• IT-Karriere:
  • Services:

Passwörter: Teile des Passsworts bei Aldi Talk unsicher gespeichert

Aldi Talk hat offenbar Zugriff auf die ersten vier Zeichen der Kundenpasswörter im Klartext.

Artikel veröffentlicht am , Hanno Böck
Aldi Talk speichert die ersten vier Zeichen der Passwörter ungehasht ab.
Aldi Talk speichert die ersten vier Zeichen der Passwörter ungehasht ab. (Bild: Aldi)

Die ersten Zeichen der Passwörter von Aldi-Talk-Kunden werden offenbar im Klartext gespeichert. Ein Golem.de-Leser wies uns darauf hin, dass ein Servicemitarbeiter am Telefon darum bat, die ersten vier Buchstaben des Passworts zu nennen. Das bedeutet, dass Mitarbeiter von Aldi Talk zumindest auf einen Teil des Passworts im Klartext zugreifen können.

Stellenmarkt
  1. ROMA KG, Burgau
  2. Holtzmann & Sohn GmbH, Ronnenberg

Aus Sicherheitsgründen werden Passwörter üblicherweise gehasht gespeichert. Dabei wird das Passwort nicht selbst gespeichert, sondern nur das Ergebnis einer Hash-Funktion. Früher wurden dafür teilweise normale kryptographische Hashfunktionen wie SHA1 verwendet, heute werden meist speziell für diesen Zweck entwickelte Funktionen wie Scrypt oder Argon2 genutzt.

Gehashte Passwörter: Selbst bei Datenleck ist nicht alles verloren

Der Vorteil dieser Methode: Selbst wenn ein Angreifer unberechtigt Zugriff auf die Nutzerdatenbank eines Services erhält, kann er nicht direkt alle Passwörter auslesen. Zwar kann er dann mittels Brute Force versuchen, die Passwörter zu raten, aber das ist rechenaufwendig und bei sicheren, langen Passwörtern praktisch nicht durchführbar.

Das bedeutet aber auch, dass es für den Betreiber eines Services keine Möglichkeit gibt, die Passwörter im Klartext einzusehen.

Wir haben bei Aldi Talk nachgefragt. In einer ersten Antwort, die wir von Telefónica, dem Netzbetreiber hinter der Aldi-Mobilfunkmarke, erhielten, sagte man uns, dass die Passwörter verschlüsselt gespeichert wurden. Das verschlüsselte Speichern von Passwörtern ist sehr unüblich, da es deutlich weniger Sicherheit bietet als eine gehashte Speicherung.

Nachdem wir in der ursprünglichen Version dieses Artikels dies so wiedergegeben hatten, meldete sich Telefónica noch einmal telefonisch und berichtigte diese Darstellung. Demnach werden die vollständigen Passwörter gehasht gespeichert und separat die ersten vier Buchstaben für den Kundenservice abgelegt.

Unproblematisch ist das nicht. In vielen Fällen dürfte es möglich sein, bei Kenntnis der ersten vier Zeichen den Rest des Passworts zu erraten.

Das Speichern von ungehashten Passwörtern ist nicht nur sicherheitstechnisch problematisch, es kann auch rechtliche Konsequenzen haben. Der Chatanbieter Knuddels, bei dem es im vergangenen Jahr zu einem Datenleck kam, hatte seine Passwörter ebenfalls nicht gehasht gespeichert. Das war für den zuständigen Datenschutzbeauftragten Grund genug, ein Bußgeld nach der DSGVO zu verhängen. Ob auch eine teilweise ungehashte Speicherung von Passwörtern zulässig ist erscheint zumindest fragwürdig.

Nachtrag vom 19. Februar 2019, 12:57 Uhr

In der ursprünglichen Version dieses Artikels hatten wir berichtet, dass Aldi Talk die Passwörter verschlüsselt und nicht gehasht speichert. Dies hatte uns Telefónica ursprünglich so mitgeteilt. Nach der Artikelveröffentlichung hatte sich Telefónica telefonisch bei uns gemeldet und um eine Richtigstellung gebeten. Wir haben den Artikel entsprechend geändert.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. 555,55€ (zzgl. Versandkosten)

Olliar 21. Feb 2019

1. Kein Mensch? Lesegerät? Hallo? selbst bei Amazon kann (und sollte) man 2FA...

Olliar 21. Feb 2019

Das diese Schlamperei weit verbreitet ist, bedeutet nicht, das sie akzeptabel oder...

vollstorno 20. Feb 2019

Danke dem Forum für die bisherigen Antworten. Ich hab nicht die kriminelle Energie und Mu...

LinuxMcBook 20. Feb 2019

Ich gehe mal davon aus, dass die Mitarbeiter dort die PIN nur zur Authentifizierung...

Olliar 20. Feb 2019

Wenn die aber einfach keine Ahnung von der Materie haben? Was ist besser? "drop data...


Folgen Sie uns
       


Jedi Fallen Order - Fazit

Wer Fan von Star Wars ist und neben viel Macht auch eine gewisse Frusttoleranz in sich spürt, sollte Jedi Fallen Order eine Chance geben.

Jedi Fallen Order - Fazit Video aufrufen
Tesla-Fabrik in Brandenburg: Remote, Germany
Tesla-Fabrik in Brandenburg
Remote, Germany

Elon Musk steht auf Berlin, doch industrielle Großprojekte sind nicht die Stärke der Region. Ausgerechnet in die Nähe der ewigen Flughafen-Baustelle BER will Tesla seine Gigafactory 4 platzieren. Was spricht für und gegen den Standort Berlin/Brandenburg?
Eine Analyse von Dirk Kunde

  1. Gigafactory Tesla soll 4 Milliarden Euro in Brandenburg investieren
  2. 7.000 Arbeitsplätze Tesla will Gigafactory bei Berlin bauen
  3. Irreführende Angaben Wettbewerbszentrale verklagt Tesla wegen Autopilot-Werbung

Mi Note 10 im Kamera-Test: Der Herausforderer
Mi Note 10 im Kamera-Test
Der Herausforderer

Im ersten Hands on hat Xiaomis Fünf-Kamera-Smartphone Mi Note 10 bereits einen guten ersten Eindruck gemacht, jetzt ist der Vergleich mit anderen Smartphones dran. Dabei zeigt sich, dass es einen neuen, ernstzunehmenden Konkurrenten unter den besten Smartphone-Kameras gibt.
Von Tobias Költzsch

  1. Mi Note 10 im Hands on Fünf Kameras, die sich lohnen
  2. Xiaomi Neues Redmi Note 8T mit Vierfachkamera kostet 200 Euro
  3. Mi Note 10 Xiaomis neues Smartphone mit 108 Megapixeln kostet 550 Euro

Neuer Streamingdienst von Disney: Disney+ ist stark bei Filmen und schwach bei Serien
Neuer Streamingdienst von Disney
Disney+ ist stark bei Filmen und schwach bei Serien

Das Hollywoodstudio Disney ist in den Markt für Videostreamingabos eingestiegen. In den USA hat es beim Start von Disney+ technische Probleme gegeben. Mit Blick auf inhaltliche Vielfalt kann der Dienst weder mit Netflix noch mit Amazon Prime Video mithalten.
Von Ingo Pakalski

  1. Disney+ Disney korrigiert falsches Seitenverhältnis bei den Simpsons
  2. Videostreaming im Abo Disney+ hat 10 Millionen Abonnenten
  3. Disney+ Disney bringt seinen Streaming-Dienst auf Fire-TV-Geräte

    •  /