Zusätzliche Sicherheit heute unverzichtbar
Dashlane testet Zwei-Faktor-Authentifizierung: Web.de und GMX fallen durch
Die Macher der Passwortverwaltung Dashlane haben die Integration von Zwei-Faktor-Authentifizierung (2FA) auf Verbraucher-Webseiten unter die Lupe genommen. Auf die Methodik kommen wir später noch zu sprechen, grundsätzlich ist es jedoch sicherlich richtig, die Thematik auch auf diese Weise ins Bewusstsein von Kunden und Anbietern zu rufen. Mit Blick auf die stetig zunehmende Bedrohung durch Internetkriminalität sollte die Möglichkeit zur komfortablen erweiterten Absicherung der privaten Benutzerkonten heute eine Selbstverständlichkeit sein.
Unser Blick fällt im Zusammenhang mit dem Test natürlich auch auf jene Webseiten, die keine Möglichkeit zur Zwei-Faktor-Authentifizierung anbieten. Hier werden mit GMX und Web.de zwei in Deutschland immer noch populäre E-Mail-Anbieter gelistet, die in auf ihren Webseiten veröffentlichten News-Artikeln ironischerweise selbst schon mehrfach für das zusätzliche Sicherheitsmerkmal geworben haben. Zitat:
Fehlt ein Dienst auf der Seite, kann man ihn eintragen lassen. Und auch Kontaktmöglichkeiten zu Firmen, die aktuell noch kein 2FA anbieten, gibt es. So kann man den Unternehmen mitteilen, dass man gerne etwas mehr Sicherheit bei der Nutzung ihrer Dienste hätte.
Nachdem die beiden Anbieter diese Bitten selbst offenbar konsequent ignorieren, sollte man vielleicht über einen Wechsel nachdenken.
Apple, Amazon und WhatsApp: Nur 2 Punkte, aber sicher
Apple, Amazon, WhatsApp und weitere Anbieter konnten nur zwei von fünf verfügbaren Punkten erreichen, lasst euch von dieser auf den ersten Blick „schlechten“ Einstufung allerdings nicht zu falschen Schlüssen verleiten. Die Tester haben ihre Punkte wie folgt vergeben: Jeweils einen Punkt gab es für die Möglichkeit der 2FA-Authentifizierung per SMS bzw. E-Mails und über eine softwarebasierte Authentifizierung, sei es über eine App wie Google Authenticator oder ein proprietäres Tool wie Apples in iOS und macOS integrierte Anzeige. Die übrigen drei Punkte kann sich ein Anbieter am Stück verdienen, wenn er eine Hardware-Lösung wie den USB-Stick YubiKey unterstützt. Wenngleich derartige Verfahren höchstes Ansehen genießen, dürft ihr euch als Nutzer von Apples mit „lediglich“ zwei Punkten bewerteter Zwei-Faktor-Authentifizierung dennoch ausreichend abgesichert fühlen.
Auf der Liste der mit voller Punktzahl bewerteter Angebote findet sich neben Google, Posteo, Dropbox, Twitter und Facebook dann auch bitcoin.de. Wer hier in größerem Stil mit Kryptowährungen handelt sollte wohl in der Tat vor den mit einem Hardwareschlüssel verbundenen zusätzlichen Kosten und Aufwand nicht zurückschrecken.
Auf der Webseite twofactorauth.org lässt sich schnell nachschlagen, welche Anbieter Zwei-Faktor-Authentifizierung unterstützen und welche nicht.
Mir ist die Tage aufgefallen, dass der Login bei Account.apple den Code auch auf dem MacBook anzeigt, über den ich gerade den Login vornehme. Kommt wir etwas suspekt vor…
Das ist hier erklärt: https://www.ifun.de/2-faktor-authentifizierung-warum-die-bestaetigungscodes-ueberall-angezeigt-werden-125477/
Da frage ich mich allerdings nach der Sinnhaftigkeit der Statistik. Ein Unternehmen kann sich 5 Sterne verdienen indem es die Hardware „unterstützt“, aber nicht „voraussetzt“. Das sind für mich 2 verschiedene paar Schuhe. Und jetzt fragt sich jeder wann er zur Sicherung von Facebook extra Hardware verwendet und generell warum Facebook der Liste steht.
Die Zusätzliche Hardware ist wenn für die Kryptowährungen
Laut des Artikels, kann sich eine Firma die 5 Sterne nur verdienen wenn sie die Hardwarelösung mit anbietet, also muss das zb Facebook auch sein
Seit dem man sich für jeden kleinen Dienst, Onlineshop oder für Apps irgendwo anmelden muss, mache ich die 2 Faktor Authentifizierung wo es geht. Tatsächlich auch mal mitbekommen, das sich jemand an meiner AppleID ranmachen wollte… kann man so sofort unterbinden, kann ich nur empfehlen. Verstehe nicht, dass dies beim Onlinebanking noch nicht im großen Stil umgesetzt ist, sogar das YouTube Konto kann man gegen fernzugriff schützen!
Beim Online Banking gibt es doch durch die TAN eine 2FA für Überweisungen.
Bei Onlinebanking reicht es oft, wenn man sich 3x falsch anmeldet, dann wird der Zugang sofort gesperrt. Deshalb sind dort auch oft nur sehr kurze Passwörter möglich oder nur welche bestehend aus Zahlen. Viel schlimmer finde ich die Tatsache, dass jemand der deine Kontonummer (oder IBAN) kennt, sich einen Spaß erlauben kann und so deinen Onlinebanking Zugang sperren kann. Während ich die Apple-ID im Zweifelsfall ändern kann um weitere Angriffe auf meinen Account zu unterbinden, geht das beim Onlinebanking nicht so einfach. Deshalb müsste hier der Zugang über ein nur für den Kunden bekanntes Merkmal erfolgen und nicht nur über die Kontodaten. Das finde ich viel wichtiger als die Zwei-Faktor-Authentifizierung, da Überweisungen und solche Dinge ja eh nochmal über eine TAN geschützt sind, also über eine Zwei-Faktor-Authentifizierung.
Gut organisierte Banken verwenden zur Anmeldung beim Online-Banking auch nicht die IBAN, sondern ein anderes Merkmal (z.B. die nicht daraus ableitbare Kundennummer oder einen extra Account-Namen). Darauf sollte man bei der Auswahl achten. Das geht ja zum Glück ganz leicht, indem man sich mal auf der Website bis zum Online-Banking-Portal weiterhangelt.
Eine Authentifizierung, bei welcher ich eine SMS anfordern muß, leitet weitere Daten online weiter, ist sicherheitstechnisch mithin diametral kontraproduktiv, anwendungsmäßig sowieso. Ich fahre doch nicht nach Rom über HH.
Die einzigen Daten die beim tatsächlichen Anmeldevorgang zusätzlich online weiter geleitet werden, sind die TAN/OTP selbst durch den Anwender zum Diesntleister und damit genau soviel wie notwendig (nicht mehr).
Jedoch muss man für sich selbst vorher einmalig entscheiden, ob man dem Dienstleister für seine Dienstleistung die zusätzlichen Daten (meist die Handy-Nummer) anvertrauen möchte. Das hängt für mich persönlich sowohl von der Reputation des Dienstleisters als auch von der Wichtigkeit der Dienstleistung ab. Bei unkritischen Dienstleistungen nutze ich 2FA meist gar nicht, für kritische suche ich mir die Dienstleister sehr genau aus.
Danach ist jedoch dieses Datum dem Dienstleister bekannt und muss eben nicht nochmal übertragen werden.