Ich glaube, man muss mal einige grundlegende Missverständnisse ausräumen. ...
Benutzerpasswörter sollten in der Datenbank des Systems grundsätzlich gehasht (also verschlüsselt) gespeichert werden. Wenn dieses getan wird, sind diese Hashes nicht mehr mit trivialen Mitteln rekonstruierbar, d. h. aus einem Hash lässt sich das zugrundeliegende Passwort nicht wieder zurück ableiten. Man hat sozusagen eine "Verschlüsselungs-Einbahnstraße". Nun kann man sich natürlich die Frage stellen, wie sich der Nutzer dann überhaupt noch einloggen kann, wenn er das Passwort doch im Klartext, also unverschlüsselt, ins Passwort-Feld eingibt und es - eigentlich - nicht mehr mit dem im System verschlüsselt hinterlegten Passwort abgeglichen werden kann. Deswegen zäumt man das Pferd nun einfach von hinten auf und verschlüsselt auch die vom Benutzer getätigte Eingabe mit dem gleichen Verfahren und kommt somit nur wieder auf den identischen im System als Passwort hinterlegten Hashwert, sofern der Benutzer das korrekte Passwort eingegeben hat.
Insofern wäre es denkbar, dass man in einem solchen Fall wie dem hier aufgetretenen beim Anlegen des Benutzerkontos einfach zwei Informationen in die Datenbank ablegt. Zum einen das gehashte vollständige Passwort, und zum anderen, getrennt davon, den Hashwert ausschließlich der letzten drei Zeichen des betreffenden Passwortes. Wenn der Hotline-Mitarbeiter nun mit dem Kunden telefoniert, fragt er ihn für die Legitimation nach den letzten drei Zeichen des Passwortes, gibt die vom Kunden genannten Zeichen in eine Bildschirmmaske ein und schickt die Abfrage ab. Die getätigte Eingabe wird nun im Zuge der Prüfung verschlüsselt und mit dem in der Systemdatenbank hinterlegten Hashwert der letzten drei Zeichen abgeglichen. Sind die Werte identisch, hat sich der Benutzer erfolgreich legitimiert, andernfalls nicht. Und nur das (Erfolg bzw. Misserfolg) wird dem Hotline-Mitarbeiter am Bildschirm angezeigt, und sonst nichts weiter.
Es ist also längst nicht so, wie sich mancheiner das hier vielleicht vorstellen mag, dass zwangsläufig jeder Hotline-Mitarbeier das komplette Benutzerpasswort des Kunden im Klartext in seiner Bildschirmmaske vor sich hat bzw. überhaupt haben MÜSSTE. Ich weiß auch nicht, ob das skizzierte Szenario dem tatsächlichen Vorgehen bei Eplus entspricht, aber es ist zumindest nicht unplausibel, dass durchaus alles mit rechten Dingen zugeht. Und das auch ohne die leichtfertige Annahme treffen zu müssen, Hotline-Mitarbeiter müsten sowieso in sämtliche Passwörter freien Einblick haben.
Noch als Anmerkung:
Wenn man als Nutzer also weiß, dass die letzten drei Zeichen für die Legitimierung dienen, könnte man im Grunde also einfach hingehen und das bisherige Passwort um beliebige drei Zeichen - quasi als Legitimierungscode - erweitern. Falls man zuvor ein "sprechendes" Passwort verwendet haben sollte, verrät man dem Mitarbeiter mit der Nennung der letzten drei Zeichen somit zumindest nicht z. B. irgendeine charakteristische Endung, die den Rückschluss auf das komplette Passwort einfacher macht. Und ob drei Zeichen nun die Hälfte, ein Achtel oder ein Eintel des kompletten Passwortes sind, hat letztlich ja sowieso immer noch jeder Nutzer selber in der Hand. :cool:
Und noch eine:
Wenn mir ein Hotline-Mitarbeiter das komplette Passwort einfach so, von sich aus, nennen könnte, dann würde ich allerdings auch hellhörig werden. 