Zugriff auf Unternehmensdaten

[SGehle]

Aktuelle Infos: https://docs.google.com/document/d/1...Kp6Meg/preview

Folgende Mail erreichte heute Morgen alle Mittwald-Kunden:

seit Mittwoch, den 14.11.2018, besteht der Verdacht, dass möglicherweise auf Daten unseres Unternehmens zugegriffen wurde. Diesen Verdacht nehmen wir sehr ernst und arbeiten seither eng mit den zuständigen Polizeibehörden zusammen. Gemeinsam mit den Cybercrime-Experten der Polizei sowie externen Forensikern arbeiten wir derzeit intensiv an der Analyse des möglichen Sicherheitsvorfalls. Erste vorsorgliche Sicherheitsmaßnahmen wurden bereits ergriffen. Dazu gehört, dass wir das Kundencenter heute Morgen vorerst deaktiviert haben.

Beweise für einen erfolgreichen Zugriff auf Kundendaten durch Dritte liegen aktuell nicht vor. Die zuständige Datenschutzbehörde haben wir trotzdem fristgerecht über den möglichen Vorfall in Kenntnis gesetzt.

Die Ermittlungen der Polizeibehörden befinden sich noch in einem sehr frühen Stadium, weswegen diese bisher von einer öffentlichen Kommunikation abgeraten haben. Da die Sicherheit Ihrer Daten für uns aber höchste Priorität hat, möchten wir Sie dennoch vorsorglich informieren und um Ihre Mithilfe bitten.

Um einen möglichen Missbrauch Ihrer Passwörter zu verhindern, stellen wir im Laufe der kommenden Stunden eine spezielle Oberfläche zur Verfügung, über die eine schnelle Änderung aller Passwörter bequem möglich ist. Hierfür versenden wir in Kürze per E-Mail einen personalisierten Link inkl. individuellem Sicherheitscode an alle Kunden. Wir gehen derzeit davon aus, dass wir das Kundencenter im Laufe des Tages wieder online schalten werden.

Über weitere E-Mails sowie über ein eigens eingerichtetes Google Dokument versorgen wir Sie regelmäßig mit aktuellen Informationen. Unser Kundenservice steht bei Fragen unter der zusätzlich eingerichteten Rufnummer 05772 – 959 27 61 sowie per E-Mail unter support@mittwald.de persönlich zur Verfügung.

Wir sind uns bewusst, dass Ihnen durch den oben geschilderten Sachverhalt und die damit verbundenen Maßnahmen zusätzlicher Aufwand entsteht. Für diese Unannehmlichkeiten bitten wir Sie in aller Form um Entschuldigung!


Auf Twitter bittet der Support selbst alle Frontend- sowie Backend Passwörter zu ändern. Mit welchem technischen Hintergrund? Contao speichert doch FE- sowie BE-Passwörter niemals im Klartext.

[fiedsch]

Auf Twitter bittet der Support selbst alle Frontend- sowie Backend Passwörter zu ändern. Mit welchem technischen Hintergrund? Contao speichert doch FE- sowie BE-Passwörter niemals im Klartext.

Ich würde mal sagen, weil es best practice ist, in so einem Fall Passwörter sicherheitshalber zu änderu und sich nicht darauf zu verlassen, daß es nichts ausmachen sollte.

Wenn ein Angreifer an ein von Contao verschlüsseltes Passwort gelangt, hat er zwar noch nicht das Passwort, könnte aber offline probieren, es zu knacken ohne daß Du etwas davon mitbekommst oder (z.B.) Contao nach drei Fehlversuchen ein Konto sperren könnte.

[tab]

Zumal ja offenbar noch nicht mal klar ist, ob Daten kompromittiert wurden und falls ja, welche und auf welchem Weg.

[lucina]

Auf Twitter bittet der Support selbst alle Frontend- sowie Backend Passwörter zu ändern. Mit welchem technischen Hintergrund? Contao speichert doch FE- sowie BE-Passwörter niemals im Klartext.

Wenn ich Zugang zu Kundendaten habe kann ich mich möglicherweise beim Kundencenter des Providers anmelden. Wenn ich dass kann, dann kann ich auch Zugang zum Webspace erlangen. Wenn ich Zugang zum Webspace habe, dann kann ich machen was ich will - beispielsweise ohne Änderungen an den Credentials auf eine Datenbank zugreifen, Hintertüren einbauen, Trojaner in Templates inkludieren, whatever.

Man muss da wohl alles als möglicherweise kompromittiert betrachten.

[mittwald]

Hallo Zusammen,

das Ändern aller Passwörter ist als reine Vorsichtsmaßnahme zu verstehen, die wir allen Kunden dringend anraten.
Bisher gibt es KEINE Beweise, dass durch Dritte auf Kundendaten zugegriffen wurde.

Wir geben unser Bestes und arbeiten eng mit den zuständigen Behörden und Experten für IT-Sicherheit zusammen.
Der aktuellen Stand kann jederzeit in unserem Google Doc abgerufen werden, unter: https://mitt.link/sicherheitsinfo

Vielen Dank für euer Verständnis
Laura von Mittwald

[malle]

Das angekündigte Passwort-Tool ist verfügbar.
Jeder Vertragspartner erhält aber seinen eigenen Link. Für einen anderen Vertrag habe ich den Link noch nicht erhalten.

Man kann dort Schritt für Schritt die Account-Passwörter (Mittwald-Backend), FTP/ssh, Datenbank und E-Mail ändern. Bei den letzten beiden wird man darauf hingewiesen, dass besser nicht in einem Schwung zu machen. Klar, sonst ist die DB-Verbindung z.B. weg.

Dann fange ich mal an...

[mittwald]

Guten Morgen,

falls Kunden keine Mail bekommen haben, gibt es die Möglichkeit, sich mit Kundennummer und Mailadresse unter sicherheit@mittwald.de zu melden - wir schicken dann zeitnah die E-Mail erneut raus.
Falls du also bisher für den zweiten Vertrag noch keine Mail erhalten hast, nutz gerne die oben stehende Mail-Adresse @malle.

Danke für euer Verständnis!

Viele Grüße
Laura von Mittwald

[Alexandra]

Hallo,

wie alle Mittwald-Kunden habe ich auch eine E-Mail über den möglichen unbefugten Datenzugriff erhalten und wenige Stunden später dann eine E-Mail mit Link zum Ändern der Passwörter für meinen Account. Darin auch der Hinweis:
„Wir beziehen uns mit dieser E-Mail auf Ihre Kundennummer xxxxx. Diese beinhaltet nach unserem Kenntnisstand… (keine Kundennummern)“.
Ich betreue bei Mittwald aber mehrere Kunden. Das sagt schon viel darüber aus, welches Chaos bei Mittwald gerade herrscht.

Nur zwei dieser Kunden haben selbst eine E-Mail zum Zurücksetzen ihrer Passwörter erhalten. Ich als Betreuerin habe keinerlei E-Mails zum Zurücksetzen meiner betreuten Kunden erhalten - sondern nur für (m)einen Account. Und dass obwohl Mittwald mich explizit auffordert, die Passwörter meiner Kunden zu ändern.

Mittwald behauptet außerdem, dass sie den Zugang zu ihrem Kundencenter “vorsorglich” gesperrt haben. Trotzdem habe ich mit den alten Passwörtern (!) weiterhin direkten Zugriff auf alle meine Kunden-Accounts. Damit kann ein Unbefugter im Backend FTP-Zugänge, E-Mail-Accounts und Serversoftware manipulieren. Die angeblichen Sicherheitsmaßnahmen sind also völlig nutzlos.

Die in diversen E-Mails und vom Telefonsupport getätigten Aussagen und Informationen widersprechen sich ständig. Eine Info über den aktuellen Stand der Ermittlungen habe ich nicht mehr erhalten. Anscheinend muss ich mich selbst auf dem Laufenden halten.

Die Änderung der Passwörter:

• Mittwald Backend
• Contao Backend,
• ev. Contao Installation?
• ev. mySQL-Datenbank?
• E-Mail / E-Mail-Clients
• FTP / FTP-Clients

kostet natürlich auch sehr viel Zeit.

Wer soll diesen Aufwand tragen? Mittwald meint frech, dass das ja meine eigene Entscheidung sei…

Ein solches Desaster hinsichtlich Datenschutz und Kundenkommunikation habe ich bei einem Webhoster noch nicht erlebt. Ich bin werde mir einen neuen Webhoster suchen und Mittwald nicht mehr empfehlen.

Sorry, aber das musste ich loswerden.

Alex

[dtptiger]

Ein solches Desaster hinsichtlich Datenschutz und Kundenkommunikation habe ich bei einem Webhoster noch nicht erlebt ...

Geradzu Süß ;-) Verzeihung, "das habe ich noch nicht erlebt" bedeutet ja nur das Du Glück gehabt hast.
Ich erinnere an Yahoo, oder aktuell an Mariott. War die Telekom auch mal im Club?

Meine Denke war gerade anders rum.
Wenn ich ein Problem hätte einen Provider zu finden (wenn ich nicht meinen eigenen möglichst abgesicherten Rootserver hätte und Kumpls die sowas haben), dann wäre Mittwald jetzt in meiner engeren Wahl. Weil es eben jedem passieren kann. Doch nicht jeder Informiert sofort und so gut wie es geht.
Und genau das ist das Wichtige.

Mache Dir einfach klar, das so ein Desaster jedem, aber auch JEDEM der online Daten verwaltet passieren kann.
Das das keiner erwartet und das es keine, oder bestenfalls nur ungenügend erprobte Scenarien zur Kundenberuhigung gibt ist geradezu zwingend Logisch. Woher sollten denn die Mittel kommen? Es muss doch alle immer Billig sein.

Um vorzubeugen, ich bin weder verwand noch verschwägert mit dem Mittwald Damen und Herren, habe keine Aktien so es die gäbe und auch noch nie irgendwelche Kontakte mit jemandem von denen gesucht oder gehabt.

Keine Ahnung warum das texte
m2c
dtptiger

[PaddySD]

Na, na, na... persönlich werden, ist hier definitiv nicht angesagt, und auch nicht der Ton für eine Forenunterhaltung.

Egal, ob Du den Kommentar von dtptiger gut oder nicht findest, Du kannst Dir persönliche Beleidigungen und Anfeindung wie "alter Mann" sparen. Und ob derjenige betrunken war oder nicht, kannst Du auch getrost seiner Entscheidung überlassen.

Kurz gesagt, wenn jemand einen dummen Spruch abgibt, der aber noch im Rahmen ist, weil er nicht direkt persönlich angreift, dann ist es nicht Deine Aufgabe, dass richtig zu bewerten, dafür haben wir hier sehr nette Moderatoren.

Und mal unter uns: das ist nicht der Ton, den es gebietet, um hier weiterhin Hilfe zu erhalten. Man sollte immer an die Ignorier-Funktion denken. Und das sage ich, der nicht immer unbedingt der Freundlichste ist.

"Abe vom Gas, Spezi!"

[lucina]

Moderation: Und jetzt holen wir alle mal tief Luft, editieren die Postings, entfernen die Beleidigungen und freuen uns daran, keine Forensperre kassiert zu haben.

(was nicht ist kann ja noch werden)

[PaddySD]

@lucina
Danke, Du kannst die Meldung dann getrost ignorieren

Wir sind hier ja nicht im weissen Haus, da mag so ein Ton aktuell angesagt sein, ich wünsche ihn mir für mein Umfeld allerdings nicht!

[folkfreund]

@Alexandra: Dann solltest du dich mit deinen Formulierungen vielleicht auch etwas zurückhalten...

Edit: sorry, hatte eine halbe Stunde nicht aktualisiert...

[Alexandra]

Moderation: Und jetzt holen wir alle mal tief Luft, editieren die Postings, entfernen die Beleidigungen und freuen uns daran, keine Forensperre kassiert zu haben.

(was nicht ist kann ja noch werden)

Hallo Lucina,

dass Du als Frau bei einem Kommentar wie „ach süß“ keine Schnappatmung kriegst, liegt hoffenlich nur an Deinem langjährigen Umgang mit Nerds.

Forensperre? Oh jeh, bitte tu das nicht! Sonst nehm ich mir einen Strick und schmeiß mich hinter einen Zug.

[Alexandra]

… wenn jemand einen dummen Spruch abgibt, der aber noch im Rahmen ist, weil er nicht direkt persönlich angreift, dann ist es nicht Deine Aufgabe, dass richtig zu bewerten, dafür haben wir hier sehr nette Moderatoren. Und mal unter uns: das ist nicht der Ton, den es gebietet, um hier weiterhin Hilfe zu erhalten. Man sollte immer an die Ignorier-Funktion denken. Und das sage ich, der nicht immer unbedingt der Freundlichste ist.

"Abe vom Gas, Spezi!"

ja, PaddySD, du findest also auch, dass das ein „dummer Spruch“ von dtptiger war. Und ich möchte deshalb auch dumm darauf reagieren dürfen. Vielleicht auch zu harsch, vielleicht zu empfindlich. Aber hey, wir sind doch alles Spezis!

Übrigens: die Ignorier-Funktion habe ich auch schon versucht: man sieht trotzdem, wenn wer was gepostet hat. Ruhe stelle ich mir anders vor.

Viele Grüße an Dich, Spezi!

[Alexandra]

„Bitte entferne die Beleidigungen aus Deinem Posting.“
Siehe https://community.contao.org/de/show...l=1#post488803, gerne auch im Zusammenhang mit unseren Forenregeln.

Mit besten Grüssen
Carolina | Admina Contao-Community

Hallo “Admina” Carolina lucina,

mit einem arrogantem Spruch wie „Ach wie süß“ von dtptiger fühle ich mich “von oben herab” behandelt. Wenn solche Sprüche einer Frau gegenüber gemacht werden, dann schwingt da immer auch männliche Arroganz und Präpotenz mit. Das mag ich nicht und deshalb reagiere ich darauf entsprechend.

Mag sein, dass manchen Leuten diese Konnotation entgeht. Mag auch sein, dass ich die Forenregeln strapaziert habe. Aber hey, wir leben nicht mehr im Mittelalter! Und wer hat die Forenregeln überhaupt gemacht: „Alter Mann“ ist ebenso wenig eine Beleidigung wie „junges Mädchen“. Oder hat da jemand ein Problem? Deshalb werde ich meine Meinungsäußerung auch nicht entfernen.

Welches meiner Aussagen genau verurteilst Du überhaupt als Beleidigung!?

[PaddySD]

Also das ist sowas von unbayrisch und unmünchnerisch was Du hier machst. Bislang hatte ich Dir zu Gute gehalten, dass Du offensichtlich von der ganzen Sache hier (Mittwald) arg genervt bist, aber das Du dann auch noch weiter machst...

Schade ist, dass Du es offensichtlich nicht verstanden hast. Nicht die Tatsache Deines Ärgers ist der Stein des Anstosses, der Ton ist es.

Leider ist das, wie im echten Leben, Deiner Sache wenig dienlich. Wenn der Thread später mal gelesen wird, kann ich mir jetzt schon ausrechnen, wie ein Leser diesbezüglich reagieren wird. Er wird Deine persönlichen Angriffe als abwertend empfinden, und damit Deinen möglicherweise richtigen Standpunkit nicht mehr als das warnehmen, was er eigentlich sein sollte. Wohlgemerkt unabhängig von der Tatsache, ob der Kommentar von dtptiger abwertend gemeint war oder nicht. Dazu maße ich mir gar kein Urteil an. Ebenso wenig zu der Frage, ob man deshalb gleich so eine Aktion machen muss.

Ich weiss auf jeden Fall, wie sich meine Einschätzung zu Deinem Standpunkt aufgrund Deines Verhaltens schnell geändert hat. Vorneweg habe ich durchaus einen Punkt gesehen, jetzt kann ich die Art des Tones nicht gut heissen, und werde darüber gar nicht mehr diskutieren. Schade eigentlich, möglicherweise hätte ich Dir sogar zugestimmt...

--- Letzter Post von mir dazu ---

[xchs]

Hier nochmals für alle die Forenregeln zum Nachlesen: https://community.contao.org/de/faq....aq_basisregeln

Wähle bitte einen freundlichen Ton in deinen Beiträgen. Provokationen und Beleidigungen haben nichts im Forum verloren.

[mlweb]

Wenn solche Sprüche einer Frau gegenüber gemacht werden, dann schwingt da immer auch männliche Arroganz und Präpotenz mit. Das mag ich nicht und deshalb reagiere ich darauf entsprechend.

Mal von mir als Frau. Frauen sind mit ihrem Umgangston bzw. ihrer Ausdrucksweise gelegentlich nicht besser als ihre männlichen Kollegen. Du hast da gerade ein gutes Beispiel abgegeben.

Auf eine Äußerung adäquat reagieren oder beleidigend einen Rundumschlag machen sind für mich zwei Paar Schuhe.

Welches meiner Aussagen genau verurteilst Du überhaupt als Beleidigung!?

Schade, dass Du das nicht selbst merkst. Lies Dir einfach mit etwas Abstand noch einmal durch was Du geschrieben hast.

[Alexandra]

Mal von mir als Frau… .

Echt? Aber dann ganz viel!

[lucina]

Moderation & zur Info für alle Beteiligten: Nachdem dann hier Zensur- und Nazivorwürfe kamen habe ich eine Userin gesperrt. Ich bitte weiterhin darum, abqualifizierende Bemerkungen á la 'wie süss', die darauf zielen können, eine Benutzer*innengruppe herabzusetzen, zu entfernen und zukünftig zu unterlassen.

Ihr alle habt bei der Registrierung die Forenregeln zum wertschätzenden Umgang miteinander akzeptiert. Ich bitte darum, sich daran zu halten.

Für das Forenteam: Carolina