Unser Autor hat versehentlich das MySQL-Passwort seiner Webseite veröffentlicht. Hier schreibt er, wie es dazu kam. Er berichtet, warum Fehler selbst dann passieren, wenn man denkt, alle Sicherheitsmaßnahmen umgesetzt zu haben und warum es in PHP zu einfach ist, derartige Fehler zu produzieren.
Ein Bericht von Hanno Böck

Flash-Speicher für die Hosentasche: Western Digital bringt seine erste externe SSD, die über USB-C verbunden wird. Sie soll nicht nur sehr schnell, sondern auch besonders sicher und stabil sein.

Die von US-Präsident Donald Trump versprochenen "extremen Einreisekontrollen" könnten für Besucher der USA sehr unangenehm werden. Ob sie auch für deutsche Staatsbürger gelten, ist noch unklar.

Voice Calls heißt die neue Funktion im Messenger Telegram, über die Nutzer verschlüsselte Telefonate führen können - zunächst in Europa. Telegram nutzt dafür seine eigene umstrittene Verschlüsselung.

Gleich drei Sicherheitslücken innerhalb einer Woche wurden im Passwort-Manager Lastpass entdeckt. Der Hersteller reagiert zwar schnell, aber eben deshalb wohl überhastet: Eine Lücke wurde nicht vollständig geschlossen, eine weitere ist noch ganz offen.

Die Entwickler des Firefox-Browsers haben einen Fehlerbericht erhalten, in dem sich ein Webseitenbetreiber über die Login-Warnung beschwert, die bei fehlendem HTTPS auftritt. Externe Entwickler nehmen das als Anlass für Häme und für Angriffe auf die Seite, um Nutzer zu schützen.

Cebit 2017 Auf der Cebit stelle ich die neue Version 8.0 meiner Linux-Live-Distribution Knoppix 8.0 vor. Die neuen Funktionen sollen den Einsatz auf aktueller Hardware erleichtern.
Von Klaus Knopper

US-Ermittler werfen den russischen Geheimdiensten vor, gemeinsam mit kriminellen Hackern Yahoo angegriffen zu haben. Mehrere Verdächtige wurden festgenommen - in verschiedenen Ländern.

Weil durch den Verkauf von Yahoo ihr Job als Vorstandchefin endet, bekommt Marissa Mayer ein großes Abfindungspaket. Zuvor hatte sie auf 14 Millionen US-Dollar verzichtet.

Für eine Stellenanzeige hat sich der Bundesnachrichtendienst etwas Besonderes ausgedacht: eine Forensik Challenge, bei der Interessierte ihre Fähigkeiten testen können. Damit Golem.de-Leser, die sich beim BND bewerben wollen, es etwas leichter haben, haben wir die Challenge gelöst.
Von Hanno Böck

Wegen massiver Probleme mit Scammern und Betrügern sperrt der britische Provider Talk Talk derzeit Teamviewer aus seinem Netz aus. Kunden und dem Hersteller der Fernwartungssoftware gefällt das nicht.

Ein Backup-Fehler dürfte das Aus für ein großes Spam-Netzwerk aus den USA bedeuten. River City Media verdiente Geld mit Spam-Nachrichten, SMS-Kampagnen und Affiliate-Marketing - inklusive gefälschter Suchmaschinen.

Spielzeug aus der Cloudpets-Reihe zeichnet die Stimmen der Kinder auf. Wem das nicht schon zu gruselig ist, der dürfte sich spätestens über die offene MongoDB-Datenbank aufregen. 800.000 Nutzer mit über 2 Millionen Sprachsamples sind betroffen.

Ein Flughafen bei New York lagerte seine Backups offenbar ungewollt in einer öffentlichen Cloud. Unter den Daten sollen sich E-Mails, Passwortlisten für Flughafensysteme und Personalakten befinden.

Durch einen Bug im HTML-Parser des CDN-Anbieters Cloudflare verteilte dieser private Nachrichten von Datingbörsen, Passwörter und interne Keys über unzählige Webseiten. Vieles davon fand sich in den Caches von Suchmaschinen wieder.

In der neuen US-Regierung gibt es offenbar Überlegungen, dass Reisende mit Visum ihre Passwörter für Facebook und andere soziale Netzwerke herausgeben müssen.

Protonmail bezeichnet sich als sicherster E-Mail-Dienst der Welt. In der Praxis zeigt sich, dass der Dienst zwar durchaus durchdacht ist, aber mangels vollständiger PGP-Kompatibilität eine Insellösung bleibt.
Ein Praxistest von Hauke Gierow

Wer den Zugang zu seinem Github-Account verliert, kann sich künftig mit einem von Facebook bereitgestellten Token einloggen. Die interessante Funktion soll den Namen Delegated Recovery tragen und untermauert Facebooks Anspruch, die digitale Schaltzentale der Nutzer zu werden.

Die aktuelle Version 51 des Firefox-Browsers warnt vor unverschlüsselt übertragenen Logins und vor kaputten Zertifikaten mit SHA-1-Signatur sowie jenen von Wosign und Startcom. Der Browser nutzt außerdem WebGL 2 und ermöglicht eine bessere Videowiedergabe ohne GPU.

Rund 60 Routermodelle von Netgear haben eine Sicherheitslücke, die Angreifern das Auslesen des Passwortes ermöglicht. Das BSI warnt vor der Lücke - und ruft Risikostufe 5 aus. Was das bedeutet, bleibt leider unklar.

Erneut ist ein vBulletin-Forum gehackt worden. Betroffen sind vermutlich 1,1 Millionen Nutzer von Supercell-Foren. Der Spielehersteller vertreibt populäre Titel wie Clash of Clans und Clash Royale.

Ein taz-Redakteur, der seine Kollegen mit einem Keylogger ausspioniert hatte, ist rechtskräftig verurteilt worden. Die Entscheidung wurde in Abwesenheit des Mannes getroffen.

Das Verbot der Datenhehlerei soll eigentlich den Handel mit gestohlenen Nutzerdaten erschweren. Doch investigative Journalisten sehen sich dadurch in ihrer Arbeit bedroht.

Rund 1,5 Millionen Daten von Mitgliedern der E-Sports Entertainment Association (Esea) sind offenbar im Netz aufgetaucht. Auch Angaben zur Steam-, Xbox-Live- und PSN-ID sind mit dabei - somit könnten besonders glaubwürdige Phishing-Mails gebastelt werden.

Bösartige Webseiten können die Autovervollständigen-Funktion einiger Browser missbrauchen, um unbemerkt an persönliche Nutzerdaten zu gelangen. Zum Schutz hilft offenbar nur, Autofill ganz abzuschalten oder den Browser zu wechseln.

Ein Unbekannter ist offenbar in Tausende unsichere MongoDB-Server eingedrungen und hat die dort vorgefundenen Datenbanken kopiert. Anschließend überschrieb er die Daten mit einer Lösegeldforderung. Die ersten Nachahmer sind bereits aktiv.

33C3 Der Anonymous-Aktivist und Hacker Lauri Love soll an die USA ausgeliefert werden. Dort drohen ihm wegen des unberechtigten Veränderns von Webseiten und Hacking fast 100 Jahre Haft. Wenn wir Lauri nicht retten können, können wir uns auch nicht selbst retten, warnen Aktivisten.

Einfache Lösungen für verschlüsselte Kommunikation gibt es viele - Vodafone konnte sich bei Firmenkunden offenbar nicht mit seinem Dienst Secure E-Mail durchsetzen - das Angebot wird eingestellt. Zunächst gab es widersprüchliche Angaben zur Verschlüsselung.

Eine Auswertung von Passwörtern aus frei zugänglichen Daten-Leaks hat ergeben, dass die meistgenutzten Passwörter in Deutschland alles andere als sicher sind. Nach "hallo" finden sich auch die Klassiker "passwort" und "passwort1" in der Liste.

Einen Rekord der ganz unschönen Art gesteht Yahoo ein: Unbefugte haben auf mehr als eine Milliarde Nutzerkonten zugegriffen und die Daten kopiert. Eine Folge ist, dass die geplante Übernahme des Unternehmens durch Verizon nun wackelt.

Die aktuelle Version 11 von Nextcloud enthält einige neue Sicherheitsfunktionen und Nextcloud ist einem Security-Check der NCC Group unterzogen worden. Zudem erneuert das Projekt seinen Appstore, der Signaturen nutzt und der Server bietet eine experimentelle WebRTC-Integration mit Spreed.me an.

Strafverfolgungsbehörden weltweit nutzen die Forensiksoftware Encase. Doch einige Sicherheitslücken in der Software können zu einem Absturz der Software führen - oder sogar zur Codeausführung missbraucht werden.
Von Hauke Gierow

Obwohl die Zwei-Faktor-Authentifizierung einer der wirksamsten Wege ist, einen Account abzusichern, schrecken nach wie vor viele Nutzer davor zurück. Wir erklären die wichtigsten Fakten.
Von Hauke Gierow

Das Magazin Motherboard hatte über einen angeblichen Leak von Daten der Pornoseite Xhamster berichtet. Das Unternehmen widerspricht - und bezeichnet die Datenbank als "Fake-Leak".

Kriminelle nutzen offenbar übernommene Mailchimp-Accounts, um Malware zu verbreiten. Das geschieht vor allem über Mails mit angeblichen Rechnungen. Alle 2.000 betroffenen Accounts wurden vorläufig stillgelegt.

US-Behörden haben in Prag einen Mann festnehmen lassen, der hinter dem LinkedIn-Hack stecken soll. Auch Russland will, dass der Mann ausgeliefert wird - wegen eines deutlich geringeren Vergehens.

Droht die Netzwerkapokalypse, sobald ein unsicheres IoT-Gerät im Heimnetzwerk angeschlossen wurde? Der Sicherheitsforscher Rob Graham hat es ausprobiert - und sich innerhalb von 98 Sekunden die erste Infektion abgeholt.

Die Doppelverwendung von Passwörtern bezeichnet der Sicherheitschef von Facebook als "größte Gefahr für Schaden im Internet". Aus diesem Grund hat das Unternehmen begonnen, im Darknet gehackte Passwörter zu kaufen.

Nach dem Ashley-Madison-Hack gibt es einen weiteren großen Einbruch in ein Datingnetzwerk. Angreifer veröffentlichten 412 Millionen Accountdaten des Webseitennetzwerkes rund um Adult Friend Finder.

Mit mindestens einer halben Milliarde entwendeter Datensätze war der Hackerangriff auf Yahoo bereits besonders schwer. Doch alles könnte noch schlimmer gewesen sein: Möglicherweise konnten die Angreifer danach auch ohne Passwort an die Daten einzelner User herankommen.

Trotz jahrelanger Beschwerden vieler Nutzer verschlüsselt der beliebte FTP-Client Filezilla die gespeicherten Passwörter nicht. Ein privater Fork des Projekts bietet jedoch die Möglichkeit. Noch ist unklar, ob und wie sich die Funktion durchsetzt.

Schnellere Reaktionszeiten, schnellere Datenübertragung und die Fernwartung von Smartphone zu Smartphone: Die Fernwartungssoftware Teamviewer 12 ist ab heute als Betaversion erhältlich.

Der Browserverlauf von deutschen Nutzern wird offenbar von Addon-Anbietern vermarktet. Die Daten hätten sich leicht deanonymisieren lassen, berichtet das ARD-Magazin Panorama. Die Erweiterung Web of Trust wurde mit einem simplen Trick überführt.

Die Hersteller vernetzter Geräte für das IoT sollen nach Ansicht des BSI höhere Sicherheitsstandards einhalten. Bei der Entwicklung dürfe nicht nur auf den Preis geachtet werden.

Die Veröffentlichungen von Wikileaks bringen die US-Politik in Schwierigkeiten. Die Hacks machen deutlich, welche Gefahren durch die Nutzung populärer E-Mail-Dienste wie Gmail entstehen.

Knapp drei Monate nach dem Inkrafttreten des neuen Telemediengesetzes zum Schutz der Hotspot-Anbieter vor Abmahn-Anwälten sieht das Bundeswirtschaftsministerium Bedarf für Nachbesserungen.

Der Truecrypt-Fork Veracrypt wurde einem Security-Audit unterzogen. Dabei zeigten sich eine ganze Reihe von Sicherheitslücken in der Verschlüsselungssoftware. Beispielsweise eine uralte zlib-Version von 1998 und eine fehlerhafte Verwendung eines russischen Verschlüsselungsalgorithmus.

Yahoo dürfte wegen des verheimlichten Hacks weniger von Verizon bekommen. Doch über den Angriff war in den Medien berichtet worden.

Ein Sicherheitsforscher hat alle Hashes aus dem Dropbox-Hack des Jahres 2012 veröffentlicht - zu Recherchezwecken, wie er sagt. Etwa die Hälfte davon ist angreifbar.

Das IoT-DDoS-Botnetz Mirai sorgt derzeit für die größten bekannten DDoS-Angriffe mit einer Kapazität von mehr als 1 Tbit/s. Der Sicherheitsforscher Brian Krebs hat analysiert, wer die unsicheren Geräte herstellt.