Zwei-Faktor-Authentifizierung: wie sie Konten rettet

Einem Dieb, der Ihr Passwort gestohlen hat, beschert die Zwei-Faktor-Authentifizierung ein bitteres Ende: Das gestohlene Passwort passt, der Zugang bleibt aber zu, denn der Dienst verlangt die Bestätigung von einem Gerät, das der Dieb nicht hat und nie haben wird. Diese einfache Idee schließt das häufigste Hack-Szenario: den automatischen Login mit einem aus einem anderen Dienst geleakten Paar aus Login und Passwort. Bleibt, den richtigen zweiten Faktor zu wählen, ihn fehlerfrei einzuschalten und nicht mit dem Telefon zu verlieren. Der Reihe nach.

Was ein Faktor ist

Faktoren sind unabhängige Beweise, dass Sie Sie sind: was Sie wissen, meist ein Passwort; was Sie haben, ein Telefon oder Schlüssel; was Sie sind, Biometrie. Zwei Faktoren beginnen, wenn zwei verschiedene Typen geprüft werden. Passwort plus Geheimfrage ist weiter ein Typ, zweimal Wissen, und ein Leck deckt beides ab. Passwort plus Code vom Telefon sind zwei ehrliche Typen: Wissen und Besitz, und ein Angreifer muss beides zugleich beschaffen.

Zweite Faktoren im Vergleich

Eine Authenticator-App ist eben jenes TOTP: Einmalcodes, die eine halbe Minute leben und auf dem Gerät ohne jede Verbindung entstehen. SMS ist anfälliger: Der Code lässt sich herauslocken und die Nummer per SIM-Neuausgabe entwenden, deshalb gehört der Schutz von Bank und Mail auf einen Authenticator oder Schlüssel. Pushes sind bequem, haben aber einen eigenen Angriff hervorgebracht: Das Opfer wird mit Anfragen bombardiert, bis es aus Ermüdung bestätigt; dagegen hilft der Zahlenabgleich, bei dem Sie im Push eine Zahl vom Login-Bildschirm eingeben.

Eine gemeinsame Schwachstelle aller Codes: Echtzeit-Phishing kann sie herauslocken, die gefälschte Seite leitet den Code binnen Sekunden an die echte Website weiter. Nur Hardware-Schlüssel und Passkeys schließen diesen Weg ganz: Der Schlüssel antwortet auf die Anfrage einer bestimmten Domain und hat einer gefälschten Website nichts zu sagen. Wie Passkeys funktionieren, stand im Artikel über Passwörter.

Warum „bei mir gibt es nichts zu stehlen" nicht zieht

Den zweiten Faktor schaltet man mit dem Argument ab: „Mein Konto braucht niemand." Doch, nur anders als gedacht: Die Mail eines normalen Menschen ist der Wiederherstellungsschlüssel zu Bank und Shops, ein soziales Netzwerk bietet das Vertrauen von Freunden für Geldbitten, ein Spielekonto ist über Jahre gekauftes Inventar. Diebe arbeiten am Fließband über Millionen geleakter Passwörter, ohne Ziel, und jeder landet darauf. Der Preis des Schutzes ist lächerlich: fünf Sekunden mehr beim Login von einem neuen Gerät, denn Dienste merken sich vertrauenswürdige Geräte und fragen nicht erneut.

Für Arbeitskonten gilt das doppelt: Der Zugang eines Mitarbeiters ist eine Tür in die Firma, und Firmendienste verlangen den zweiten Faktor immer öfter, ohne zu fragen. Eine Gewohnheit von zu Hause spart hier Nerven im Job.

Einschalten ohne Zugangsverlust

1. Beginnen Sie mit der Mail: Sie stellt alle anderen Konten wieder her, und ihr Schutz ist wichtiger als der der Bank.
2. Wählen Sie in den Sicherheitseinstellungen eine Authenticator-App: jede ausgereifte, auch die in einem Passwort-Manager integrierte. SMS bleibt als Reserve, wenn der Dienst das erlaubt.
3. Speichern Sie sofort die Backup-Codes: als Ausdruck zu Hause oder im Passwort-Manager. Das ist Ihr Zugang, falls das Telefon verloren geht.
4. Wiederholen Sie das für Bank, wichtige soziale Netzwerke und Arbeitsdienste. Bei wichtigen schalten Sie, wo vorhanden, den Passkey ein.
5. Nehmen Sie sich eine Minute für die Prüfung: In denselben Einstellungen sehen Sie, welche Geräte und Login-Wege verknüpft sind. Überflüssige löschen Sie.

Ein kleines Detail, das Zeit spart: Beim Übertragen eines Codes aus einer App zeigen viele Dienste den QR-Code des Geheimnisses einmal. Fotografieren Sie ihn „zur Erinnerung", speichern Sie das Bild verschlüsselt und nicht in der Galerie mit Cloud-Sync: Dieser QR entspricht dem Faktor selbst.

Telefon verloren: was nun

Das normale Szenario, wenn Sie vorbereitet sind: Authenticator aufs neue Telefon, Login mit Backup-Codes, Faktor neu verknüpfen. Viele Authenticatoren erstellen verschlüsselte Backups, dann ziehen die Codes von selbst um. Ohne Vorbereitung bleibt die Wiederherstellung über den Support mit Identitätsprüfung: Das Verfahren ist absichtlich lang, denn auch Kontodiebe nutzen es. Daher die Hauptregel des ganzen Artikels: Backup-Codes speichern Sie beim Einschalten des Schutzes, nie „später".

Wohin das führt

Die Branche schafft nach und nach sowohl das Passwort als auch den separaten zweiten Schritt ab: Ein Passkey vereint beide Faktoren in einer Handlung, die Biometrie bestätigt den Gerätebesitz. Während des Übergangs sieht ein vernünftiges Set so aus: Passwort-Manager, Authenticator für alles Wichtige, Passkeys wo angeboten und Backup-Codes an sicherem Ort. Verhält sich ein Konto schon seltsam, warten Sie nicht: Der Schrittplan steht im Artikel über gehackte Konten, und je früher der zweite Faktor läuft, desto kürzer fällt dieser Plan aus.