How To Live Online – Make the Most of the Internet

2FA wird seit Jahren für erhöhte Sicherheit angepriesen und ist dir mittlerweile vermutlich schon hier und da begegnet. Ich weiss nicht wie oft ich mich schon gefragt habe, ob Zwei-Faktor-Authentisierung den erhöhten Aufwand rechtfertigt. Die Antwort auf diese Frage ist mir bewusst (immerhin arbeite ich seit Jahren in der IT Branche) - und du ahnst es vermutlich auch: 2FA stellt eine signifikante Erhöhung der Sicherheit dar. Der zusätzliche Aufwand von 2FA liegt im Durchschnitt unter einer Minute und reduziert laut Studien die Erfolge für automatisches Hacking um 99.99%. Diesen Prozentsatz äusserte Alex Weinert (Microsoft Director für Identitätssicherheit bei Microsoft) in seinem Blog. Dennoch ist ist die Hauptreaktion (auch meine eigene) auf dieses Thema meistens leider eher negativ, denn, es macht das Einloggen umständlicher. Das ist aber genau der Punkt: der lästige Code per SMS oder Auth App bedeutet zwar mehr Aufwand, aber er bedeutet eben auch, dass es Zugriff zu zwei Zugangsmethoden braucht.Zum einen das klassische Passwort und zum anderen der Auth-Code, der immer neu auf einem zweiten Medium generiert wird, zu welchem Zugang bestehen muss. Wenn jemand deine Geräte kompromittiert hat, lassen sich mit Tools, wie Keyloggern Eingaben auf der Tastatur aufzeichnen, um an Passwörter zu gelangen. Es kann aber auch passieren, dass du Phishing zum Opfer gefallen bist (mehr zu Phishing erfährst du in diesem Artikel). Normalerweise bedeutet das, Dritte können auf das betreffende Kundenkonto zugreifen. Wenn du aber Zwei-Faktor-Authentisierung (häufig auch Authentifizierung genannt) aktivierst, reichen die erbeuteten Angaben nicht, um Zugang auf deine Kundenkonten zu erhalten. Es braucht noch einen Schritt mehr. Einen zweiten Faktor. 2FA-Arten SMSAuth-Code AppStick Diese drei Medien sind die, die von uns normalen Anwendern genutzt werden. Es gibt noch entsprechend weitergehende Varianten (z.b. Smartcards), wie sie von Regierungsbehörden verwendet werde, doch kenne ich mich da weder gut genug aus, noch glaube ich, dass diese Varianten für diesen Artikel wirklich relevant sind. Wie die Auth-Codes (die man eigentlich Token nennt) generiert werden, hängt von der Technologie im Hintergrund ab, welche dann das oben genannte Ausgabemedium füttert.Es gibt diverse Technologien, die sich teils grundlegend in der Methodik unterscheiden, aber das Ergebnis ist für uns Anwender an und für sich das gleiche - mehr Sicherheit. SMS: Die absolute Mindest-Variante, die du verwenden solltest. Sie gilt als die am wenigsten sicherste 2FA-Methode. Obwohl das die Wahrheit ist, bedeutet das Aktivieren von 2FA via SMS noch immer eine massive Verbesserung der Sicherheit, im Vergleich zum klassischen Gebrauch ohne. Auth-Code App: Bedeutet eine weitere App auf deinem Gerät, aber defintiv eine sinnvolle. Ist die Einrichtung abgeschlossen, wird die App in regelmässigen Intervallen Codes generieren, die du verwenden kannst um dich anzumelden. Das Vorgehen ist denkbar einfach: Installiere die Authenticator-App auf deinem Smartphone (falls noch nicht geschehen)Wechsel zu den Sicherheitseinstellungen des Dienstes, für den du die App verwenden möchstWähle 2FA (wenn es diese Option gibt). Der Dienst zeigt dir dann einen QR-Code, den du mit der 2FA-App eingescannen kannst.Scanne den Code mit deiner App.Nutze den aktuell generierten Code Stick: Um die Einrichtung zu bestätigen, muss lediglich der Stick mit dem Gerät, das du für die Anmeldung verwendest, verbinden, und auf die Bestätigungstaste gedrückt werden (oder je nach Modell die PIN o.ä. eingegeben werden). Sehr überschaubar also. Es gibt verschiedene Modelle, die verschiedene Verbindungsarten unterstützen: USBNFC (ist dir vielleicht schon vom kontaktlosen Bezahlen bekannt)Bluetooth Wo du diese Sticks bekommst: Anbieter gibt es viele, aber der wohl namenhafteste ist Yubico. Hier gehts zum Anbieter. Die Sticks gelten, durch das Konzept als die sicherste der drei Methoden. Klicke hier wenn du ein bisschen was über die Kryptografie hinter den Sticks lesen möchtest Bei der Registrierung werden zwei kryptografische Schlüssel erstellt: je ein privater und ein öffentlicher. Der öffentliche Schlüssel wird auf dem Server gespeichert, der private Schlüssel auf dem Stick, der das Gerät niemals verlässt. Der private Schlüssel wird verwendet, um die Anmeldung zu verschlüsseln, die an den Server übermittelt wird und nur dem öffentlichen Schlüssel entschlüsselt werden kann. Wenn jemand versucht eine gefälschte Anmeldebestätigung zu übertragen, die logischerweise mit einem falschen privaten Schlüssel verschlüsselt wurde, entsteht fliegt der Schwindel bei der Entschlüsselung mit dem öffentlichen Schlüssel auf, und der Dienst verweigert den Zugriff auf dein Kundenkonto. Jetzt da, wir die grundlegenden Punkte für 2FA besprochen haben, fragst du dich vielleicht, ob du dieses Feature für alle deine Dienste aktivieren solltest. Die ehrliche Antwort lautet: ja.Aber bei unwichtigen Diensten ist es vielleicht weniger relevant. Als Faustregel kannst du dir merken: sobald das Kundenkonto wichtige persönliche Angaben enthält (insbesondere Bankdetails) und für Identitätsdiebstahl missbraucht werden könnten, solltest du deinen Zugang mit Zwei-Faktor-Authentisierung sichern. Es gibt auch gewisse Convenience-Funktionen die den Zugang vereinfachen, doch sind diese mit Vorsicht zu geniessen. Natürlich heißt das nicht, dass Funktionen, wie "Angemeldet bleiben" zwingend zu meiden sind, aber defintiv, dass man mit ihnen ein Sicherheitsrisiko in kauf nimmt. Das liegt nicht nur daran, dass bei einem Diebstahl deines Geräts deine Kundenkonten offen wären, sondern auch wenn jemand dein Gerät mit Schadsoftware infiziert und Fernzugriff besteht (also kein physikalischer Zugang benötigt wird). Ich hoffe ich konnte dir die Wichtigkeit von 2FA näherbringen und es erscheint dir das nächste Mal ein kleines bisschen weniger nervig.Wenn dir der Artikel gefallen hat kannst du ihn gerne an Freunde und Bekannte weiterschicken, damit sie nicht irgendwann ernste Probleme bekommen, die leicht hätten vermieden werden können. Falls du noch etwas Musse hast, kannst du gerne noch zwei Bonus Tipps mitnehmen: Sensibilisiere dich für Social Engineering: Auch das beste 2FA ist nutzlos wenn die Codes an Dritte weitergegeben werden. Das klingt vielleicht selbstverständlich, aber leider gibt es genug Fälle, bei denen Betrüger es schaffen Anwender zu überzeugen, Codes herauszugeben. Da diese Betrüger darauf geschult werden, vertrauenswürdig zu wirken ist es nicht verwunderlich. Dieses vorgehen nennt man "Social Engineering" und das häufigste Merkmal für einen solchen Betrugsversuch ist Zeitdruck und das Ausnutzen von Emotionen (Angst, Freude, etc.). Der Betrugsversuch kann in den unterschiedlichsten Facetten auftreten, aber das Ziel ist immer das selbe: eine sofortige Reaktion von dir zu erwirken. Lass dich nicht darauf ein und prüfe in aller Ruhe die Sachlage: wieso ist es notwendig den Code herauszugeben? Kann ich den Grund beim Dienstanbieter in der Web- oder Anwendungsoberfläche nachvollziehen? Was schreiben andere Benutzer über ähnliche Kontaktversuche. Eine kurze Recherche schadet nie. Nutze Plus-Addressing um deine Dienste zu registrieren Du kannst deine Sicherheit noch mehr erhöhen indem du nicht nur 2FA verwendest, sondern dich für Dienste mit unterschiedlichen E-Mail Adressen registrierst. Damit du nicht dutzende verschiedene brauchst, kann du Plus-Addressing verwenden (vorausgesetzt dein Anbieter unterstützt das). Hier kannst du mehr über dieses Vorgehen erfahren.

Beginner Guides?

Beginner Guides?

JETZT RAUSFINDEN!

Neueste Posts