PINWahn

Handy, Kreditkarte, Sparkassenkarte, Volksbankkarte... PINs, TANs, PUKs...

Eigentlich ist es nicht schwer sich die vier kleinen Zahlen der Karten zu merken. Entweder sind die Zahlen einprägsam oder das Muster ist und die Fingerführung sind einfach. Ich habe bis vor kurzem kein Problem mit meinen PINs gehabt. Bei meiner Sparkassenkarte weiß ich sie nicht mal auswendig, da ist es nur eine natürliche Handbewegung.

Vor Kurzem bin ich aber Kunde der Volksbank in Stuttgart geworden und zu der EC-Karte gab es natürlich wieder eine PIN. Die hat es aber in sich, denn sie ähnelt meiner PIN für das Handy zu sehr. Wenn meine Handy-PIN (a) (b) (c) (d) ist, dann ist die Volksbank-PIN (c) (b) (a-1) (d). Eigentlich auch kein Problem und einfach zu merken, aber mein Gehirn vertauscht diese Nummern immer wieder, oder macht daraus ein (a-1) (d) (c) (b) beim Handy oder bei der EC-Karte. Obwohl ich bei dem Handy über ein Jahr sicher war, habe ich jetzt jedes Mal Probleme.

Es ist schon komisch, wie schnell einem der Kopf einen Streich spielen kann und es wird sicher noch lange dauern, bis ich beide Nummern richtig drin habe.

spickmich.de ist unsicher und ein "toller Verein"

Auf www.spickmich.de kann man neben diversen Social Networking Funktionen seine Lehrer und seine Schule verwalten. Ich war schon immer neugierig, wie meine ehemaligen Schulen dort abschneiden.

Kurzerhand registrierte ich einen Fake-Account, um ein bisschen in der Schulwelt von Zeulenroda zu stöbern. Zu allererst kann man seine Schule nicht wechseln. Das nervt schonmal tierisch. Nachdem ich mit der ersten Schule fertig war, musste ich meinen Account abmelden und mich erneut anmelden. Kein Problem, selbst mit der gleichen Email-Adresse ging das erneute Anmelden nach dem Abmelden prima. Sicherheit sieht anders aus. Zusätzlich werden die Passwörter von spickmich selbst generiert. Was da rauskommt sind lustige Konstrukte wie "rock-mond52", "freund-oben78" oder "blatt-film56". Wow. Supersicher. Wie viele von den angemeldeten Kiddies werden ihre Passwörter wohl ändern?? Wenn man also die Kombination "wort, bindestrich, wort, zweistellige Zahl" kennt, dann kann man wohl sicher auch schnell Accounts hacken.

Wie sieht das aus? Ganz einfach: Da spickmich.de es unendlich oft zulässt, ein falsches Passwort einzugeben, kann man sich ganz einfach ein Script schreiben. Dieses probiert dann mit Hilfe eines Lexikons so viele dieser Kombinationen durch, bis ein Treffer erzielt ist. Wurde schon gemacht, z.B. bei Twitter (www.heise.de/security/Lehren-aus-dem-Twitter-Hack--/news/meldung/121286).

Was bringt einem das? Naja, inhaltlich hat spickmich nicht viel zu bieten. Die meisten meiner Schulen sind kaum bewertet, schlecht gepflegt und bei den Lehrern sind 10 Bewertungen nötig, bevor überhaupt irgendwas angezeigt wird. Ich konnte Noten von zwei ganzen Lehrern sehen. Nicht der Rede wert. Da wurde in den Medien viel zu viel tamm-tamm gemacht und eigentlich ist nix dahinter. Mittlerweile ist der Fokus anscheinend nicht mehr so sehr auf die Schulbewertung, sondern eher bei den Social Network Features.

Fazit: spickmich.de ist unspektakulär, unsicher und nur bekannt, weil es so einen großen Medienaufschrei gab. Sie sollten noch einen besseren Passwort-Generator und nach 5-10 Login-Versuchen von einer IP das Anmelden erstmal verbieten. Als Schüler hat man nichts verpasst und als Lehrer braucht man sich dort keine großen Gedanken machen. Die Nutzer dort bauen lieber Quizzes oder schreiben sich auf ihren Pinnwänden vorpubertierende Nachrichten, als über ihre Lehrer aubzuhassen.