Anmeldung in zwei Schritten

Ein sechsstelliger Code hat genau 1 000 000 mögliche Werte, ein Dieb mit deinem Passwort, der fünf Versuche hat, liegt also mit einer Chance von 1 zu 200 000 richtig.

Ein Dieb hat dein Passwort. Wie stehen die Chancen beim Code?

Fang mit einem Rätsel an. Jemand hat dein Passwort gestohlen, aber die Website verlangt zusätzlich einen sechsstelligen Code, und der Dieb hat fünf Versuche. Wie wahrscheinlich ist ein Glückstreffer? Rechne es in der Übung unten aus, bevor du weiterliest.

Sechs Ziffern reichen von 000000 bis 999999, das sind 10⁶ = 1 000 000 Codes. Fünf Versuche ergeben eine Chance von 5 zu 1 000 000, also 1 zu 200 000. Mit dem Passwort allein war der Dieb schon drin. Mit dem Code fast nie. Genau diesen Unterschied bringt dir die Mehr-Faktor-Authentifizierung.

Drei Arten von Nachweis, und warum zwei Passwörter trotzdem nur eine sind

Die Mehr-Faktor-Authentifizierung (MFA), oft Zwei-Faktor- oder Zwei-Schritt-Anmeldung genannt, verlangt Nachweise aus mehr als einer Art von Faktor. Die CISA teilt die Arten ein in etwas, das du weißt (ein Passwort oder eine PIN), etwas, das du hast (ein Handy oder einen Sicherheitsschlüssel), und etwas, das du bist (ein Fingerabdruck oder ein Gesicht). Zwei Passwörter sind immer noch eine Art. Der Rat der CISA für alle lautet, MFA bei jedem Konto einzuschalten, das es anbietet, angefangen bei E-Mail, sozialen Medien und Finanzkonten. E-Mail kommt zuerst, weil dorthin die Links zum Zurücksetzen von Passwörtern geschickt werden. Wer dein Postfach kontrolliert, kann fast alles andere zurücksetzen.

Codes, die sich weiterreichen lassen, und Schlüssel, bei denen das nicht geht

Die üblichen Möglichkeiten unterscheiden sich darin, wie gut sie standhalten. Ein Code per SMS oder Sprachanruf läuft über das Telefonnetz. NIST stuft das als eingeschränkten Authentifikator ein. Er ist weiter erlaubt, aber Dienste müssen eine Alternative anbieten und die Nutzer vor den Risiken warnen und sollten auf Anzeichen wie einen kürzlichen SIM-Wechsel oder eine Rufnummernmitnahme achten, denn Kriminelle können einen Mobilfunkanbieter dazu bringen, deine Nummer auf ihre SIM zu übertragen. Ein Code aus einer Authentifikator-App wird auf deinem Handy erzeugt und geht nie über das Netz. Push-Benachrichtigungen bitten dich, auf Genehmigen zu tippen. Kriminelle schicken manchmal Dutzende Anfragen in der Hoffnung, dass du eine bestätigst, damit sie aufhören, deshalb empfiehlt die CISA Number Matching, bei dem du eine Zahl eintippst, die auf dem Anmeldebildschirm angezeigt wird.

All das kann trotzdem abgefischt werden. Eine gefälschte Anmeldeseite fragt nach deinem Code, du tippst ihn ein, und der Kriminelle gibt ihn innerhalb von Sekunden an die echte Website weiter. NIST sagt klar, dass Verfahren, bei denen ein Code von Hand eingegeben wird, nicht phishingresistent sind, weil nichts den Code an die echte Website bindet. Die CISA nennt phishingresistente MFA den Goldstandard und sagt, dass die einzige weit verbreitete Art FIDO/WebAuthn ist: Sicherheitsschlüssel und Passkeys, die, wie die vorige Einheit gezeigt hat, nur der Website antworten, für die sie erstellt wurden. Jede MFA ist trotzdem viel besser als keine.

Bevor das Handy verloren geht

Wenn du die Anmeldung in zwei Schritten einschaltest, zeigen die meisten Dienste eine Liste einmaliger Wiederherstellungscodes. NIST nennt sie Look-up Secrets. Sie sind dein Weg zurück ins Konto, wenn du dein Handy verlierst, bewahre sie also sicher und getrennt vom Handy auf: ausgedruckt zu Hause oder in einem Passwortmanager. Füge sie nie in eine E-Mail an dich selbst ein und lies nie einen davon jemandem vor, der dich anruft. Kein echtes Support-Team braucht ihn.

Plane für ein verlorenes oder neues Handy, bevor es so weit ist. Bei den meisten Diensten kannst du mehr als einen zweiten Faktor registrieren, zum Beispiel eine Authentifikator-App und einen Sicherheitsschlüssel oder einen Passkey auf zwei Geräten. Wenn du das Handy wechselst, übertrage deine Authentifikator-App oder deine Passkeys auf das neue Handy, bevor du das alte löschst. Geht ein Handy verloren, melde dich mit einem Wiederherstellungscode oder einem anderen Faktor an und entferne das verlorene Gerät aus jedem Konto.