"Login mit unbekanntem Geraet" bei Paypal

[Christoph Schneegans]

Hallo allerseits!

Bei meinem letzten Login auf www.paypal.com habe ich nach der
Kennworteingabe folgenden Hinweis erhalten:

Login mit unbekanntem Gerät
In der Nähe von Council Bluffs, US
24.12.16, 19:27

Dazu noch der Hinweis, ich möge auf verdächtige Transaktionen achten
und mich ggf. mit der Hotline in Verbindung setzen.

Anschließend _mußte_ ich mein Kennwort ändern. Zwei-Faktor-
Authentifizierung (also per SMS-Code aufs Handy) hatte ich schon vor
einiger Zeit aktiviert.

Ich hielt mich zu besagtem Termin nicht in den USA auf.

Das alte Kennwort war 20 Zeichen lang und von KeePass aus dem
Alphabet [A-Za-z0-9] gewürfelt. Ich kann mir auch nicht vorstellen,
daß meine KeePass-Datenbank kompromittiert wurde.

Die Meldung von PayPal erscheint mir ziemlich vage. Leider finde auf
deren Website auch keine weiterführenden Erklärungen. Bedeutet die
Meldung, daß sich tatsächlich jemand mit meinem Account anmelden
konnte, trotz starken Kennworts und Zwei-Faktor-Authentifizierung?

Was würdet ihr nun an meiner Stelle tun?

--
<http://schneegans.de/computer/safer/> · SAFER mit Windows

[Thomas Dreher]

Christoph Schneegans <Chri...@Schneegans.de> schrieb:

> Hallo allerseits!
>
> Bei meinem letzten Login auf www.paypal.com habe ich nach der
> Kennworteingabe folgenden Hinweis erhalten:
>
> Login mit unbekanntem Gerät
> In der Nähe von Council Bluffs, US
> 24.12.16, 19:27

Warst du eventuell über einen Proxy auf der paypal Seite? TOR oder
ähnliches?


Gruß

Thomas

[Juergen P. Meier]

Christoph Schneegans <Chri...@Schneegans.de>:

> Das alte Kennwort war 20 Zeichen lang und von KeePass aus dem
> Alphabet [A-Za-z0-9] gewürfelt. Ich kann mir auch nicht vorstellen,
> daß meine KeePass-Datenbank kompromittiert wurde.

Das Kennwort wird /aussschliesslich/ fuer Paypal verwendet?

Loggst du dich /ausschliesslich/ in einer separaten Browsersession
ohne iFrame und nicht durch dritte Websites augeloest bei paypal ein
(sprich: oeffnest du ein eigenes Browserfenster und tippst selbst
"www.paypal.com" in die URL ein?

Nutzt du einen anderen Browser als Google Chrome dafuer?

Verwendest du Paypal (bzw. eBay) auch in fremden Netzen (Wifi
Hotspots, Hotel/Flughafenlobbies, Firmennetzen etc.)?

> Die Meldung von PayPal erscheint mir ziemlich vage. Leider finde auf
> deren Website auch keine weiterführenden Erklärungen. Bedeutet die

Ach.

> Meldung, daß sich tatsächlich jemand mit meinem Account anmelden
> konnte, trotz starken Kennworts und Zwei-Faktor-Authentifizierung?

So scheint es wohl.

> Was würdet ihr nun an meiner Stelle tun?

Paypal keine grossen Geldbetraege anvertrauen. Das war einfach.

Genauer:
Zahlungseingaenge sofort von Paypal abziehen, fuer Bezahlvorganege
zeitnah und passend Auffuellen, auf keinen Fall Einzug vom Bankkonto
erteilen etc.pp.
Bei groesseren Geldmengen einen serioesen Finanzdienstleister nutzen.

Paypal ist keine Bank, auch wenn sie gerne mit einer (ansonsten
wertlosen) luxemburgischen Lizenz wedeln.

Wenn PayPal dein Geld verschlampt/beschlagnahmt/verlustiert, dann
guckst du in eine lange, dunkle Roehre und hast keinerlei wirksame
Handhabe um auch nur einen Cent jemals wider zu bekommen.

Du waerst bei weitem nicht der Erste oder Einzige, dem das passiert.

[Ulrich Maier]

Am 09.01.2017 um 10:33 schrieb Juergen P. Meier:

> auf keinen Fall Einzug vom Bankkonto erteilen etc.pp.

Anders herum: NUR Banklastschrift nutzen, keine KK etc.

Lastschriften können jederzeit (innerhalb der Fristen)
ohne Angabe von Gründen storniert werden.

Ulrich

[Ulrich Maier]

Am 09.01.2017 um 12:25 schrieb Ulrich Maier:

> Am 09.01.2017 um 10:33 schrieb Juergen P. Meier:
>
>> auf keinen Fall Einzug vom Bankkonto erteilen etc.pp.
>
> Anders herum: NUR Banklastschrift nutzen, keine KK etc.

Ich vergaß: Oder Giropay.

[Christoph Schneegans]

Thomas Dreher schrieb:

> Christoph Schneegans <Chri...@Schneegans.de> schrieb:

>
>> Bei meinem letzten Login auf www.paypal.com habe ich nach der
>> Kennworteingabe folgenden Hinweis erhalten:
>>
>> Login mit unbekanntem Gerät
>> In der Nähe von Council Bluffs, US
>> 24.12.16, 19:27
>
> Warst du eventuell über einen Proxy auf der paypal Seite? TOR oder
> ähnliches?

Das Rätsel war dann noch ganz schnell gelöst:

Ich war über die Feiertage zu den Besuch bei den Eltern. Auf deren
Computer hatte ich die Paypal-Website aufgerufen. Die 'History'-
Datei von Chrome zeigt genau zur o.g. Zeit einen Aufruf von
'https://www.paypal.com/de/home'.

Fragt sich also nur noch, warum Paypal einen T-Online-Zugang in Iowa
verortet. "Unbekannt" war das Gerät auch nicht, denn im Logfile
finden sich auch ältere Zugriffe von mir auf Paypals Website.

Vor allem aber verstehe ich Paypals Eskalation nicht: Der später als
verdächtig eingestufte Login erlaubte mir ja vollen Zugriff (ich
habe auch tatsächlich Geld überwiesen), und es gab keine Alarm-E-
Mail oder -SMS. Stattdessen schlägt Paypal zwei Wochen später Alarm,
als ich mich wieder auf meinem eigenen Computer angemeldet habe?!

[Andreas Kohlbach]

On Mon, 09 Jan 2017 09:33:10 +0000 (UTC), Juergen P. Meier wrote:
>
> Paypal keine grossen Geldbetraege anvertrauen. Das war einfach.
>
> Genauer:
> Zahlungseingaenge sofort von Paypal abziehen, fuer Bezahlvorganege
> zeitnah und passend Auffuellen, auf keinen Fall Einzug vom Bankkonto
> erteilen etc.pp.

Geht das per Überweisung?

Eventuell kann man das Limit, was sie vom Bankkonto einziehen wollen,
auch runter setzen.
--
Andreas
You know you are a redneck if
going to the bathroom in the middle of the night involves putting on
shoes and a jacket and grabbing a flashlight.

[Juergen P. Meier]

Andreas Kohlbach <a...@spamfence.net>:

> On Mon, 9 Jan 2017 22:12:59 +0100, Christoph Schneegans wrote:
>>
>> Fragt sich also nur noch, warum Paypal einen T-Online-Zugang in Iowa
>> verortet. "Unbekannt" war das Gerät auch nicht, denn im Logfile

Vielleicht weil der PC deiner Eltern mit Schadsoftware infiziert ist,
der alle Webrequests umleitet?

>> finden sich auch ältere Zugriffe von mir auf Paypals Website.
>

> Die Routen heute, wo sie lustig sind. Ich bin nicht in den USA, aber als
> ich neulich bei einem Burger King eingeloggt war vom Smartphone aus (und
> somit der verbundene Google Account automatisch nach Updates für Apps
> schaute), kam eine Mail, ich hätte mich von irgendwo in Kalifornien
> eingeloggt. Ich war auch erst überrascht. Als ich das nächste mal bei
> diesem BK war, habe ich mal <http://www.showmyip.com/> aufgerufen. War
> tatsächlich Kalifornien.

Das WLAN in Burgerking Fillialen wird von der Anacapa Holdings Ltd.
betrieben, einer Firma mit Sitz in Dublin.

Da hat evtl jemand deine Browser-Session uebernommen und dich ueber
einen Proxy in Iowa geleitet.

>> Vor allem aber verstehe ich Paypals Eskalation nicht: Der später als

Was ist daran nicht zu verstehen? Paypal hat erst mal kein vorrangiges
Interesse daran, dich vor Misbrauch zu schuetzen: sie verdienen an
jeder Transaktion.

>> verdächtig eingestufte Login erlaubte mir ja vollen Zugriff (ich
>> habe auch tatsächlich Geld überwiesen), und es gab keine Alarm-E-
>> Mail oder -SMS. Stattdessen schlägt Paypal zwei Wochen später Alarm,
>> als ich mich wieder auf meinem eigenen Computer angemeldet habe?!

Das ergibt sich aus den Pflichten die Paypal aus der Gesetzgebung
in den USA seit 2014 entstehen (Tranapacenty Act).

> Das ist schlecht. Gar doppelt schlecht, weil man so ggf. Geld verloren
> hat, und später nicht mal an seinen Account mehr ran kommt, wenn doch
> alles in Ordnung gewesen wäre.

Again: Es geht hier nicht um den SChutz eines einzelnen Kunden.

> [Google nervt auch]
>
> Was mich auch nervt ist dass Googlemail bin jedem Einloggen in den
> Account, wenn ich das alle paar Tage mache, meint, es sei ein unbekannter
> Login. ("Your Google Account was just used to sign in from
> ... Linux"). Obwohl der Browser immer der selbe war, und auch der
> Provider. Auch wenn sich die IP ändert. Seltsam, dass sonst kaum jemand
> davon berichtet, dass das so penetrant ist, wie bei mir.

Bequemlichkeit Sicherheit
|---------------------------X-----------------------------------------|

HTH,
Juergen
--
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems. (Bruce Schneier)

[Thomas Dreher]

Christoph Schneegans <Chri...@Schneegans.de> schrieb:

> Thomas Dreher schrieb:
>
>> Christoph Schneegans <Chri...@Schneegans.de> schrieb:
>>
>>> Bei meinem letzten Login auf www.paypal.com habe ich nach der
>>> Kennworteingabe folgenden Hinweis erhalten:
>>>
>>> Login mit unbekanntem Gerät
>>> In der Nähe von Council Bluffs, US
>>> 24.12.16, 19:27
>>
>> Warst du eventuell über einen Proxy auf der paypal Seite? TOR oder
>> ähnliches?
>
> Das Rätsel war dann noch ganz schnell gelöst:
>
> Ich war über die Feiertage zu den Besuch bei den Eltern. Auf deren
> Computer hatte ich die Paypal-Website aufgerufen. Die 'History'-
> Datei von Chrome zeigt genau zur o.g. Zeit einen Aufruf von
> 'https://www.paypal.com/de/home'.

Genau sowas kann dir da schnell mal das Genick brechen. Auf sensible
Seiten würde ich nur mit einem meiner Geräte zugreifen wollen. Was, wenn
da ein Schädling mitlogt? Ein PP-Passwort ist wertvoll.


Gruß

Thomas

[Thomas Dreher]

Andreas Kohlbach <a...@spamfence.net> schrieb:

> Was mich auch nervt ist dass Googlemail bin jedem Einloggen in den
> Account, wenn ich das alle paar Tage mache, meint, es sei ein unbekannter
> Login. ("Your Google Account was just used to sign in from
> ... Linux"). Obwohl der Browser immer der selbe war, und auch der
> Provider. Auch wenn sich die IP ändert. Seltsam, dass sonst kaum jemand
> davon berichtet, dass das so penetrant ist, wie bei mir.

Auf dem NB benutze ich in der Regel TOR. Je nach Exit Node jammert mir
Google da auch die Ohren voll. Damit muss man wohl leben.


Gruß

Thomas

[Christoph Schneegans]

Thomas Dreher schrieb:

> Christoph Schneegans <Chri...@Schneegans.de> schrieb:
>

>> Ich war über die Feiertage zu den Besuch bei den Eltern. Auf deren
>> Computer hatte ich die Paypal-Website aufgerufen.
>

> Genau sowas kann dir da schnell mal das Genick brechen. Auf sensible
> Seiten würde ich nur mit einem meiner Geräte zugreifen wollen.

Der fragliche Rechner ist praktisch meiner – ich habe ihn eingerichtet
(u.a. gemäß Signatur), und nur ich habe Administratorrechte.

[Thomas Dreher]

Christoph Schneegans <Chri...@Schneegans.de> schrieb:

> Thomas Dreher schrieb:
>
>> Christoph Schneegans <Chri...@Schneegans.de> schrieb:
>>
>>> Ich war über die Feiertage zu den Besuch bei den Eltern. Auf deren
>>> Computer hatte ich die Paypal-Website aufgerufen.
>>
>> Genau sowas kann dir da schnell mal das Genick brechen. Auf sensible
>> Seiten würde ich nur mit einem meiner Geräte zugreifen wollen.
>
> Der fragliche Rechner ist praktisch meiner – ich habe ihn eingerichtet
> (u.a. gemäß Signatur), und nur ich habe Administratorrechte.

Das mag ja sein. Ich würde jetzt dann aber zumindest herausfinden wollen,
warum die Kiste plötzlich über Narnia connected. Da ist imho was faul.


Gruß

Thomas

[Juergen Ilse]

Hallo,

Christoph Schneegans <Chri...@schneegans.de> wrote:
> Fragt sich also nur noch, warum Paypal einen T-Online-Zugang in Iowa
> verortet.

GeoIP Dienste sind nichts weiter als 8mehr oder weniger) qualifiziertes raten
und koennen durchaus mal bis zu 20.000 km daneben liegen ...

Tschuess,
Juergen Ilse (jue...@usenet-verwaltung.de)

[Andreas Kohlbach]

Mir fällt gerade auf, dass ich zwar Google wegen früherem Jammern bei meinem
Ad-Proxy in den Ausnahmen habe. Sie aber ggf. andere URLs haben, die der
Ad-Proxy filtert, und deswegen der Hinweis kommt.

> Damit muss man wohl leben.

Man sollte das im Webinterface abstellen können. Wenn das bei mir auch
nicht funktioniert.

--
Andreas
You know you are a redneck if

you know of at least six different ways to bend the bill of a baseball hat.

[Juergen P. Meier]

Andreas Kohlbach <a...@spamfence.net>:
>
> In Deutschland vielleicht. In Kanada geht das über USA.

Da der OP nicht erwaehnte, in welchem Land der Burgerking war, er auf
Deutsch in einem Deutschen Forum mit deutscher Absenderadresse postet,
gehe ich hier mal ganz einfach davon aus, dass er nicht in Kanada in
einem Burgerking sass. Oder hast du andere Informationen ueber den OP?

> Wie auch immer wo du für Deutschland dann Irland erwähnst, scheint das
> bei BK normal zu sein, egal in welchem Land man ist. Und die
> Sicherheitsfuzis von Google und Co. werden nach jedem BK-Besuch aufschreien.

Das reine Umleiten von Requests stoert Google kaum. Deren idiotisches
Geo-Profiling nutzt andere Algorithmen als man sich das aus
Vernuenftigen Ueberlegungen ableiten koennte. Mit regelmaessig
falschen Ergebnissen.

Aber Paypal wird anders als Google die Geodaten einer IP-Adresse aus den
Ueblichen Quellen ziehen, und die sind (insb. auch "dank" weltweiter
Regulierungsbemuehungen) mittlerweile recht genau.

>>> Das ist schlecht. Gar doppelt schlecht, weil man so ggf. Geld verloren
>>> hat, und später nicht mal an seinen Account mehr ran kommt, wenn doch
>>> alles in Ordnung gewesen wäre.
>>
>> Again: Es geht hier nicht um den SChutz eines einzelnen Kunden.
>

> Natürlich nicht. Aber es ist für den Kunden trotzdem schlecht.

Ach.

>>
>> Bequemlichkeit Sicherheit
>> |---------------------------X-----------------------------------------|
>
> Ich mache hier "normal": selbe (zwei) Browser, selber ISP, wenn auch
> andere IP bei fast jedem Einloggen. Wenn bei *jedem* Einloggen dieser
> Sicherheitshinweis kommt, kann etwas nicht stimmen. Ggf. liegt das
> Problem aber doch bei mir, und zwei Browser im Wechsel zu nutzen ist
> böse.

Hast du Privacy-Plugins installiert? Solange du Google erlaubst die
diversen Tracking-Cookies in beiden Browsern permanent zu speichern,
interresiert sich Google nicht (natuerlich wird der Datenpunkt auch
mit in deine ganzen Profilkorrelation aufgenommen, aber nicht als
Sicherheitsmerkmal) wieviele Browser du verwendest.

Wenn es nicht an dir und deinem PC liegt, dann kann es auch einfach
sein, dass die IP-Range deines ISP eine besonders schlechte Reputation
(in Augen von Google) hat. DAs passiert z.B. dann, wenn Google viele
Angriffe auf seine Infrastruktur von einzelnen Hosts (Botnetzombies)
aus diesem IP-Range bemerkt.

> Auch wenn ich es abstelle, und man verspricht, nach 14 Tagen keine
> Hinweise mehr zu schicken, kommen sie weiter.

Wende dich doch einfach mal an die Hotline von Google. Schliesslich
bezahlst du - wenn auch mit Informationen statt Geld - mehr als genug
fuer die Nutzung ihrer Dienste.

[Juergen P. Meier]

Andreas Kohlbach <a...@spamfence.net>:
> IIRC ist bei Firefox ein Plugin installiert, was Google sagt, mich nicht
> mit zielgerichteter Werbung zu nerven. Außerdem in allen benutzten
> Browsern ein "Do not track" aktiviert.

Du weist schon, dass dieses idiotische "do not track" zum Tracken
verwendet wird?

[Juergen P. Meier]

Andreas Kohlbach <a...@spamfence.net>:

> Nein.
> -v please

Leute, die in jedem HTTP HEader zusaetzlich die Zeile
DNT: 1
mitschicken (nichts anderes wird gemacht) signalisieren einer
Werbeplattform damit nur, dass sie so stark durch WErbung
beeinflussbar sind, dass sie sich sogar vor Werbetracking geschuetzt
fuehlen moechten. Also fliesst dieser (neue) Datenpunkt gleich mal mit
in das Profiling, denn je mehr DAtenpunkte, desto einfacher wird die
De-Anonymisierung durch Korrelation.

Es ist eine ganz schoen Dumme - verzeihung: Naïve Vorstellung, dass
Werbefinanzierte Webplattformen eine vom Client gesetzte Nachricht doch
bitte bitte nicht getrackt zu werden honorieren wuerden.
Das machen hoechstens genau nur diejenigen Platformen, die sich
eh schon an geltende Rechtsnormen halten.

Achja, wenn man ein Gefuehl dafuer bekommen moechte, wieviel so ein
einzelner und an sich unbedeutend wirkender Datenpunkt fuer die
Profilkorrelation und De-Anonymisierung bringen kann, der soll sich
bitte folgenden Vortrag anschauen:
https://media.ccc.de/v/33c3-8034-build_your_own_nsa

[Andreas Kohlbach]

On Fri, 13 Jan 2017 05:15:51 +0000 (UTC), Juergen P. Meier wrote:
>
> Andreas Kohlbach <a...@spamfence.net>:
>> On Thu, 12 Jan 2017 09:31:15 +0000 (UTC), Juergen P. Meier wrote:
>>>
>>> Andreas Kohlbach <a...@spamfence.net>:
>>>> IIRC ist bei Firefox ein Plugin installiert, was Google sagt, mich nicht
>>>> mit zielgerichteter Werbung zu nerven. Außerdem in allen benutzten
>>>> Browsern ein "Do not track" aktiviert.
>>>
>>> Du weist schon, dass dieses idiotische "do not track" zum Tracken
>>> verwendet wird?
>>
>> Nein.
>> -v please
>
> Leute, die in jedem HTTP HEader zusaetzlich die Zeile
> DNT: 1
> mitschicken (nichts anderes wird gemacht) signalisieren einer
> Werbeplattform damit nur, dass sie so stark durch WErbung
> beeinflussbar sind, dass sie sich sogar vor Werbetracking geschuetzt
> fuehlen moechten. Also fliesst dieser (neue) Datenpunkt gleich mal mit
> in das Profiling, denn je mehr DAtenpunkte, desto einfacher wird die
> De-Anonymisierung durch Korrelation.

Ich lese eben die englische Wikipedia Seite
<https://en.wikipedia.org/wiki/Do_Not_Track> dazu. Eine Deutsche gibt es
auch, wer es lieber muttersprachlich hat. ;-)

Laut dieser Seite gibt es die Werte 0 (Tracking ist okay), 1 (Tracking
ist nicht okay) und null (nichts wird gesendet). Wenn ich in meine
prefs.js des Firefox schaue, finde ich

user_pref("privacy.donottrackheader.enabled", true);

was boolean zu sein scheint. Ich würde das gerne in null (nichts senden)
ändern statt 0 (Tracking ist okay). Das geht wohl aber nicht. :-(

Ich werde die Zeile einfach mal in dieser Text-Datei
entfernen. Vielleicht erreiche ich damit, dass der Header gar nicht
gesendet wird...

> Es ist eine ganz schoen Dumme - verzeihung: Naïve Vorstellung, dass
> Werbefinanzierte Webplattformen eine vom Client gesetzte Nachricht doch
> bitte bitte nicht getrackt zu werden honorieren wuerden.
> Das machen hoechstens genau nur diejenigen Platformen, die sich
> eh schon an geltende Rechtsnormen halten.

Ich ging von einem komplexeren Mechanismus aus, der in etwa so arbeiten
würde, wie Geo-IP. So dass der Browser *aktiv* das Senden bestimmter
Informationen verhindert oder verschleiert.

Dafür wie das genau funktioniert, hatte ich mich nie vorher informiert. :-(

Laut der deutschen Wikipedia Seite kommt das Setzen auf 1 aber "der
Erklärung eines Widerspruchs im Sinne von § 15 Abs. 3 TMG gleich". Wenn
man nun nachweisen könnte, dass eine deutsche Firma das ignoriert, *und*
das TMG dafür Strafen vor sieht, und man brastig genug ist, könnte man
die deutschen Gerichte vielleicht mit weiterer Arbeit belasten. Die dort
erwähnte <https://www.gesetze-im-internet.de/tmg/__15.html> sagt dazu
aber nichts, IMO recht wässerig formuliert, weil mögliche Strafen nicht
erwähnt werden..

> Achja, wenn man ein Gefuehl dafuer bekommen moechte, wieviel so ein
> einzelner und an sich unbedeutend wirkender Datenpunkt fuer die
> Profilkorrelation und De-Anonymisierung bringen kann, der soll sich
> bitte folgenden Vortrag anschauen:
> https://media.ccc.de/v/33c3-8034-build_your_own_nsa

Ich lade es mal runter.

--
Andreas
You know you are a redneck if

you've ever spray painted your girlfriend's name on an overpass.

[Andreas Kohlbach]

On Fri, 13 Jan 2017 12:42:45 -0500, Andreas Kohlbach wrote:
>
> <https://en.wikipedia.org/wiki/Do_Not_Track> dazu. Eine Deutsche gibt es
> auch, wer es lieber muttersprachlich hat. ;-)
>
> Laut dieser Seite gibt es die Werte 0 (Tracking ist okay), 1 (Tracking
> ist nicht okay) und null (nichts wird gesendet). Wenn ich in meine
> prefs.js des Firefox schaue, finde ich
>
> user_pref("privacy.donottrackheader.enabled", true);
>
> was boolean zu sein scheint. Ich würde das gerne in null (nichts senden)
> ändern statt 0 (Tracking ist okay). Das geht wohl aber nicht. :-(

Das hatte ich miss gedeutet. Mir wurde in der Mozilla Gruppe gesagt, es gibt
noch "privacy.donottrackheader.value". Diese ist nur dann interessant,
wenn "privacy.donottrackheader.enabled" auf "true" steht. Da ich diese
"privacy.donottrackheader.value" in meiner Datei gar nicht hatte, ging ich
davon aus, dass "privacy.donottrackheader.enabled" allein eigentlich die
Werte "0", "1" und "null" haben müsste. Falsch gedacht.

Das nur zur Richtigstellung.

--
Andreas
You know you are a redneck if

you refer to the time you won a free case of oil as the
"day my ship came in."