• IT-Karriere:
  • Services:

Passwörter: Teile des Passsworts bei Aldi Talk unsicher gespeichert

Aldi Talk hat offenbar Zugriff auf die ersten vier Zeichen der Kundenpasswörter im Klartext.

Artikel veröffentlicht am , Hanno Böck
Aldi Talk speichert die ersten vier Zeichen der Passwörter ungehasht ab.
Aldi Talk speichert die ersten vier Zeichen der Passwörter ungehasht ab. (Bild: Aldi)

Die ersten Zeichen der Passwörter von Aldi-Talk-Kunden werden offenbar im Klartext gespeichert. Ein Golem.de-Leser wies uns darauf hin, dass ein Servicemitarbeiter am Telefon darum bat, die ersten vier Buchstaben des Passworts zu nennen. Das bedeutet, dass Mitarbeiter von Aldi Talk zumindest auf einen Teil des Passworts im Klartext zugreifen können.

Stellenmarkt
  1. akquinet AG, Hamburg
  2. Vorwerk Services GmbH, Wuppertal

Aus Sicherheitsgründen werden Passwörter üblicherweise gehasht gespeichert. Dabei wird das Passwort nicht selbst gespeichert, sondern nur das Ergebnis einer Hash-Funktion. Früher wurden dafür teilweise normale kryptographische Hashfunktionen wie SHA1 verwendet, heute werden meist speziell für diesen Zweck entwickelte Funktionen wie Scrypt oder Argon2 genutzt.

Gehashte Passwörter: Selbst bei Datenleck ist nicht alles verloren

Der Vorteil dieser Methode: Selbst wenn ein Angreifer unberechtigt Zugriff auf die Nutzerdatenbank eines Services erhält, kann er nicht direkt alle Passwörter auslesen. Zwar kann er dann mittels Brute Force versuchen, die Passwörter zu raten, aber das ist rechenaufwendig und bei sicheren, langen Passwörtern praktisch nicht durchführbar.

Das bedeutet aber auch, dass es für den Betreiber eines Services keine Möglichkeit gibt, die Passwörter im Klartext einzusehen.

Wir haben bei Aldi Talk nachgefragt. In einer ersten Antwort, die wir von Telefónica, dem Netzbetreiber hinter der Aldi-Mobilfunkmarke, erhielten, sagte man uns, dass die Passwörter verschlüsselt gespeichert wurden. Das verschlüsselte Speichern von Passwörtern ist sehr unüblich, da es deutlich weniger Sicherheit bietet als eine gehashte Speicherung.

Nachdem wir in der ursprünglichen Version dieses Artikels dies so wiedergegeben hatten, meldete sich Telefónica noch einmal telefonisch und berichtigte diese Darstellung. Demnach werden die vollständigen Passwörter gehasht gespeichert und separat die ersten vier Buchstaben für den Kundenservice abgelegt.

Unproblematisch ist das nicht. In vielen Fällen dürfte es möglich sein, bei Kenntnis der ersten vier Zeichen den Rest des Passworts zu erraten.

Das Speichern von ungehashten Passwörtern ist nicht nur sicherheitstechnisch problematisch, es kann auch rechtliche Konsequenzen haben. Der Chatanbieter Knuddels, bei dem es im vergangenen Jahr zu einem Datenleck kam, hatte seine Passwörter ebenfalls nicht gehasht gespeichert. Das war für den zuständigen Datenschutzbeauftragten Grund genug, ein Bußgeld nach der DSGVO zu verhängen. Ob auch eine teilweise ungehashte Speicherung von Passwörtern zulässig ist erscheint zumindest fragwürdig.

Nachtrag vom 19. Februar 2019, 12:57 Uhr

In der ursprünglichen Version dieses Artikels hatten wir berichtet, dass Aldi Talk die Passwörter verschlüsselt und nicht gehasht speichert. Dies hatte uns Telefónica ursprünglich so mitgeteilt. Nach der Artikelveröffentlichung hatte sich Telefónica telefonisch bei uns gemeldet und um eine Richtigstellung gebeten. Wir haben den Artikel entsprechend geändert.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Mobile-Angebote
  1. (u. a. Find X2 Neo 256GB 6,5 Zoll für 439,99€, Watch 41 mm Smartwatch für 179,99€)
  2. (u. a. Apple iPhone 11 Pro Max 256GB 6,5 Zoll Super Retina XDR OLED für 929,96€)
  3. 749€

Olliar 21. Feb 2019

1. Kein Mensch? Lesegerät? Hallo? selbst bei Amazon kann (und sollte) man 2FA...

Olliar 21. Feb 2019

Das diese Schlamperei weit verbreitet ist, bedeutet nicht, das sie akzeptabel oder...

vollstorno 20. Feb 2019

Danke dem Forum für die bisherigen Antworten. Ich hab nicht die kriminelle Energie und Mu...

LinuxMcBook 20. Feb 2019

Ich gehe mal davon aus, dass die Mitarbeiter dort die PIN nur zur Authentifizierung...

Olliar 20. Feb 2019

Wenn die aber einfach keine Ahnung von der Materie haben? Was ist besser? "drop data...


Folgen Sie uns
       


Die Tesla-Baustelle von oben (März-August 2020)

Wir haben den Fortschritt in Grünheide dokumentiert.

Die Tesla-Baustelle von oben (März-August 2020) Video aufrufen
Covid-19: So funktioniert die Corona-Vorhersage am FZ Jülich
Covid-19
So funktioniert die Corona-Vorhersage am FZ Jülich

Das Forschungszentrum Jülich hat ein Vorhersagetool für Corona-Neuinfektionen programmiert. Projektleiter Gordon Pipa hat uns erklärt, wie es funktioniert.
Ein Bericht von Boris Mayer

  1. Top 500 Deutscher Supercomputer unter den ersten zehn
  2. Hochleistungsrechner Berlin und sieben weitere Städte bekommen Millionenförderung
  3. Cineca Leonardo Nvidias A100 befeuert 10-Exaflops-AI-Supercomputer

iPhone 12 Mini im Test: Leistungsstark, hochwertig, winzig
iPhone 12 Mini im Test
Leistungsstark, hochwertig, winzig

Mit dem iPhone 12 Mini komplettiert Apple seine Auswahl an aktuellen iPhones für alle Geschmäcker: Auf 5,4 Zoll sind hochwertige technischen Finessen vereint, ein besseres kleines Smartphone gibt es nicht.
Ein Test von Tobias Költzsch

  1. Apple Bauteile des iPhone 12 kosten 313 Euro
  2. Touchscreen und Hörgeräte iOS 14.2.1 beseitigt iPhone-12-Fehler
  3. iPhone Magsafe ist nicht gleich Magsafe

Librem Mini v2 im Test: Der kleine Graue mit dem freien Bios
Librem Mini v2 im Test
Der kleine Graue mit dem freien Bios

Der neue Librem Mini eignet sich nicht nur perfekt für Linux, sondern hat als einer von ganz wenigen Rechnern die freie Firmware Coreboot und einen abgesicherten Bootprozess.
Ein Test von Moritz Tremmel

  1. Purism Neuer Librem Mini mit Comet Lake
  2. Librem 14 Purism-Laptops bekommen 6 Kerne und 14-Zoll-Display
  3. Librem Mini Purism bringt NUC-artigen Mini-PC

    •  /