Anmeldung in zwei Schritten

Ein Passwort ist etwas, das Sie wissen. Die Anmeldung in zwei Schritten fügt einen zweiten Nachweis hinzu: etwas, das Sie haben, etwa Ihr Telefon oder einen kleinen Schlüssel, oder etwas, das Sie sind, etwa ein Fingerabdruck. Wer Ihr Passwort stiehlt, kommt ohne das zweite Stück trotzdem nicht hinein.

Sie werden auch die Begriffe Multi-Faktor-Authentifizierung (MFA) oder Zwei-Faktor-Authentifizierung (2FA) sehen. Hier bedeuten sie dasselbe.

Die Empfehlung der CISA ist eindeutig: Phishing-resistente MFA ist der Standard, den Sie anstreben sollten, aber jede MFA ist besser als keine MFA.

Die Arten, die stärkste zuerst

• Passkeys und Sicherheitsschlüssel. Ein Passkey liegt auf Ihrem Telefon oder Computer; ein Sicherheitsschlüssel ist ein kleines Gerät, das Sie einstecken oder antippen. Beide nutzen einen Standard namens FIDO. Die CISA nennt FIDO die einzige breit verfügbare phishing-resistente Authentifizierung, weil sie die Adresse der echten Website prüft und auf einer gefälschten nicht funktioniert.
• Eine Authenticator-App mit Zahlenabgleich. Der Anmeldebildschirm zeigt eine Zahl, und Sie geben sie in die App ein. Der Abgleich macht es viel schwerer, Sie dazu zu bringen, den Anmeldeversuch einer anderen Person zu bestätigen.
• Ein Code aus einer Authenticator-App oder eine Push-Abfrage. Gut, und weit besser als ein Passwort allein.
• Ein Code per SMS. Die schwächste Art, weil SMS abgefangen oder eine Telefonnummer auf eine andere SIM-Karte übertragen werden kann. Trotzdem lohnenswert, wenn nichts anderes angeboten wird.

Nutzen Sie für jedes Konto die stärkste Art, die es anbietet.

Wie der zweite Schritt trotzdem gestohlen wird

Codes können abgefischt werden. Eine gefälschte Anmeldeseite fragt nach Ihrem Passwort, dann nach dem Code, und gibt beides innerhalb von Sekunden an die echte Website weiter. Deshalb sind Passkeys besser: Auf der gefälschten Seite funktionieren sie nicht.

Der andere Trick ist ein Anruf. Jemand gibt sich als IT, Bank oder Dienstleister aus und bittet Sie, „den Code, den wir gerade geschickt haben“ vorzulesen. Kein seriöser Anrufer braucht diesen Code. Legen Sie auf und melden Sie es.

Merken Sie sich: Kein seriöser Anrufer braucht Ihren Anmeldecode. Legen Sie auf und melden Sie es.

Der dritte Trick ist eine Flut von Bestätigungsanfragen, die so lange kommen, bis eine müde Person auf „Bestätigen“ tippt. Wenn Ihr Telefon Sie bittet, eine Anmeldung zu bestätigen, die Sie nicht begonnen haben, hat bereits jemand Ihr Passwort. Lehnen Sie ab, ändern Sie das Passwort und geben Sie Ihrer IT-Ansprechperson Bescheid.

Wo Sie sie zuerst einschalten

1. Ihr E-Mail-Konto. Darüber lässt sich alles andere zurücksetzen.
2. Ihr Passwort-Manager.
3. Alles, womit Geld bewegt wird: Bankkonten, Lohnabrechnung, das Finanzsystem, Zahlungsportale von Dienstleistern.
4. Die Admin-Anmeldung Ihrer Website und die Social-Media-Konten Ihrer Einrichtung.
5. Der Domain-Registrar, bei dem Ihre Webadresse registriert ist. Wenn Sie ihn verlieren, fallen Ihre Website und Ihre E-Mail gleichzeitig aus.

Für ein verlorenes Telefon vorsorgen

Richten Sie einen Weg zurück ein, bevor Sie ihn brauchen. Die meisten Dienste bieten Backup-Codes an: Drucken Sie sie aus und bewahren Sie sie bei Ihren anderen vertraulichen Originalen auf. Viele erlauben es, einen zweiten Passkey oder Sicherheitsschlüssel zu registrieren. Bewahren Sie den Ersatz an einem sicheren Ort auf, getrennt vom ersten.

Wenn Ihre Einrichtung Konten zentral verwaltet, finden Sie heraus, wer die Anmeldung in zwei Schritten zurücksetzt, wenn ein Telefon verloren geht, und wie diese Person prüft, dass wirklich Sie es sind.