Onlinekonten: Zwei-Faktor-Authentifizierung mit Fallschirm

Unterdessen hat es sich herumgesprochen, dass die Zwei-Faktor-Authentifizierung (kurz: 2FA) der sicherste Weg ist, um seine Onlinekonten gegen Betrüger abzusichern. Wenn sie aktiviert ist, reichen Benutzername und Kennwort nicht, um auf ein Konto zuzugreifen. Stattdessen wird bei der Anmeldung ein weiteres Sicherheitsmerkmal verlangt, das nur der Inhaber kennt. Das kann ein SMS-Code sein, eine Streichliste oder ein vertrauenswürdiges Gerät.

Das macht es für einen Betrüger fast unmöglich, auf das Konto zuzugreifen – selbst, wenn er vielleicht durch eine Betrugsmail an den Benutzernamen und das Kennwort herangekommen ist. Deshalb ist es fahrlässig, auf die 2FA zu verzichten, wenn sie vom Betreiber des Dienstes angeboten wird. Das gilt erst recht, weil heute fast alle relevanten Dienste die 2FA anbieten.

Doch nicht jeder Dienst bietet alle Methoden. Eine sehr umfangreiche Liste finden Sie unter der Adresse twofactorauth.org, gruppiert nach der Art des Dienstes. Am einfachsten tippen Sie den Namen des gewünschten Dienstes in das Suchfeld ein. Wenn ein Dienst Einmal-Kennwörter anbietet, sehen Sie ein Häkchen in der Spalte Software Token:

Heute läuft die 2FA meistens so ab, dass beim zusätzlichen Sicherheitselement das Smartphone involviert ist. Vielleicht muss es ein einmaliges Kennwort generieren, eine SMS empfangen oder eine Anmeldung durch eine Push-Nachricht absegnen. Doch was passiert, wenn dieses zentrale Element auf Reisen abhandenkommt? Natürlich können Sie schnurstracks zum nächsten Händler marschieren und sich ein neues Gerät kaufen. Aber um sich bei Ihren Konten anzumelden, brauchen Sie das alte Gerät für die 2FA.

Und jetzt fangen die Schwierigkeiten erst an.

Bevor Sie also eine Reise antreten, bei der Sie sich zum grössten Teil auf das Smartphone stützen, sollten Sie sich einen Plan B zurechtlegen. Denn in den meisten Fällen ist es nicht praktikabel, beim Kontoanbieter ein neues Kennwort anzufordern. Manchmal dauert die Prozedur sogar Tage oder Wochen, zum Beispiel bei einem Microsoft-Konto.

Dabei handelt es sich nicht um eine Schikane, sondern um eine weitere Absicherung: Sie werden über die Schritte immer per E-Mail informiert und können jederzeit die Reissleine ziehen, falls jemand von aussen versucht, die Kontodaten zu ändern. Es ist deshalb nicht möglich, ein Onlinekonto in einer Nacht-und-Nebelaktion zu kapern.