Zwei-Faktor-Schutz verständlich: was wirklich schützt und was nur so aussieht
Am 16. August teilte der israelische Krypto-Broker Bits of Gold mit, dass ein Angreifer über das System eines Dienstleisters an Kundendaten gelangt ist: Namen, Ausweisnummern, E-Mail-Adressen, Telefonnummern, IP-Adressen und Bankverbindungen von rund 200.000 Menschen. Passwörter und Ausweisscans blieben unberührt, was beruhigend klingt, bis man auf die Zusammensetzung des Diebesguts schaut. Telefonnummer plus Ausweisnummer plus echte Adresse ist genau der Satz, mit dem man einen Mobilfunkanbieter überredet, die Nummer auf eine neue SIM-Karte zu übertragen. Und die Telefonnummer ist bei den meisten immer noch der zweite Faktor.
Drei Stufen, und sie liegen weit auseinander
Alles, was als Zwei-Faktor-Schutz verkauft wird, fällt in drei Gruppen, und der Abstand zwischen ihnen ist viel größer, als die Oberfläche vermuten lässt.
Code per SMS
- Hängt an Ihrer Telefonnummer, nicht an Ihnen.
- Fällt beim SIM-Tausch: Die Nummer zieht um, die Codes ziehen mit.
- Trotzdem besser als nichts und besser als gar kein zweiter Faktor.
Authenticator-App
- Sechs Ziffern, die auf dem Gerät selbst entstehen, ganz ohne Netz.
- Eine gestohlene Nummer bringt dem Angreifer nichts.
- Der Code lässt sich aber auf einer falschen Seite abgeben, Sie tippen ihn ja selbst.
Schlüssel oder Passkey
- Prüft die echte Adresse der Seite, bevor er antwortet.
- Auf einer nachgebauten Domain schweigt er, und der Betrug endet dort.
- Nichts zu tippen und nichts, was man am Telefon vorlesen könnte.
Warum zuerst die SMS bricht
Ein SIM-Tausch ist technisch gesehen kein Hack. Jemand wendet sich an Ihren Anbieter, nennt Namen, Ausweisnummer und genug Details, um überzeugend zu klingen, meldet ein verlorenes Telefon und bittet um die Nummer auf einer neuen Karte. Minuten später hat Ihr Telefon kein Netz mehr, und die Codes kommen woanders an. Jedes Datenleck der oben beschriebenen Art verbilligt dieses Gespräch, weshalb Leck-Meldungen und übernommene Konten in derselben Woche auftauchen.
Es gibt ein zweites, leiseres Problem. Einen Code, den Sie eintippen, kann man Ihnen abschwatzen. Eine überzeugende Kopie der Anmeldeseite fragt das Passwort ab, dann den Code, und reicht beides binnen Sekunden an die echte Seite weiter. Deshalb zählt die dritte Stufe: Schlüssel und Passkey prüfen die Domain selbst und bleiben auf der Fälschung stumm, so überzeugt Sie auch sein mögen.
Was heute Abend zu tun ist
- Fangen Sie beim E-Mail-Konto an, nicht bei der Bank. Wer Ihr Postfach hat, setzt fast alles andere zurück, also verdient es den stärksten Schutz, den Sie einzurichten bereit sind.
- Stellen Sie jedes Konto, bei dem es geht, von SMS auf eine Authenticator-App um. In den Sicherheitseinstellungen ist das meist ein Bildschirm mit QR-Code, eine Minute pro Konto.
- Sichern Sie die Ersatzcodes offline. Ausdrucken oder abschreiben und dorthin legen, wo Ihre Dokumente liegen. Liegen sie nur im selben Passwortmanager wie das Passwort, nimmt ein verlorenes Gerät beides mit.
- Richten Sie einen zweiten Faktor als Reserve ein: einen günstigen Hardware-Schlüssel oder einen Passkey auf einem zweiten Gerät. Wo einer unterstützt wird, gehen auch zwei, und die Reserve rettet Sie, wenn das Telefon weg ist.
- Prüfen Sie die Wiederherstellungsdaten. Eine alte Telefonnummer oder ein totes Zweitpostfach ist ein Eingang, der alles andere überlebt.
- Wo "mit Passkey anmelden" angeboten wird, nehmen Sie es. Es ist derselbe Schutz wie beim Hardware-Schlüssel, nur auf dem Telefon oder im Passwortmanager, und er nimmt das Passwort aus dem Vorgang heraus, statt einen weiteren Schritt hinzuzufügen.
- Beenden Sie Sitzungen, die Sie nicht kennen, im selben Einstellungsbereich. Ein zweiter Faktor hilft nicht gegen eine Sitzung, die jemand vor einem Jahr geöffnet hat.
Vor dem Telefonwechsel. Codes in einer Authenticator-App leben auf dem Gerät und nicht von allein in der Wolke, ein gelöschtes Telefon nimmt sie also mit. Die Reihenfolge lautet: Daten der App auf das neue Telefon übertragen oder exportieren, solange das alte noch läuft, bei zwei, drei Konten prüfen, dass die Anmeldung wirklich klappt, und erst dann das alte Gerät löschen. Wurde der Schritt übersprungen, bleiben die Ersatzcodes der Rückweg - genau dafür sollen sie auf Papier existieren.
Was Sie konkret installieren sollten
Namen zählen weniger als drei Eigenschaften: Die Codes lassen sich auf ein neues Telefon umziehen, den Programmcode hat jemand außer dem Autor geprüft, und die App läuft auf all Ihren Geräten. Dazu passen quelloffene, kostenlose Anwendungen: Ente Auth läuft auf Telefon und Rechner mit Ende-zu-Ende-verschlüsselter Synchronisation, Aegis ist die übliche Wahl auf Android mit verschlüsselter lokaler Sicherung, 2FAS legt die Sicherung in Ihrer eigenen iCloud oder Drive ab. Die eingebauten Lösungen von Apple und Google sind bequem und sicher genug, mit einer Einschränkung: Die Codes leben dann in einem Ökosystem und verlassen es nur schwer.
Eine Warnung zu einem bekannten Namen. Authy hat die Desktop-Anwendung eingestellt und bietet bis heute keinen Export der Codes, dort angelegte Konten sind also faktisch daran gebunden. Wenn Sie es nutzen, kein Grund zur Panik, aber legen Sie neue Konten woanders an und ziehen Sie die alten um, sobald Sie einen Abend Zeit haben.
Passwortmanager wie Bitwarden, 1Password und Proton Pass können Codes und Passkeys ebenfalls aufbewahren, und das ist wirklich bequem. Kennen Sie den Tausch: Passwort und zweiter Faktor in einem Tresor heißt, dass ein Hauptpasswort beides schützt. Für die wichtigsten Konten halten Sie beides getrennt.
Bei Hardware-Schlüsseln ist der Markt klein und angenehm langweilig. YubiKey 5 mit NFC und USB-C ist die Standardwahl und arbeitet mit Telefon wie Rechner; Google Titan ist eine direkte Alternative; Token2 und Nitrokey kosten deutlich weniger. Kaufen Sie gleich zwei, registrieren Sie beide und legen Sie den Ersatzschlüssel zu Ihren Dokumenten. Kaufen Sie beim Hersteller oder autorisierten Händler statt als Marktplatz-Posten, denn ein Schlüssel ist genau das, was nicht durch fremde Hände gehen sollte.
Was ein Passkey wirklich ist
Ein Passkey ist ein Schlüsselpaar: Einer bleibt auf Ihrem Gerät, der andere liegt beim Dienst. Anmelden heißt, dass Telefon oder Rechner den Besitz der eigenen Hälfte nachweist, freigegeben per Fingerabdruck oder Gesicht. Es wird nichts getippt, also lässt sich nichts am Telefon vorlesen oder in eine Kopie der Seite eintragen, und es liegt kein gemeinsames Geheimnis in einer Datenbank, das auslaufen könnte. Der praktische Haken ist die Übertragbarkeit: Passkeys werden innerhalb eines Ökosystems oder eines Passwortmanagers abgeglichen, prüfen Sie also vorher, dass Sie von einem zweiten Gerät herankommen.
Wenn Sie doch ausgesperrt sind
Wiederherstellung ist der Teil, den alle überspringen und dann brauchen. Finden Sie vorab heraus, wohin jeder Dienst Sie schickt: Ersatzcodes, ein zweiter registrierter Schlüssel, ein Zweitpostfach oder ein Supportformular mit Dokumentenprüfung. Für die zwei, drei wichtigsten Konten schreiben Sie die Antwort auf. Das sind zehn Minuten jetzt statt eines sehr schlechten Nachmittags später, und es gehört erledigt, solange Sie Zugang haben, und nicht während Sie einer Warteschlange beweisen, wer Sie sind.
Nichts davon macht ein Konto uneinnehmbar, das soll es auch nicht. Es holt Sie aus der Gruppe heraus, die sich mit einer geleakten Telefonnummer ausräumen lässt, und nach einem Sommer mit Lecks wie jenem mit 24 Milliarden Passwörtern fließt der Verkehr genau dorthin.
