Postfach zustellen.“ gibt es immer, ob mit oder ohne Reset-Informationen im Konto.
Wenn man anschließend mit dem Link (weil man Zugriff auf die Mails hat über zB ein entsperrtes Gerät) 2FA aushebelt und ein neues Passwort vergibt, sind es nur Sekunden bis die alten Reset-Informationen gelöscht sind.
Ich sehe hier kein realistisches Szenario wie ein Opfer hier schnell genug sein könnte. Du musst die Reset-Mail sehen, realisieren was passiert und schneller einen Passwort-Reset über eine alternative Methode durchführen als der Angreifer den Reset machen kann.
Wie gesagt, mit dem Brief stand glaub ich mal im Forum. Ich täts an deren Stelle auch nicht rumerzählen. Ist doch ein Riesenaufwand, Briefe durch die Gegend zu schicken. Und dann noch 5 Nachfragen und nochmal schicken, weil die Post nicht ams Ziel kommt.
„Sollten Sie noch Zugriff auf Ihr Postfach haben, aber das Passwort nicht mehr kennen, können wir Ihnen den Passwort-Reset-Link auch in Ihr mailbox.org-Postfach zustellen.“
ist mir auch noch irgendwie in Erinnerung. Ich habe aber keine Möglichkeit, das Szenario wie beschrieben durchzuführen. Ich bekomme keinen Reset-Link ins (gedacht kompromittierte) Postfach zugestellt.
Ich möchte eigentlich über Post-Infiltration-Mitigation sprechen und nicht über Prävention. Für die Prävention gibt es eine gute Doku und alle Maßnahmen sind bekannt.
Schritt 1:
Hiernach erhältst Du eine Mail an Deine eigene Mailadresse mit einem Resetcode.
Inhalt:
Sehr geehrter Nutzer von mailbox.org,
folgender Link ist 12 Stunden gültig und erlaubt Ihnen,
Ihr Passwort neu zu setzen:
Danach ist 2FA raus und der Angreifer kann die Reset-Informationen löschen.
Ich muss zugeben, dass ich von der Aushebelung des 2FA überrascht bin. Das finde ich nicht so witzig. Hätte nicht gedacht, dass das möglich ist.
Ich frage mich gerade wieso ich dann den Aufwand mit Hardware-Token betreiben soll, wenn z.B. nur ein ungesperrtes Gerät mich aus dem eigentlich gesicherten Admin-Bereich aussperren kann.
Mit Test-Account war der Account gemeint mit dem ich das getestet habe. Als Abgrenzung zu meinem primären Account. Da ist mir nicht nach experimentieren.
Du gehst davon aus, dass MBO Unterschiede zwischen verschiedenen Endkunden-Accounts macht?
