Kurzfassung: Wenn Sie für Ihr E-Mail-Postfach und für das Kunden-Menü dasselbe Passwort verwenden, reicht ein einziges abgegriffenes Passwort aus, damit Fremde in Ihrem Namen Bestellungen auslösen, Spam versenden und Kosten zu Ihren Lasten verursachen können. Vergeben Sie für beides unterschiedliche Passwörter - das dauert zwei Minuten und verhindert genau diesen Schaden.
Worum geht es?
Sie haben beim Einloggen ins Kunden-Menü oder beim Setzen eines Passworts einen Warnhinweis oder eine Fehlermeldung gesehen, weil das Passwort für Ihr Kunden-Menü und das Passwort für eine E-Mail-Adresse (Ihr Postfach) identisch sind.
Das ist kein theoretisches Risiko. Es gibt immer wieder laufende Angriffe, bei denen gezielt E-Mail-Postfach-Passwörter von Kunden abgegriffen werden - über gefälschte Anmeldeseiten, die täuschend echt aussehen. Wenn Postfach und Kunden-Menü dasselbe Passwort haben, öffnet ein einziger erfolgreicher Phishing-Versuch beide Türen auf einmal.
Warum ist das so gefährlich?
Ihr E-Mail-Passwort und Ihr Kunden-Menü-Passwort schützen zwei völlig unterschiedliche Dinge:
- das Postfach-Passwort ist dafür da, E-Mails abzurufen und zu versenden.
- das Kunden-Menü-Passwort schützt Ihren Vertrags- und Verwaltungsbereich - also den Ort, an dem kostenpflichtige und/oder juristisch relevante Aktionen ausgelöst werden können.
Postfach-Zugangsdaten geraten in der Praxis deutlich häufiger in falsche Hände als Verwaltungszugänge: Sie werden in vielen E-Mail-Programmen und auf mehreren Geräten gespeichert, unterwegs eingegeben und sind das bevorzugte Ziel von Phishing-Kampagnen.
Wenn beide Passwörter identisch sind, gilt: Wer Ihr Postfach-Passwort erbeutet, hat damit automatisch auch Ihren Verwaltungszugang. Der gefährlichere Zugang erbt das Risiko des häufiger angegriffenen.
Was Angreifer mit einem identischen Passwort konkret tun können
- über ein abgegriffenes E-Mail-Passwort in das Kunden-Menü gelangen und dort in Ihrem Namen Bestellungen auslösen.
- über ein abgegriffenes Kunden-Menü-Passwort Ihre Dienste missbrauchen und in Ihrem Namen Spam versenden.
In beiden Fällen trifft der finanzielle und teilweise erhebliche Schaden ausschließlich Sie - etwaige strafrechtliche Konsequenzen noch nicht eingerechnet.
Was Sie jetzt tun sollten
Vergeben Sie für eines der beiden Zugänge ein neues, anderes Passwort, sodass die beiden nicht mehr übereinstimmen. Es genügt, eines der beiden zu ändern - ändern Sie aber bitte nicht beide auf denselben neuen Wert, dann besteht das Problem fort.
- Passwort für das Kunden-Menü ändern: im Bereich „Passwort ändern“ für den Zugang zu diesem Kunden-Menü.
- oder Passwort für die E-Mail-Adresse ändern: im zugehörigen Webhosting-Paket bei der entsprechenden E-Mail-Adresse.
Die Links zu beiden Stellen finden Sie direkt evtl. direkt im Warnhinweis oder der Fehlermeldung im Kunden-Menü.
Was ein gutes Passwort ausmacht
- Für jeden Zugang ein eigenes Passwort - nicht nur hier, sondern grundsätzlich. Kein Passwort sollte für mehrere Dienste gleichzeitig gelten.
- Lang statt kompliziert: Eine lange Passphrase aus mehreren zufälligen Wörtern ist sicherer und leichter zu merken als ein kurzes Wirrwarr aus Sonderzeichen.
- Ein Passwort-Manager nimmt Ihnen das Merken ab und macht es problemlos, für jeden Dienst ein eigenes, starkes Passwort zu nutzen.
- Wenn Sie eines der Passwörter schon einmal auf einer Anmeldeseite eingegeben haben, bei der Sie sich im Nachhinein unsicher sind, behandeln Sie es als kompromittiert und ändern Sie es umgehend.
Wichtig: Was diese Maßnahme leistet - und was nicht
Damit Sie sich nicht in falscher Sicherheit wiegen:
Unterschiedliche Passwörter schützen Ihren Verwaltungs- und Vertragsbereich. Sie verhindern, dass ein abgegriffenes Postfach-Passwort automatisch auch das Kunden-Menü öffnet - also genau den Bereich, in dem die kostenpflichtigen Schäden entstehen. Das ist der wichtigste Einzelschritt, und deshalb bitten wir Sie ausdrücklich darum.
Sie ersetzen aber nicht die Wachsamkeit beim Postfach selbst. Wenn Ihr E-Mail-Passwort durch Phishing in falsche Hände gerät, kann ein Angreifer weiterhin auf die E-Mails in diesem Postfach zugreifen und in Ihrem Namen Nachrichten versenden - auch bei getrennten Passwörtern. Getrennte Passwörter begrenzen den Schaden, sie machen das Postfach-Passwort aber nicht ungefährlich, wenn es preisgegeben wird.
Deshalb gilt zusätzlich:
- Geben Sie Postfach-Zugangsdaten niemals auf einer Seite ein, zu der Sie über einen Link aus einer E-Mail gelangt sind. Rufen Sie Anmeldeseiten immer selbst über die bekannte Adresse oder ein Lesezeichen auf.
- Wir fragen Zugangsdaten niemals per E-Mail, Telefon etc. ab und fordern Sie nie auf, sie über einen zugesandten Link „zu bestätigen“.
- Prüfen Sie bei Anmeldeseiten genau die Adresse in der Adresszeile, bevor Sie ein Passwort eingeben.
Häufige Fragen
Ich nutze das identische Passwort schon lange und es ist nie etwas passiert. Muss ich wirklich etwas ändern? Ja. Dass bisher nichts passiert ist, bedeutet nicht, dass das Passwort sicher ist - nur, dass es noch nicht missbraucht wurde. Bei den Phishing-Angriffen kann sich das jederzeit ändern, und der Schaden entsteht dann sofort und zu Ihren Lasten.
Reicht es, ein einzelnes Zeichen oder eine Ziffer am Ende anzuhängen? Nein. Die beiden Passwörter müssen sich deutlich unterscheiden, nicht nur in einem angehängten Zeichen. Vergeben Sie für mindestens einen der beiden Zugänge ein eigenständiges, neues Passwort.
Welches der beiden soll ich ändern? Das ist Ihnen überlassen - wichtig ist nur, dass die beiden danach nicht mehr identisch sind. Wenn Sie unsicher sind, ändern Sie das Kunden-Menü-Passwort, da dieser Zugang die kostenpflichtigen Aktionen schützt.
Die Warnung wird mir weiterhin angezeigt - warum? Der Hinweis bleibt bis zum nächsten Aus- und Wieder-Einloggen bestehen. Loggen Sie sich nach der Änderung einmal aus und wieder ein. Erscheint die Warnung danach erneut, sind die beiden Passwörter weiterhin identisch - bitte ändern Sie dann eines davon tatsächlich auf einen anderen Wert.
Ich habe mein Passwort kürzlich auf einer Seite eingegeben und bin mir nicht sicher, ob sie echt war. Was nun? Behandeln Sie das Passwort als kompromittiert: Ändern Sie es umgehend - sowohl für das Postfach als auch überall sonst, wo Sie es verwendet haben - und kontrollieren Sie Ihr Postfach und Ihr Kunden-Menü auf Aktivitäten, die nicht von Ihnen stammen. Wenden Sie sich im Zweifel an unseren Support.