Inhaltsverzeichnis
Meinen ersten Beitrag zum Thema Informationssicherheit möchte ich dem Thema Zwei-Faktor-Authentifizierung (kurz: 2FA) widmen. Zwei-Faktor-Authentifizierung wird für immer mehr Anwendungen im Internet (leider noch nicht für alle) verfügbar und sollte wenn möglich immer genutzt werden. 2FA bietet Euch nämlich zusätzlich zu einem sicheren Passwort einen weiteren Schutzmechanismus vor unerwünschten Zugriffen, z.B. auf Euer Emailpostfach.
Was bedeutet „Zwei-Faktor-Authentifizierung“?
2FA basiert auf dem Ansatz, dass Ihr etwas wisst (Euer Passwort) und dass Ihr etwas besitzt (z.B. Euer Handy auf dem eine 2FA App installiert ist die mit dem entsprechenden Konto verknüpft ist). Bei der 2FA werden beide Dinge abgefragt.
Der 2FA Ansatz schütz Euch jetzt davor, wenn es einem Angreifer gelingen sollte, Euer Passwort zu erhalten (sei es durch erraten eines zu schwachen Passwortes oder weil das Passwort nicht ausreichend beim Emailprovider geschützt war und dadurch veröffentlich wurde). Zwar hat der Angreifer jetzt Euer Passwort, da er aber sehr wahrscheinlich nicht im Besitzt Eueres Handy ist, kann er den 2. Schritt bei der Authentifizierung nicht abschließen und bekommt somit kein Zugriff auf Euer Emailkonto.
Warum ist 2FA so wichtig, ich habe doch ein gutes Passwort?
Ein gutes Passwort ist immer wichtig, aber was heißt eigentlich gut? 20 Zeichen lang, keine Wörter oder Namen, und von allem etwas: Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen? Und das Ganze auch noch leicht zu merken? Wenn Du so ein Passwort hast: prima!
Und jetzt mal ehrlich: für wie viele Konten und Webseiten verwendest Du das gleiche Passwort? Passwörter sind lästig, richtig. Aber sie sind auch wichtig um unerwünschte Zugriffe zu verhindern. Jedes noch so gute Passwort ist jedoch nutzlos, wenn es Kriminelle in die Hände bekommen und das wahrscheinlich auch noch ohne Euer verschulden.
Alle paar Wochen gibt es wieder Meldungen, dass Anmeldenamen und dazugehörige Passwörter (oft dann auch noch unverschlüsselt) durch eine Lücke öffentlich zugänglich waren oder gestohlen wurden. Bekannte Fälle sind z.B. Sony, Adobe (beide schon ein paar Jahr her) oder die beliebte Foto-Community 500px. Und wenn man dann die gleiche Kombination aus Nutzername (häufig ja die Emailadresse) und Passwort noch für andere Konten verwendet, dann hat man den Salat. Jetzt heißt es erstmal: alle Passwörter ändern und zwar so schnell wie möglich.
Hat man hingegen 2FA für ein Konto aktiviert, ist die Sache nicht mehr ganz so dramatisch. Zwar sollte man sein Passwort immer noch ändern (und das gestohlene Passwort ab sofort als Nutzlos betrachten), man kann sich aber etwas Zeit lassen.
Wie genau funktionier 2FA?
Zunächst einmal müsst Ihr 2FA für Euer Benutzerkonto aktivieren. Wie das geht, beschreibe ich Euch weiter unten.
Sobald Ihr 2FA aktiviert und mit Euerem Handy verknüpft habt wir der 2. Faktor jedes Mal bei einer Anmeldung abgefragt:
- Zuerst wird Euer Password wie bisher auch abgefragt
- Anschließend müsst Ihr bestätigen, dass Ihr im Besitz Eures Handy seid. In der Regel erfolgt dies dadurch, dass Ihr einen Nummerncode eingeben müsst, der in der App erzeugt wird. Dieser Code wird alle 30 Sekunden neu erzeugt.
Wie aktiviert Ihr 2FA?
Zunächst solltet Ihr überprüfen, ob Euer Emailprovider oder die Webseite bei der Ihr ein Benutzerkonto habt 2FA unterstütz. Dies geht am einfachsten über die Webseite https://twofactorauth.org/
Bevor Ihr mit der Aktivierung beginnt müsst Ihr Euch zunächst eine entsprechende App auf Eurem Handy installieren. Gratis Apps sind unter anderem
- Google Authenticator (für Android und iOS)
- Amazon AWS MFA (für Android)
- Microsoft Authenticator App (für Android, iOS und Windows Phone)
Die beiden Apps von Google und Microsoft funktionieren sehr ähnlich, die App von Amazon habe ich selber noch nicht ausprobiert.
Als nächstes muss man herausfinden, wo man in seinem Benutzerkonto 2FA aktiviert. Bei Amazon geht das z.B. unter Mein Konto -> Anmeldung und Sicherheit -> Erweiterte Sicherheitseinstellung. Dort bekommt man auch angezeigt, welche Apps und Methoden unterstütz werden. Einige Anwendungen unterstützen z.B. nicht 2FA per App sondern schicken stattdessen den Nummerncode per SMS.
Sobald man 2FA aktiviert, wird ein QR Code angezeigt. Diesen Code muss man mit der App auf dem Handy scannen. Dazu öffnet man die App und fügt ein neues Konto hinzu. Dann nur noch den QR Code scannen und schon ist Euer Handy (bzw. die App darauf) mit dem Benutzerkonto verknüpft.
Was solltet Ihr noch beachten?
Natürlich hat 2FA auch einige Nachteile die hier nicht unerwähnt bleiben sollen. Falls Ihr Euer Handy verlieren solltet oder geklaut wird, habt Ihr natürlich zunächst keine Möglichkeit mehr, Euch über 2FA anzumelden. Solltet Ihr bei der Einrichtung also die Möglichkeit haben, eine Alternative anzugeben, dann solltet Ihr das machen. Somit habt Ihr auch weiterhin die Möglichkeit Euch anzumelden, sollte Euch Euer Handy nicht zur Verfügung stehen.
Außerdem benötigt Ihr für die App eine Datenverbindung. Solltet Ihr Euch also mal in einem Funkloch befinden könntet Ihr Schwierigkeiten bekommen den Nummerncode oder die SMS zu empfangen. Auch solltet Ihr bedenken, dass es im Europäischen Ausland höhere Roaming-Gebühren gibt und Ihr deswegen das Datenroaming ausgeschaltet habt.
Einige Anwendungen wie z.B. Thunderbird oder Outlook unterstützen nicht die sechstelligen Codes oder alle 2FA Lösungen. Für diesen Fall könnte Ihr spezielle App Passwörter nur für diese Anwendung erstellen. Hier ist beschrieben, wie Ihr z.B. 2FA für Gmail mit Outlook aktiviert https://support.google.com/mail/answer/185833?hl=de
Was Ihr darüber hinaus noch bei Passwort-Sicherheit beachten solltet, beschreibe ich in einem weiteren Artikel.
Habt Ihr Fragen oder Anmerkungen? Dann hinterlasst mir in den Kommentaren.