Sicherheits-Tipps
In 15 Minuten sicher dank Zwei-Faktor-Authentifizierung
Praktisch jeder nutzt heutzutage Passwörter. Allerdings geraten diese immer mehr in die Kritik. Das hat mehrere Gründe. Täglich tauchen neue Datensätze mit gestohlenen Zugangsdaten im
Internet auf. Cyberkriminelle handeln mit Millionen von E-Mail-Adressen und den zugehörigen Passwörtern. Meist stammen sie aus Datenlecks oder Phishing-Attacken.
Das eigentliche Problem liegt aber an einer anderen Stelle: Viele Nutzer verwenden ihre Passwörter immer wieder. Gelangt ein solches Kennwort erst einmal in die falschen Hände, probieren Angreifer es automatisiert bei Hunderten anderen Diensten aus. Oft mit Erfolg. Wer dasselbe Passwort für einen Onlineshop, einen Streaming-Dienst und sein E-Mail-Konto nutzt, geht ein hohes Risiko ein, Bild 1.
Bild 1: Das Passwort ist die Standardmethode zum Schutz von Onlinekonten, es gibt aber weit sicherere Alternativen
PCtip
Gerade Letzteres, also das Mailkonto, ist besonders wichtig. Hier laufen bei vielen Anwendern alle Fäden ihrer Onlineexistenz zusammen. Ist es einem Angreifer erst einmal gelungen, in das E-Mail-Konto einzudringen, kann er mithilfe von Passwort-Wiederherstellungsfunktionen leicht auch in alle damit verknüpften Onlinekonten eindringen, Bild 2.
Hinzu kommt, dass moderne Angriffe immer raffinierter werden. Gefälschte Log-in-Seiten sehen heute häufig täuschend echt aus. Eine einzige Unachtsamkeit genügt und Benutzername sowie Passwort landen bei Cyberkriminellen. Selbst starke und besonders komplexe Kennwörter bringen dann nicht viel.
Bild 2: Angreifer können via Passwort-Wiederherstellung auch leicht auf andere Dienste zugreifen
PCtipp
Bild 3: Viele Onlinedienste lassen sich sehr gut mit einem zusätzlichen Einmalcode vor Hackern schützen
PCtippSchutz in 15 Minuten
Wer jedoch zumindest seine wichtigsten Konten mit der Zwei-Faktor-Authentifizierung (kurz 2FA) oder auch Multi-Faktor-Authentifizierung (MFA) schützt, verbessert die Absicherung drastisch. Auch wenn Kriminelle ein Passwort kennen, benötigen sie zusätzlich einen zweiten Nachweis, bevor sie sich erfolgreich einloggen können, Bild 3.
Die Einrichtung der 2FA ist heute deutlich einfacher als noch vor wenigen Jahren. Für die wichtigsten Konten reichen oft wenige Minuten. In einer Viertelstunde können Sie bereits Ihr E-Mail-Konto, die wichtigsten Cloud-Dienste sowie Bezahldienste absichern. Das sind genau die Konten, die für die Angreifer besonders verlockend sind.
Bild 4: Eine Authenticator-App auf dem Handy erzeugt Einmalcodes, mit denen Sie sich sicher in Ihrem Konto anmelden
PCtippHeutzutage wird dafür meist eine Authenticator-App auf dem Smartphone verwendet, Bild 4. Das ist nicht nur bequem und sicher, sondern der klassischen SMS-Methode deutlich überlegen. SMS-Nachrichten gelten als weniger sicher, da sie unter bestimmten Umständen umgeleitet oder sogar abgefangen werden können.
Authenticator-Apps
Die bekanntesten Authenticator-Apps stammen von Google und Microsoft. Sie funktionieren sowohl unter Android als auch unter iOS. Daneben gibt es Alternativen aus dem Open-Source-Bereich wie 2FAS Auth, das wir im Folgenden genauer vorstellen werden.
Für die Erzeugung von Einmalcodes nutzen die meisten Authenticator-Apps dasselbe kryptografische Verfahren namens Time-based One-Time Password (TOTP). Deshalb können Sie bei vielen Onlinediensten frei wählen, welche App Sie verwenden möchten.
Das Grundprinzip ist dabei immer das Gleiche: Der Onlinedienst erzeugt zunächst einen geheimen Schlüssel, das sogenannte «Secret». Es besteht aus einer zufälligen Zeichenfolge, die Sie entweder manuell in die Authenticator-App eingeben oder als QR-Code mit der Kamera Ihres Smartphones einscannen.
Alle 30 Sekunden berechnen anschliessend sowohl der Server des Onlineanbieters als auch Ihre Authenticator-App einen sechsstelligen 2FA-Code. Technische Basis ist neben dem geteilten Secret auch die aktuelle Uhrzeit. Da beide Systeme dieselben Eingabewerte verwenden, erzeugen sie denselben Code. Er ist nur 30 Sekunden lang gültig. Danach wird er automatisch durch einen neuen Code ersetzt. Auch wenn ein Angreifer einen Code abfängt, bleibt nur ein sehr kurzes Zeitfenster für dessen Missbrauch.
Noch etwas ist wichtig: Die Authenticator-App fragt den Server nicht nach dem aktuellen Code. Das ist ein weit verbreitetes Missverständnis. Stattdessen berechnet die App den Einmalcode selbst, Bild 5. Deshalb funktioniert TOTP auch ohne WLAN, ohne Mobilfunkempfang, im Flugmodus oder im Ausland. Voraussetzung ist einzig, dass die Uhrzeit des Handys korrekt eingestellt ist.
Bild 5: Aus dem geheimen Schlüssel (Secret) erzeugen sowohl der Onlinedienst als auch die Authenticator-App dieselben Einmalcodes
PCtipp
Bild 6: Die Authenticator-App 2FAS Auth finden Sie sowohl im Google Play Store als auch im Apple App Store
PCtippAuthenticator-App einrichten
Für die Verwaltung von TOTP-Codes gibt es wie erwähnt zahlreiche Apps. Zu den bekanntesten gehören der Microsoft Authenticator, der Google Authenticator und 2FAS Auth. Diese erhalten Sie alle im App Store Ihres Smartphones.
Auch Passwortmanager wie KeePass können Einmalcodes erzeugen (siehe dazu Box). Für diesen Artikel verwenden wir 2FAS Auth. Die App ist Open Source, gratis und überzeugt durch ihre einfache Bedienung.
Installieren Sie 2FAS Auth über den App-Store Ihres Smartphones und starten Sie die App, Bild 6. Beim ersten Start führt ein kurzer Assistent durch die Einrichtung. Tippen Sie auf Fortsetzen, bestätigen Sie die Einführung zweimal mit Weiter und wählen Sie anschliessend Verwendung von 2FAS beginnen.
Gmail-Konto schützen
Die Einrichtung der Zwei-Faktor-Authentifizierung ist meist nicht kompliziert. Allerdings verwendet jeder Onlinedienst eine leicht andere Navigation und teils auch andere Bezeichnungen. Haben Sie das Grundprinzip jedoch einmal verstanden, können Sie Ihre wichtigsten Onlinekonten in kurzer Zeit absichern. Im Folgenden beschreiben wir die grundlegende Einrichtung am Beispiel von Gmail etwas ausführlicher. Der Dienst gehört in der Schweiz zu den beliebtesten E-Mail-Anwendungen. Gleichzeitig schützen Sie damit auch andere Google-Dienste wie Drive, Fotos oder YouTube, sofern Sie diese nutzen. Im letzten Abschnitt dieses Artikels gehen wir auf die Besonderheiten und Unterschiede weiterer Onlinedienste ein.
Melden Sie sich zunächst im Webbrowser bei Ihrem Google-Konto an. Klicken Sie oben rechts auf Ihr Profilsymbol und anschliessend auf Google-Konto verwalten. Wechseln Sie zum Bereich Sicherheit und greifen Sie dort zu Authentifizierungs-App, Bild 7.
Bild 7: Loggen Sie sich in den Onlinedienst ein, den Sie schützen möchten, und aktivieren Sie dort die Zwei-Faktor-Authentifizierung
PCtipp
Google empfiehlt an dieser Stelle den eigenen Google Authenticator. Diesen Hinweis können Sie ignorieren, da Sie bereits 2FAS installiert haben. Klicken Sie stattdessen auf Authentifizierungs-App einrichten.
Daraufhin öffnet sich ein Fenster mit einem QR-Code. Öffnen Sie nun 2FAS auf Ihrem Smartphone und tippen Sie auf Neuen Dienst koppeln. Erlauben Sie der App den Zugriff auf die Kamera und scannen Sie den QR-Code, Bild 8. Alternativ können Sie die Einrichtung auch ohne Kamera durchführen. Tippen Sie dazu in 2FAS auf Gib den Geheimschlüssel manuell ein. Klicken Sie im Browser unter dem QR-Code auf Sie können ihn nicht scannen? Google zeigt jetzt den zugehörigen geheimen Schlüssel (Secret) an. Tragen Sie als Dienstnamen beispielsweise Google ein und tippen Sie das Secret in das Feld Geheimschlüssel ein. In beiden Fällen zeigt 2FAS anschliessend einen sechsstelligen Einmalcode. Dieser wird mit dem TOTP-Verfahren erzeugt und wechselt alle 30 Sekunden automatisch. Klicken Sie im Browser auf Weiter und tragen Sie den aktuell angezeigten Code ein, Bild 9.
Bild 8: Scannen Sie den QR-Code mit der Kamera Ihres Smartphones, um 2FA einzurichten
PCtipp
Bild 9: Mit dem ersten erzeugten Einmalcode schliessen Sie die Konfiguration der 2FA ab
PCtipp
Bild 10: Sichern Sie die Backup-Codes, um nach dem Verlust des Smartphones weiter auf Ihr Konto zugreifen zu können
PCtippBestätigen Sie die Eingabe und authentifizieren Sie sich noch einmal mit Ihrem Google-Passwort. Kehren Sie zur Übersichtsseite der Zwei-Faktor-Authentifizierung zurück und klicken Sie auf 2-Faktor-Authentifizierung aktivieren. Nun ist die Zwei-Faktor-Authentifizierung für Ihr Google-Konto eingeschaltet.
Bevor Sie die neue Anmeldung testen, sollten Sie noch die von Google bereitgestellten Backup-Codes sichern, Bild 10. Sie dienen als Notfallzugang und ermöglichen den Zugriff auf Ihr Konto, falls Ihr Smartphone verloren geht oder die Authenticator-App nicht mehr funktioniert. Rufen Sie die Backup-Codes auf und speichern Sie diese an einem sicheren Ort, etwa in Ihrem Passwortmanager. Jeder Code kann genau einmal verwendet werden, um sich ohne den zweiten Faktor bei Google anzumelden.
Anschliessend können Sie sich abmelden und die neue Anmeldung ausprobieren. Künftig benötigen Sie neben Ihrem Passwort auch den von 2FAS erzeugten Einmalcode. Falls Google die Zwei-Faktor-Authentifizierung nicht automatisch anbietet, klicken Sie unter dem Passwortfeld auf Andere Option wählen.
Weitere Onlinekonten
Als weitere Beispiele beschreiben wir die Aktivierung der Zwei-Faktor-Authentifizierung bei einem E-Commerce- und einem Finanzdienstleister. Wenn Sie bei Digitec Galaxus einen Account haben, melden Sie sich dort an und wechseln Sie über Kundenkonto zu den Einstellungen für Login & Sicherheit. Aktivieren Sie dort die Authentifizierung per App und bestätigen Sie die Änderung per Passwort.
Die weitere Einrichtung funktioniert praktisch genauso wie bei Google. Scannen Sie den angezeigten QR-Code mit 2FAS Auth oder übernehmen Sie das Secret manuell. Geben Sie anschliessend den von der App erzeugten Einmalcode ein, um die Einrichtung abzuschliessen. Wie Google stellt auch Digitec
Galaxus Backup-Codes für den Notfall bereit. Speichern Sie diese an einem sicheren Ort. Bei künftigen Anmeldungen benötigen Sie neben Ihrem Passwort zusätzlich den von der
Authenticator-App erzeugten Einmalcode.
Bei PayPal funktioniert die Einrichtung der Zwei-Faktor-Authentifizierung ähnlich. Der Dienst bezeichnet die Funktion allerdings als Zweistufige Verifizierung. Die Aktivierung einer Authenticator-App läuft anschliessend nach dem bereits bekannten Muster ab. Im Unterschied zu Google oder Digitec Galaxus stellt PayPal jedoch keine Backup-Codes bereit. Daher empfiehlt es sich, zusätzlich eine zweite Anmeldemethode einzurichten. Besonders praktisch ist die Unterstützung von Passkeys, die bei vielen Diensten als zusätzliche Anmeldemethode neben der klassischen 2FA verwendet werden können, Bild 11.
Bild 11: Manche Dienste wie PayPal ermöglichen zusätzlich die Einrichtung eines Passkeys
PCtipp
Bei einem Passkey erzeugt der Dienst ein individuelles Schlüsselpaar. Der private Schlüssel verbleibt auf Ihrem Gerät und wird durch dieselbe Methode geschützt, die Sie bereits für die Anmeldung verwenden – unter Windows beispielsweise durch die PIN oder einen Fingerabdruck. Um einen Passkey einzurichten, klicken Sie im Bereich Passkey auf Verwalten und anschliessend auf Passkey hinzufügen. Danach bestätigt PayPal zunächst Ihre Identität, etwa durch einen Einmalcode. Jetzt authentifizieren Sie sich auf Ihrem Gerät, beispielsweise mit Ihrer Windows-PIN oder einem Fingerabdruck.
Nach der Einrichtung können Sie sich künftig deutlich komfortabler anmelden. Statt einen Einmalcode aus der Authenticator-App abzutippen, genügt die Eingabe Ihrer Windows-PIN oder die Bestätigung mittels Fingerabdruck, Bild 12.
Bild 12: Bei der Nutzung von Passkeys reicht meistens die Eingabe einer PIN oder die Bestätigung per Fingerabdruck
PCtipp
Ein Passwortmanager wie KeePass schützt Ihre Passwörter mit einem einzigen Master-Passwort
PCtippSoftware-Tipp: Passwortmanager
Wenn Sie noch keinen Passwortmanager verwenden, sollten Sie das nachholen. Besonders gut gefällt uns die Open-Source-Software KeePass unter dem Link keepass.info, auch wenn ihre Oberfläche etwas verstaubt wirkt. Das Programm gilt aber seit vielen Jahren als einer der zuverlässigsten und sichersten Passwortmanager.
KeePass speichert alle Passwörter in einer verschlüsselten Datenbank, die Sie daher zum Beispiel auch in einem Cloud-Speicher ablegen können, um überall darauf zuzugreifen. Den Zugang zu den Daten schützt ein Master-Passwort. Das ist auch das einzige Kennwort, das Sie sich noch merken müssen. Wählen Sie dafür eine lange und einzigartige Passphrase, die aus mehreren zufälligen Wörtern besteht. Solche Passphrasen sind nicht nur sicher, sondern lassen sich auch leichter merken als kurze Kennwörter mit zahlreichen Sonderzeichen. Ein Beispiel für eine Passphrase wäre: 4_gelbe_Zitronen_trommeln_laut!
Ein Passwortmanager bietet gleich mehrere Vorteile. Erstens können Sie darin für jeden von Ihnen genutzten Dienst ein eigenes, sicheres Passwort erzeugen und speichern. Falls doch eines gestohlen werden sollte, ist damit nur ein einziger Dienst kompromittiert. Zweitens können Sie in dem Programm die von den Onlinediensten erzeugten 2FA-Secrets sicher speichern. In diesem Fall ist es später möglich, etwa bei Verlust des Smartphones, die 2FA auf einem anderen Gerät neu einzurichten.
Manche Anbieter wie Google stellen ausserdem spezielle Backup-Codes bereit. Auch diese können Sie sicher in Ihrem Passwortmanager ablegen.
Ohne Backup-Codes oder gesicherte Secrets kann der Verlust des Smartphones ansonsten schnell zu einem Problem werden. Die Wiederherstellung eines 2FA-geschützten Kontozugangs ist je nach Anbieter teils mit erheblichem Aufwand verbunden.
Kommentare