„Kritische Sicherheitswarnung“ von Google

Am Wochenende meldeten sich gleich drei Kunden bei mir, alle mit derselben E-Mail: Absender Google, Betreff „Kritische Sicherheitswarnung“. Darin die alarmierende Meldung:

„Einige Ihrer gespeicherten Passwörter wurden durch eine Datenpanne bei einer von Ihnen verwendeten Website oder App gefunden.“

Der eine Kunde fragte, ob das Phishing sei. Die andere schrieb: „Bitte Passwörter ändern! Scheinen im Internet zu sein.“

Echt oder Phishing?

Erster Reflex bei so einer E-Mail: Vorsicht. Genau so sehen Phishing-Mails aus – Logo, rotes Warndreieck, großer Button „Passwörter prüfen“.

Der Check ging schnell (wie das geht, habe ich hier beschrieben): Die E-Mail ist echt. Sie kommt tatsächlich von Google, und alle Links führen auf accounts.google.com bzw. passwords.google.com – nirgendwo sonst hin.

Also doch Datenpanne? Passwörter im Internet? Alarmstufe Rot?

Des Rätsels Lösung

Die eine Kundin schickte netterweise einen Screenshot mit, was Google ihr da als „kompromittiertes Passwort“ anzeigt. Erleichtert stellte ich fest: Es ist das Passwort für die „Baustelle“ ihrer Kanzleihomepage.

Dazu muss ich kurz ausholen: Solange eine neue Kanzleihomepage noch nicht fertig ist, liegt sie bei mir auf einer Baustellen-Adresse und ist mit einem Passwort geschützt. Der Schutz ist nicht dazu da, Staatsgeheimnisse zu hüten. Er soll vor allem sicherstellen, dass Google und andere Suchmaschinen die halbfertige Seite nicht in den Index aufnehmen – auch dann nicht, wenn die robots.txt mal kaputtgeht oder sonst etwas schiefläuft. Ein Riegel vor der Tür, mehr nicht.

Deshalb ist das Passwort mit Absicht ganz simpel – meine Kunden sollen es sich ja merken können, wenn sie den Stand ihrer neuen Homepage anschauen wollen.

Was dann passiert: Der Browser fragt beim ersten Besuch der Baustelle brav „Passwort speichern?“, der Kunde klickt „Ja“ – und schon liegt das simple Baustellen-Passwort im Google Passwortmanager. Der gleicht gespeicherte Passwörter regelmäßig mit bekannten Datenlecks ab. Und natürlich taucht so ein simples Passwort in diesen Leak-Listen auf – irgendjemand auf der Welt hat es garantiert schon einmal für irgendetwas verwendet, das dann gehackt wurde.

Entwarnung

Die Warnung ist also technisch korrekt – und trotzdem harmlos:

• Es gab keine Datenpanne bei meinen Kunden, bei mir oder bei Google.
• Es ist kein persönliches Passwort betroffen, sondern nur das gemeinsame Baustellen-Passwort.
• Auf der Baustelle gibt es nichts zu holen – sie ist ohnehin nur ein Provisorium und der Schutz fällt weg, sobald die Seite online geht.

Wer mag, kann den gespeicherten Baustellen-Eintrag im Passwortmanager einfach löschen, dann ist auch die Warnung weg.

Was wir daraus lernen können

1. Solche Warnungen nicht ungeprüft wegklicken. Die E-Mail von Google ist echt, und der Passwort-Check dahinter ist wirklich nützlich.
2. Aber auch nicht in Panik verfallen. Erst nachschauen, welches Passwort gemeint ist. Der Weg dahin führt nicht über den Link in der E-Mail, sondern sicherheitshalber direkt über passwords.google.com.
3. Wenn ein echtes Passwort betroffen ist: sofort ändern – und zwar überall, wo Sie es verwenden. Am besten verwenden Sie ohnehin für jeden Dienst ein eigenes, starkes Passwort aus dem Passwortmanager.

Mein Fazit

Das System hat funktioniert, nur anders als gedacht: Google warnt völlig zu Recht vor einem Passwort, das bewusst unsicher ist. Immerhin wissen wir jetzt, dass der Passwort-Check von Google gründlich arbeitet.