Möglichkeit des Passwortmissbrauchs

[Marscel]

Ich hab so ein wenig Sorge darüber, wie Passwörter gespeichert werden könnten.

Angenommen, ein Admin betreibt ein Forum, statt die Prüfsumme der Passwörter der User in einer Datenbank zu speichern, speichert er diese unverschlüsselt (wird zum Herren der Passwörter). Nun ist unser Admin aber ein wenig böse gesinnt, liest die Passwörter von Usern aus und probiert sie an anderen Orten (Websites, Messenger... Erfahren durch etwa Userprofile) aus (gibt sie nicht weiter, keiner aus ihm kennt diese, ausgenommen der jeweilige User), denn sehr viele Leute, ich gehör auch ein wenig dazu, nutzen "Universal"-Passwörter.

Nun ist meine Frage, ist es, und wenn ja wie, strafbar, die Passwörter so zu speichern, dass derjenige, der Zugriff zur Datenbank hat, diese einfach auslesen kann oder gibt es da sowas wie eine "Hinweisplicht" oder Haftbarkeit?

Wirklich empfindliche Daten speicher ich mit anderen Passwörtern, aber wo ich überall das eine schon angegeben habe, könnte ich evtl. nicht mehr klar sagen, um alle möglichen Täter einzuschließen.

Ich hoffe aber mal, dass z.B. forum-3dcenter mein Passwort vertraulich behandelt und abspeichert. ;)

[DrumDub]

so weit ich informiert bin, kann niemand im 3dc-fourm die passwörter der user einsehen. sie können lediglich auf wunsch des users zurückgesetzt werden, falls dieser sein passwort vergessen hat.

für ein internetforum sollte man NIE ein passwort verwenden, das auch für internetbanking genutzt wird. wer so etwas tut, handelt grob fahrlässig! gleiches gilt auch, wenn man ein passwort in der form 12345 verwendet.

also immer unterschiedliche passwörter für unterschiedliche dinge verwenden. und gerade bei sensiblen daten besonders komplizierte und lange passwörter verwenden.

[Gast]

Ich hoffe aber mal, dass z.B. forum-3dcenter mein Passwort vertraulich behandelt und abspeichert. ;)
Die Software dürfte das hier in MD5 speichern, vermute ich.

Wie der Admin die Paßwörter speichert, dürfte eigentlich ihm selbst überlassen werden. Ich wüßte kein Gesetz, daß eine Verschlüsselung notwendig macht. Trotzdem darf er, selbst wenn er sie auslesen kann, nicht verwenden, das ist klar.

[Marscel]

Wer weiß, jeder mit ein wenig PHP Kenntniss und Zugriff kann dieses Forum dazu bringen, die Passwörter unverschlüsselt abzuspeichern/abzugleichen.

[Gast]

Wer weiß, jeder mit ein wenig PHP Kenntniss und Zugriff kann dieses Forum dazu bringen, die Passwörter unverschlüsselt abzuspeichern/abzugleichen.Das ist allerdings richtig.

Ein bißchen mitdenken, ob man diesen speziellen Forumsbetreibern vertrauen kann, sollte man halt schon. "Common Sense".

[HellHorse]

Wer weiß, jeder mit ein wenig PHP Kenntniss und Zugriff kann dieses Forum dazu bringen, die Passwörter unverschlüsselt abzuspeichern/abzugleichen.
Und das Passwort unverschlüsselt über's Netz zu übertragen ist völlig ok? Ja nee, is klar.

Zudem ist MD5 kein Verschlüsselung, sondern ein Hash, und erst noch ein unsicherer.
http://gdataonline.com/

[Gast]

Mir ist kein Gesetz bekannt, daß das Abspeichern von Paßwörtern im Klartext verbietet. Allenfalls wenn der Betreiber die Paßwörter so speichert, daß unberechtigte Dritte ohne besonderen Aufwand darauf zugreifen können, bekommt er ein Problem.
Im übrigen ist MD5 wie schon bemerkt keine Verschlüsselung und bietet insbesondere keinen Schutz vor dem Ausspähen von Paßwörtern. Als MD5-Hashsumme gespeicherte Paßwörter dienen nur dazu, nicht mal im Vorbeigehen die Paßwörter zu lesen. Ansonsten ist es aber eine Frage von Minuten mit Hilfe der MD5-Summe das Paßwort herauszufinden.