Telekom Login wurde wegen Passwortfehleingaben für 24 Stunden gesperrt

[#1]

Hallo zusammen,

eig habe ich keine Fragen, jedoch ist das Vorgehen von T-Online NICHT das richtige Vorgehen, so meine Meinung.

Warum möchte ich kurz erklären.

Klar muss es ein Schutzmechanismus geben um Anmeldeversuche zu beschänken. Den Benutzer (Benutzername) zu sperren ist der falsche Ansatz. Klar werden evtl. Hacker usw. ausgesperrt, aber eben auch die Mail-Inhaber. Der Support gibt mir Recht, bezieht sich jedoch auf die Sicherheit. Aber was ist das für eine Sichertheit und wer hat etwas davon? Ich sehe die Sicherheit weitestgehend auf t-online Seite. Der Mail-Inhaber hat wenig davon, denn dieser wird, wie schon geschrieben, dann auch ausgesperrt. Er kann zwar das Passwort geändern werden, aber Zugang erhält er dennoch nicht. 

Folgendes Szenario

Ein 3 Zeiler Script reicht aus um mit "accounts.login.idm.telekom.com...." eine Verbindung aufbauen zu können. Da der Benutzername ja bekanntlich die Addy ist wird es noch leichter. Dieses Script wird nun auf ein Server, Cloud oder was auch immer gelegt, dann noch ein Cronjob eingerichtet. Der Cron startet das Script alle 24 Stunden und der Mail-Inhaber bekommt nie wieder Zugriff auf sein Acc.

Auch hier hat mir der Support Recht gegeben. Nur die Aussage das man damit leben müsse, weil das System es so vorgesehen hat, halte ich für sehr bedenklich.

Fingerprint oder IP Sperre wäre eine Möglichkeit. 2FA bietet noch viele andere Möglichkeiten, als die hier eingesetzte Möglichkeit. Hier greift sie erst nach Eingabe von Benutzernamen und Passwort. Auch diese Methode bringt nicht viel, wenn der Benutzername bei Fehleingabe vom Passwort gesperrt wird.

Beste Grüße

[#2]

@s.koepke Genau so passiert Dir das auch bei GMX. Nur dass Du dann ggf. mal 'ne Perso-Kopie vorbeischicken musst, wenn die Ersatzlösungen nicht greifen.
Ein Kontakt mit dem Abuse-Team und schon ist das Problem beseitigt.

Es hilft auch, ein Mailprogramm zu nutzen !

[#3]

@wolliballa

Auf ein Mailprogramm wollte ich nicht weiter eingehen. Da besteht unter Umständen ein weit größeres Problem. Da die Sperre nicht ext. Mailprogramme betrifft, ist es möglich den Mail-Inhaber auszusperren und dennoch Zugang zu erlangen. Ich habe "externe" benutzt, da auch mit der Telekom Mail App kein Zugriff, bei einer Sperre, möglich ist.

[#4]

---

@wolliballa  schrieb:

@s.koepke 

Es hilft auch, ein Mailprogramm zu nutzen !

---

Echt? Man kann doch mit der gleichen Methode Anmeldeversuche am Mailserver durchführen. Das passiert tatsächlich und sehe ich auf einem Mailserver, der auch die Postfächer enthält, jeden Tag hundertfach im auth.log. Typisch ist der Versuch eine Anmeldung mit der Mailadresse oder einem daraus abgeleiteten Namen und dem Passwort „password“ zu versuchen. Schlägt dann der Mechanismus der automatischen  Sperre nicht zu? 

[#5]

Nein schlägt nicht zu bei ext. Mailprogrammen.

[#6]

@s.koepke  schrieb:

Fingerprint

Lässt sich umgehen

@s.koepke  schrieb:

IP Sperre

Lässt sich umgehen

[#7]

Klar doch, aber Aufwand und Nutzen. Dazu ja noch die 2FA nicht vergessen.

Aber es geht ja eig darum, dass ein einfaches Script/Code ausreicht um Mail-Inhaber auszusperren mit geringsten Aufwand und der Support ist machtlos die Sperre aufzuheben.