Niemand möchte, dass die Sicherheit seiner Online-Daten kompromittiert wird. Leider sind hochkarätige Datenlecks bei großen und vertrauenswürdigen Unternehmen keine Seltenheit. Diese Lecks können die Sicherheit Deiner Mailadressen, Passwörter und aller anderen Informationen gefährden, die Du möglicherweise in einem bestimmten Profil gespeichert hast. Einige Kunden haben ihr SuperSaaS-Konto vor Jahren erstellt und verwenden auf SuperSaaS immer noch dasselbe Passwort wie auf einer anderen Website. Es gibt zwei Wege, auf denen wir versuchen, uns gegen Hacker zu verteidigen, die versuchen, diese Listen zu nutzen, um Zugriff zu erhalten.
Für mehr Kontext erklären unsere Seiten zu Datenschutz und DSGVO auch, wie wir diese Themen im weiteren Sinne betrachten.
Wir verhindern hohe Passwort-Eingaberaten, aber das schützt nicht vollständig
Zunächst haben wir ein System eingerichtet, das erkennt, wenn jemand eine große Anzahl von Passwörtern auf einmal ausprobiert. Diese IP Adressen werden automatisch blockiert, und unsere Überwachungssoftware alarmiert uns. Diese Art der Überwachung ist jedoch nicht vollständig wirksam, weil Hacker viele IP Adressen verwenden und von jeder davon einige Passwörter testen können.
Wir überprüfen Dein Passwort gegen eine Liste bekannter kompromittierter Passwörter
Als zweite Verteidigungslinie nehmen wir die Listen kompromittierter Konten, die online von Sicherheitsforschungsfirmen verfügbar sind, und prüfen, ob einer unserer Kunden darauf erscheint. Auf der Website have i been pwned? kannst Du prüfen, ob Dein Konto auf der Liste erscheint. Wenn wir ein passendes Passwort finden, prüfen wir, ob die zugehörige E-Mail-Adresse ebenfalls auf dieser Liste erscheint, und setzen das Passwort zurück, wenn beides zutrifft.
Wir können Dein Passwort überprüfen, ohne tatsächlich zu wissen, wie es lautet
Es ist wichtig zu beachten, dass wir Dein Passwort nicht an jemand anderen senden müssen, um diese Überprüfung durchzuführen; Dein Passwort verlässt tatsächlich niemals unsere Server. Stattdessen verwenden wir einen mathematischen Fingerabdruck Deines Passworts, einen sogenannten kryptografischer Hash, und prüfen, ob dieser Hash auf der Liste erscheint. Die Fingerabdrücke werden sicher in einer separaten Liste aufbewahrt, die unser Büro nicht verlässt; obwohl diese mathematischen Fingerabdrücke für sich genommen harmlos sind, kannst Du nicht wieder in ein Passwort zurückverwandelt werden. Auf diese Weise muss niemand direkt mit den tatsächlichen Passwörtern umgehen, und wir wissen nicht einmal, welches Passwort Du verwendet hast, wenn wir einen Treffer auf der Liste finden. Wir würden lediglich wissen, dass es auf einer Liste kompromittierter Passwörter steht und dass es eine gute Idee wäre, es zurückzusetzen.
Wir setzen die Passwörter zurück, die wir auf der Liste finden
Wenn der Hash Deines Passworts tatsächlich auf der Liste gehashter Passwörter gefunden wird, löschen wir Dein Passwort vorsorglich. Beim nächsten Login-Versuch wirst Du zum Bildschirm „Passwort vergessen“ weitergeleitet, damit Du Dir selbst einen Link zum Zurücksetzen des Passworts per E-Mail senden kannst.
Um es klar zu sagen: Das bedeutet nicht, dass Dein Konto kompromittiert wurde. Es bedeutet nur, dass wir Dein Passwort vorsorglich zurückgesetzt haben, um zu verhindern, dass es in Zukunft kompromittiert wird. Wir finden, dass die kleine Unannehmlichkeit eines gelöschten Passworts den großen Ärger eines kompromittierten Kontos bei Weitem überwiegt. Natürlich kannst Du Dich gerne an uns wenden, wenn Du Fragen zu diesem Prozess hast.
Dieser Prüfprozess wird in regelmäßigen Abständen wiederholt, zum Beispiel wenn ein weiteres großes Datenleck auftritt und neue Listen online erscheinen. Wir sprechen selten über unsere Sicherheit, denn solange wir unsere Arbeit machen, sollte es wenig zu kommunizieren geben. Dies ist einer der wenigen sichtbaren Wege, mit denen wir versuchen, Dir bei der Nutzung von SuperSaaS ein sicheres Erlebnis zu bieten. Sei versichert, dass wir als Team jeden Tag hinter den Kulissen hart an der Cybersicherheit arbeiten.
Ursprünglich im Februar 2019 veröffentlicht.