SMS, Authentifizierungs-Apps und mehr

Viele Onlinedienste bieten eine Zwei-Faktor-Authentifizierung an, die die Sicherheit erhöht, da für die Anmeldung mehr als nur Ihr Passwort erforderlich ist. Es gibt viele verschiedene Arten zusätzlicher Authentifizierungsmethoden, die Sie verwenden können.

Verschiedene Dienste bieten verschiedene Zwei-Faktor-Authentifizierungsmethoden an, und in einigen Fällen können Sie sogar aus einigen verschiedenen Optionen wählen. Hier ist, wie sie funktionieren und wie sie sich unterscheiden.

SMS-Verifizierung

Bei vielen Diensten können Sie sich anmelden, um eine SMS-Nachricht zu erhalten, wenn Sie sich bei Ihrem Konto anmelden. Diese SMS-Nachricht enthält einen kurzen einmaligen Code, den Sie eingeben müssen. Bei diesem System wird Ihr Mobiltelefon als zweite Authentifizierungsmethode verwendet. Jemand kann nicht nur auf Ihr Konto zugreifen, wenn er Ihr Passwort hat – er benötigt Ihr Passwort und Zugriff auf Ihr Telefon oder seine SMS-Nachrichten.

Dies ist praktisch, da Sie nichts Besonderes tun müssen und die meisten Leute ein Handy haben. Einige Dienste wählen sogar eine Telefonnummer und lassen ein automatisches System einen Code sprechen, sodass Sie dies mit einer Festnetznummer verwenden können, die keine Textnachrichten empfangen kann.

Es gibt jedoch große Probleme mit der SMS-Verifizierung. Angreifer können mit SIM-Swap-Angriffen an Ihre sicheren Codes gelangen oder diese dank Schwachstellen im Mobilfunknetz abfangen. Wir empfehlen, nach Möglichkeit keine SMS zu verwenden. SMS-Nachrichten sind jedoch immer noch viel sicherer, als gar keine Zwei-Faktor-Authentifizierung zu verwenden!

App-generierte Codes (wie Google Authenticator und Authy)

Sie können Ihre Codes auch von einer App auf Ihrem Telefon generieren lassen. Die bekannteste App dafür ist der Google Authenticator, den Google für Android und iPhone anbietet. Wir bevorzugen jedoch Authy, der alles macht Google-Authentifikator tut – und mehr. Trotz des Namens verwenden diese Apps einen offenen Standard. Es ist beispielsweise möglich, der Google Authenticator-App Microsoft-Konten und viele andere Kontotypen hinzuzufügen.

Installieren Sie die App, scannen Sie den Code beim Einrichten eines neuen Kontos und diese App generiert ungefähr alle 30 Sekunden neue Codes. Sie müssen den aktuellen Code, der in der App auf Ihrem Telefon angezeigt wird, sowie Ihr Passwort eingeben, wenn Sie sich bei einem Konto anmelden.

Dazu ist überhaupt kein Mobilfunksignal erforderlich, und der „Seed“, der es der App ermöglicht, diese zeitlich begrenzten Codes zu generieren, wird nur auf Ihrem Gerät gespeichert. Das bedeutet, dass es viel sicherer ist, da selbst jemand, der Zugriff auf Ihre Telefonnummer erhält oder Ihre Textnachrichten abfängt, Ihre Codes nicht kennt.

Einige Dienste – zum Beispiel Blizzards Battle.net-Authentifikator– haben auch ihre eigenen dedizierten codegenerierenden Apps.

Physische Authentifizierungsschlüssel

Physische Authentifizierungsschlüssel sind eine weitere Option, die immer beliebter wird. Große Unternehmen aus dem Technologie- und Finanzsektor erstellen einen Standard namens U2F, und es ist bereits möglich, einen physischen U2F-Token zu verwenden, um Ihre Google-, Dropbox- und GitHub-Konten zu sichern. Dies ist nur ein kleiner USB-Schlüssel, den Sie an Ihren Schlüsselbund stecken. Wenn Sie sich von einem neuen Computer aus bei Ihrem Konto anmelden möchten, müssen Sie den USB-Stick einstecken und eine Taste darauf drücken. Das war’s – keine Codes eingeben. Zukünftig sollen diese Geräte mit NFC und Bluetooth arbeiten, um mit mobilen Geräten ohne USB-Anschlüsse zu kommunizieren.

Diese Lösung funktioniert besser als SMS-Verifizierung und Einmalcodes, da sie nicht abgefangen und manipuliert werden kann. Es ist auch einfacher und bequemer zu bedienen. Eine Phishing-Site könnte Ihnen beispielsweise eine gefälschte Google-Anmeldeseite anzeigen und Ihren einmaligen Code erfassen, wenn Sie versuchen, sich anzumelden. Sie könnten dann diesen Code verwenden, um sich bei Google anzumelden. Mit einem physischen Authentifizierungsschlüssel, der mit Ihrem Browser zusammenarbeitet, kann der Browser jedoch sicherstellen, dass er mit der echten Website kommuniziert und der Code nicht von einem Angreifer abgefangen werden kann.

Erwarten Sie, dass Sie in Zukunft noch viel mehr davon sehen werden.

App-basierte Authentifizierung

Einige mobile Apps bieten möglicherweise eine Zwei-Faktor-Authentifizierung mithilfe der App selbst. Google bietet beispielsweise jetzt eine codelose Zwei-Faktor-Authentifizierung an, solange Sie die Google-App auf Ihrem Telefon installiert haben. Wenn Sie versuchen, sich von einem anderen Computer oder Gerät aus bei Google anzumelden, müssen Sie nur auf eine Schaltfläche auf Ihrem Telefon tippen, ohne dass ein Code erforderlich ist. Google überprüft, ob Sie Zugriff auf Ihr Telefon haben, bevor Sie sich anmelden.

Die zweistufige Verifizierung von Apple funktioniert ähnlich, verwendet jedoch keine App, sondern das iOS-Betriebssystem selbst. Wenn Sie versuchen, sich von einem neuen Gerät aus anzumelden, können Sie einen Einmalcode an ein registriertes Gerät wie Ihr iPhone oder iPad senden. Die mobile App von Twitter hat eine ähnliche Funktion namens Anmeldebestätigung sowie. Und Google und Microsoft haben diese Funktion zum Google und Microsoft-Authentifikator Smartphone-Apps.

E-Mail-basierte Systeme

Andere Dienste verlassen sich auf Ihr E-Mail-Konto, um Sie zu authentifizieren. Wenn Sie beispielsweise Steam Guard aktivieren, fordert Steam Sie jedes Mal auf, wenn Sie sich von einem neuen Computer aus anmelden, einen Einmalcode einzugeben, der an Ihre E-Mail-Adresse gesendet wird. Dies stellt zumindest sicher, dass ein Angreifer sowohl Ihr Steam-Kontokennwort als auch Zugriff auf Ihr E-Mail-Konto benötigt, um Zugriff auf dieses Konto zu erhalten.

Dies ist nicht so sicher wie andere zweistufige Verifizierungsmethoden, da es für jemanden leicht sein kann, auf Ihr E-Mail-Konto zuzugreifen, insbesondere wenn Sie keine zweistufige Verifizierung verwenden! Vermeiden Sie eine E-Mail-basierte Verifizierung, wenn Sie etwas Stärkeres verwenden können. (Glücklicherweise bietet Steam eine App-basierte Authentifizierung in seiner mobilen App an.)

Der letzte Ausweg: Wiederherstellungscodes

Wiederherstellungscodes bieten ein Sicherheitsnetz für den Fall, dass Sie die Zwei-Faktor-Authentifizierungsmethode verlieren. Wenn Sie die Zwei-Faktor-Authentifizierung einrichten, erhalten Sie normalerweise Wiederherstellungscodes, die Sie aufschreiben und an einem sicheren Ort aufbewahren sollten. Sie benötigen sie, wenn Sie jemals Ihre zweistufige Bestätigungsmethode verlieren.

Stellen Sie sicher, dass Sie irgendwo eine Kopie Ihrer Wiederherstellungscodes haben, wenn Sie die zweistufige Authentifizierung verwenden.

Sie werden nicht für jedes Ihrer Konten so viele Optionen finden. Viele Dienste bieten jedoch mehrere zweistufige Verifizierungsmethoden an, aus denen Sie auswählen können.

Es gibt auch die Möglichkeit, mehrere Zwei-Faktor-Authentifizierungsmethoden zu verwenden. Wenn Sie beispielsweise sowohl eine codegenerierende App als auch einen physischen Sicherheitsschlüssel einrichten, können Sie über die App auf Ihr Konto zugreifen, falls Sie den physischen Schlüssel einmal verlieren.