Letzte Aktualisierung des Beitrags am 20. Juni 2015
Im ersten Teil der Serie ging es darum, wie andere Seiten beim einfachen Surfen Informationen über uns und unsere Gewohnheiten sammeln. Hier geht es um etwas viel tiefgreiferenderes: die eigene Online-Identität. Denn die ist voll mit Daten: den persönlichen E-Mails, vertraulichen Facebook-Nachrichten, dem eigenen Adressbuch, teils sogar den persönlichen Suchverlauf bei Google. Alles Inhalte, die fremde Personen nun wahrlich nichts angehen.
Es ist so schön einfach: du hast ein langes, (vermeintlich) sicheres Passwort. Mit Zahlen. Und Großbuchstaben. Und Sonderzeichen! Und du kannst es dir merken. Denn du brauchst es überall: Bei Facebook. Bei Twitter. Beim Bezahlen via PayPal. Und natürlich für deinen Google Account. Und eine eigene Website hast du inzwischen auch. Da nimmst du es natürlich auch her. Ist so ja so schön lang und sicher.
Und ich sage: am Arsch. Du weißt nicht, wie der billig programmierte Dienst von nebenan dein super langes und sicheres Passwort speichert. Du gibst es bei Online-Diensten ein, die ihren Login nicht über TLS (http:// statt https://) verschlüsseln und somit kann jeder, der sich im gleichen Netzwerk befindet, deine Anmeldeinformationen mitlesen. Und du weißt auch nicht, ob dir beim letzten Eintippen nicht vielleicht doch jemand ganz genau auf die Finger geschaut hat. Oder einen Keylogger auf seinem PC mitlaufen lässt, auf dem du dich „mal eben kurz“ anmeldest.
Die schlechte Nachricht: du solltest dir unbedingt einen Passwort-Tresor zulegen. Und für jeden Dienst im Web ein eigenes Passwort verwenden. Und ja, das ist umständlicher als dein einzelnes Standard-Passwort. Unbequemer. Aufwändiger. Aber es schützt vor Viagra-Werbung auf der Seite und einem plötzlich geleertem Bankkonto.
2FA und U2F
Die gute Nachricht: du kannst dein super Passwort behalten. Zumindest bei Diensten, die dir eine Zwei-Faktor-Authentifizierung anbieten. 2FA kurz erklärt: du hast einen Benutzernamen und ein Passwort, brauchst aber neben diesen Authentifizierungsdaten noch eine zweite Instanz, die dich autorisiert. Das kann ein PIN-Code sein, der an dein Handy geschickt wird, das kann eine TAN sein, wie man es vom Online-Banking kennt. Es kann aber auch ein Sicherheitsschlüssel sein. Letzteres ist Hardware und kostet Geld. In der Top-Ausstattung und mit allen fancy Funktionen um die 50-60 Euro. Einmalig. Für einige Dienste ist er bereits nutzbar und viele weitere Folgen hoffentlich in Zukunft. Denn es gibt endlich einen Standard, auf den sich die großen Unternehmen im Markt verständigt haben: Intel, Lenovo, Microsoft, PayPal, RSA, Visa, Samsung, um nur einige wenige zu nennen.
Richtig Schwung in die Sache hat aber der Online-Gigant Google gebracht: dieser bietet seit Mai 2015 die sogenannte U2F (Universal 2. Factor) Authentifizierung an, um den eigenen Google-Account abzusichern. Kein Warten auf eine Bestätigungs-SMS inklusive Abtippen, sondern einloggen, Sicherheitsschlüssel schnell in den USB-Port, einmal drauf tippen, fertig.
Also selbst wenn jemand eure Zugangsdaten rausfindet: der unerwünschte Eindringling benötigt dann immer noch die zweite Authentifizierungs-Stufe – und die hängt im Idealfall an eurem Schlüsselbund und somit nicht in Reichweite von dem Übeltäter.
Schwachstelle: aktuelle Verbreitung
Der Standard ist geschaffen, aber noch längst nicht etabliert. PayPal lässt leider noch auf sich warten (bieten aber bereits 2FA via SMS und ihren proprietären TOTP-Schlüssel), Microsoft will FIDO 2.0 in Windows 10 integrieren und bei den hiesigen Banken sieht es noch richtig mau aus. Den eigenen Google-Account aber mit einer Zwei-Faktor-Authentifizierung abzusichern ist bei der Vielzahl an Diensten goldwert. Und wer WordPress nutzt, sollte sich ebenfalls mal mit dem genialen Plugin 2FA beschäftigen.
Weiterführende Informationen