Abo
  • IT-Karriere:

Passwörter: Teile des Passsworts bei Aldi Talk unsicher gespeichert

Aldi Talk hat offenbar Zugriff auf die ersten vier Zeichen der Kundenpasswörter im Klartext.

Artikel veröffentlicht am , Hanno Böck
Aldi Talk speichert die ersten vier Zeichen der Passwörter ungehasht ab.
Aldi Talk speichert die ersten vier Zeichen der Passwörter ungehasht ab. (Bild: Aldi)

Die ersten Zeichen der Passwörter von Aldi-Talk-Kunden werden offenbar im Klartext gespeichert. Ein Golem.de-Leser wies uns darauf hin, dass ein Servicemitarbeiter am Telefon darum bat, die ersten vier Buchstaben des Passworts zu nennen. Das bedeutet, dass Mitarbeiter von Aldi Talk zumindest auf einen Teil des Passworts im Klartext zugreifen können.

Stellenmarkt
  1. Siltronic AG, Freiberg
  2. Forschungszentrum Jülich GmbH, Jülich

Aus Sicherheitsgründen werden Passwörter üblicherweise gehasht gespeichert. Dabei wird das Passwort nicht selbst gespeichert, sondern nur das Ergebnis einer Hash-Funktion. Früher wurden dafür teilweise normale kryptographische Hashfunktionen wie SHA1 verwendet, heute werden meist speziell für diesen Zweck entwickelte Funktionen wie Scrypt oder Argon2 genutzt.

Gehashte Passwörter: Selbst bei Datenleck ist nicht alles verloren

Der Vorteil dieser Methode: Selbst wenn ein Angreifer unberechtigt Zugriff auf die Nutzerdatenbank eines Services erhält, kann er nicht direkt alle Passwörter auslesen. Zwar kann er dann mittels Brute Force versuchen, die Passwörter zu raten, aber das ist rechenaufwendig und bei sicheren, langen Passwörtern praktisch nicht durchführbar.

Das bedeutet aber auch, dass es für den Betreiber eines Services keine Möglichkeit gibt, die Passwörter im Klartext einzusehen.

Wir haben bei Aldi Talk nachgefragt. In einer ersten Antwort, die wir von Telefónica, dem Netzbetreiber hinter der Aldi-Mobilfunkmarke, erhielten, sagte man uns, dass die Passwörter verschlüsselt gespeichert wurden. Das verschlüsselte Speichern von Passwörtern ist sehr unüblich, da es deutlich weniger Sicherheit bietet als eine gehashte Speicherung.

Nachdem wir in der ursprünglichen Version dieses Artikels dies so wiedergegeben hatten, meldete sich Telefónica noch einmal telefonisch und berichtigte diese Darstellung. Demnach werden die vollständigen Passwörter gehasht gespeichert und separat die ersten vier Buchstaben für den Kundenservice abgelegt.

Unproblematisch ist das nicht. In vielen Fällen dürfte es möglich sein, bei Kenntnis der ersten vier Zeichen den Rest des Passworts zu erraten.

Das Speichern von ungehashten Passwörtern ist nicht nur sicherheitstechnisch problematisch, es kann auch rechtliche Konsequenzen haben. Der Chatanbieter Knuddels, bei dem es im vergangenen Jahr zu einem Datenleck kam, hatte seine Passwörter ebenfalls nicht gehasht gespeichert. Das war für den zuständigen Datenschutzbeauftragten Grund genug, ein Bußgeld nach der DSGVO zu verhängen. Ob auch eine teilweise ungehashte Speicherung von Passwörtern zulässig ist erscheint zumindest fragwürdig.

Nachtrag vom 19. Februar 2019, 12:57 Uhr

In der ursprünglichen Version dieses Artikels hatten wir berichtet, dass Aldi Talk die Passwörter verschlüsselt und nicht gehasht speichert. Dies hatte uns Telefónica ursprünglich so mitgeteilt. Nach der Artikelveröffentlichung hatte sich Telefónica telefonisch bei uns gemeldet und um eine Richtigstellung gebeten. Wir haben den Artikel entsprechend geändert.



Anzeige
Top-Angebote
  1. 1.149,00€ (Bestpreis!)
  2. 74,90€ (zzgl. Versand)
  3. 124,90€ (Bestpreis!)

Olliar 21. Feb 2019

1. Kein Mensch? Lesegerät? Hallo? selbst bei Amazon kann (und sollte) man 2FA...

Olliar 21. Feb 2019

Das diese Schlamperei weit verbreitet ist, bedeutet nicht, das sie akzeptabel oder...

vollstorno 20. Feb 2019

Danke dem Forum für die bisherigen Antworten. Ich hab nicht die kriminelle Energie und Mu...

LinuxMcBook 20. Feb 2019

Ich gehe mal davon aus, dass die Mitarbeiter dort die PIN nur zur Authentifizierung...

Olliar 20. Feb 2019

Wenn die aber einfach keine Ahnung von der Materie haben? Was ist besser? "drop data...


Folgen Sie uns
       


AMD Ryzen 9 3900X und Ryzen 7 3700X - Test

Wir testen den Ryzen 9 3900X mit zwölf Kernen und den Ryzen 7 3700X mit acht Kernen. Beide passen in den Sockel AM4, nutzen DDR4-3200-Speicher und basieren auf der Zen-2-Architektur mit 7-nm-Fertigung.

AMD Ryzen 9 3900X und Ryzen 7 3700X - Test Video aufrufen
Smarte Wecker im Test: Unter den Blinden ist der Einäugige König
Smarte Wecker im Test
Unter den Blinden ist der Einäugige König

Einen guten smarten Wecker zu bauen, ist offenbar gar nicht so einfach. Bei Amazons Echo Show 5 und Lenovos Smart Clock fehlen uns viele Basisfunktionen. Dafür ist einer der beiden ein besonders preisgünstiges und leistungsfähiges smartes Display.
Ein Test von Ingo Pakalski

  1. Nest Hub im Test Google vermasselt es 1A

Raspberry Pi 4B im Test: Nummer 4 lebt!
Raspberry Pi 4B im Test
Nummer 4 lebt!

Das Raspberry Pi kann endlich zur Konkurrenz aufschließen, aber richtig glücklich werden wir mit dem neuen Modell des Bastelrechners trotz bemerkenswerter Merkmale nicht.
Ein Test von Alexander Merz

  1. Eben Upton Raspberry-Pi-Initiator spielt USB-C-Fehler herunter
  2. 52PI Ice Tower Turmkühler für Raspberry Pi 4B halbiert Temperatur
  3. Kickstarter Lyra ist ein Gameboy Advance mit integriertem Raspberry Pi

Hyundai Kona Elektro: Der Ausdauerläufer
Hyundai Kona Elektro
Der Ausdauerläufer

Der Hyundai Kona Elektro begeistert mit Energieeffizienz, Genauigkeit bei der Reichweitenberechnung und umfangreicher technischer Ausstattung. Nur in Sachen Emotionalität und Temperament könnte er etwas nachlegen.
Ein Praxistest von Dirk Kunde

  1. Be emobil Berliner Ladesäulen auf Verbrauchsabrechnung umgestellt
  2. ACM City Miniauto soll als Kleintransporter und Mietwagen Furore machen
  3. Startup Rivian plant elektrochromes Glasdach für seine Elektro-SUVs

    •  /