Ich weis nicht, wo genau das Sicherheitsleck bei GMX nun ist. Meine Vermutung geht aber Richtung Sicherheitsabfrage.
So einfach ist es leider nicht. Ich hatte keine Sicherheitfrage gesetzt sondern nur recovery per Mail. Diese wurde definitiv nie ausgelöst (Keine Mail erhalten und mein anderes Konto wurde auch nicht gehackt).
Haben wir hier schon detaillierter diskutiert:
https://bitcointalksearch.org/topic/gmx-accounts-konnen-gehackt-werden-917903
Ok...vieleicht war das bezug nehmen auf einen einzelnen Aspekt nicht gut um meine Aussage darzulegen. Allgemein gesagt wird immer ein Design verwendet, das es automatisiert ermöglicht Passwörter zu recovern. Leider haben alle Automatismen den Nachteil extrem unflexibel zu sein und in der Überprüfung der plausibilität versagen sie komplett.
zb kann man Passwort-recovery machen wärend man eingelooged ist. Oder es wird ein neues Passwort generiert und auf die Bestätigung gewartet, dabei aber zugelassen das man mit dem alten Passwort weiterhin arbeiten kann. bzw man bricht den Recovervorgang nicht ab wenn man sich mit dem alten Passwort einlooged oder per POP abfragt.
Das alles dient dem Zweck, service rein automatisch abzuwickeln, da Personal Geld kostet. Und ich habe bisher noch nie einen solchen Automatismus gesehen, der einerseits mit der "Blödheit" der Kunden umgehen kann aber andererseits keine Lücken für Hacker offen lässt. Solche Designs sind immer unsicher.
Hier sollten Mailanbieter vieleicht mal drüber nachdenken und sich ein sicheres Verfahren ausdenken. zB eine Recovery-Gebühr. Hier ist das Ende der Wirtschaftlichkeit für Hacker. Und im Gegenzug prüft ein Mensch den Vorgang und erkennt Ungereimtheiten. Jeder der Onlinegames zockt, weis wie mies selbst heute noch die KI von Computergegnern ist. Und das obwohl gerade die Spieleindustrie hier massiv Geld investiert, dies zu optimieren. Aber wenn man ein Deathmatch macht wird einem erst bewusst wieviel schwerer ein menschlicher Gegner ist. Und das gilt für jedes Game das ich bisher gespielt habe, sei es Strategie, Shooter oder MMO. Auch 2-faktor ist nicht davor gefeit geknackt zu werden. Probleme macht es immer nur dann wenn das recovern massiv erschwert wird. Aber solche Dienste werden in sämtlichen Foren dann als untauglich und viel zu kompliziert verdammt und gehen unter. Die Komfortablen setzen sich durch.
Und ob dein Hack auf den selben Fehlern basiert wie der Hack bei anderen wird ausschliesslich aus der zeitlichen Nähe abgeleitet. Ein sehr mageres Indiz. Als ein wessentlich stärkers Indiz würde ich werten, das alle gehackten sehr stark mit Bitcoin unterwegs sind. Viele verschiedene Dienste nutzen. Überall mal vorbei schauen. Irgendwo an diesen Schnittpunkten dürfte es zum Problem gekommen sein. Driveby Infekt....einfach nur ein Link zu einer Seite den diese aktiven Bitcoiner anklicken. Und als Aktive kann man davon ausgehen, das sie nicht nur paar Satoshis rumliegen haben sondern größere Mengen Bitcoin.
Nur mal als Beispiel zum Verständniss: Ein Journalist wurde gehackt und all seine Fotos, Daten und Backups gingen zum Teufel. Viele sehr persönliche Dinge für immer verloren(Geburt des ersten Kindes, sein aufwachsen usw). Schuld? Nun...keiner. Apple hat eigentlich recht gut abgesichert und recovery geht nur per Anruf und persönlichem Freischalten. Dazu wird eine Kreditkartennummer abgefragt. Und zwar die letzen 4 Stellen. Diese konnte man bei Amazon erfahren, wenn man etwas getrickst hat und wusste das der Typ auch bei Amazon unterwegs ist. die letzen 4 Stellen sind schliesslich nicht wirklich von Bedeutung für einen Hacker...dachte man. So führen die eigentlich sicheren Dinge zweier Anbieter zusammen zu einer Lücke.
Irgendwo ist das nun auch GMX passiert. Und gerade bei second-mail als recovery kommt es oft zu Problemen. Nach jahren ist diese Mail aufgrund der Nichtbenutzung verfallen. Sinn ist ja auch, diese Mailadresse nicht public zu machen, also kommt dort wenig an. Das mag vieleicht für einzelne nicht zutreffen, die eigenen Mailserver haben. Aber die Masse hat keinen eigenen Mailserver. Dann wird da T-Online Mailadresse angegeben und nach jahren wechselt man zu O2. Und dann ist ende mit Recovery bei GMX. Hier lässt GMX dann viele Spielraum. Leider sind dann auch die Betroffen, die eine weiterhin gültige Recoverymailadresse haben.
