Varianten der 2FA

Unterdessen haben sich verschiedene Verfahren zur 2FA etabliert. Nicht alle sind gleich gut, aber ein «bestes Verfahren» gibt es genauso wenig. Bei einigen Diensten müssen Sie ein einzelnes Verfahren verwenden, das vom Anbieter diktiert wird. Bei anderen ist es möglich, aus einer Reihe von Verfahren das bevorzugte Modell zu wählen.

Der grösste Vorteil einer SMS liegt auf der Hand: Jedes Smartphone auf dieser Welt kann sie empfangen, ohne dass eine zusätzliche Software installiert werden muss. Genauso offensichtlich ist der grösste Nachteil: Wenn die SIM-Karte mit der Mobilnummer weg ist, erhalten Sie auch keine Meldungen mehr. Zudem ist es nicht möglich, mehrere Geräte zu autorisieren. Kurz: Die SMS wirkt sehr praktisch, aber das ist sie nur auf den ersten Blick.

Es geht noch schlimmer: Wird die ganze Ausrüstung samt Notebook gestohlen, können vom Dieb immer noch SMS empfangen werden. Diese werden automatisch auf dem Sperrbildschirm angezeigt, ohne dass dazu das Smartphone entriegelt werden muss.

Tipp: Im besten Fall wird der Inhalt einer SMS erst dann auf dem Sperrbildschirm angezeigt, wenn das Gerät entriegelt wurde. Bei iPhones und iPads ab iOS 12 öffnen Sie die Einstellung «Mitteilungen». Tippen Sie ganz oben auf den Bereich «Vorschauen zeigen» und wählen Sie die Option «Wenn entsperrt».

Unter Android wird die Art der Darstellung in der Einstellung «Benachrichtigungen» verwaltet, wobei der Befehl allerdings je nach Gerät variieren kann:

Ein Lesegerät und eine Karte («Access Card») generieren einmalige Codes, mit denen Sie zum Beispiel ins Onlinebanking gelangen. Dieses Verfahren wird von Geldhäusern wie PostFinance oder UBS bis heute angeboten. Die Sicherheit auf Reisen ist sehr hoch, solange Sie die Karte und das Lesegerät getrennt aufbewahren und die Zugangsdaten nicht auf der Rückseite der Karte notieren. Allerdings nimmt der Spass ein jähes Ende, sobald Sie eines der beiden Elemente verlieren.

Tipp. Geben Sie Lesegerät und Karte bei jemandem zu Hause in Obhut, der Ihnen beim Login telefonisch zur Seite steht und Ihnen die Codes diktiert. Dazu ist nicht einmal ein besonderes Vertrauensverhältnis nötig, denn ohne Benutzernamen und Kennwort kann diese Person auch mit dem Kästchen nicht auf Ihr Konto zugreifen.

Immer mehr Banken gehen dazu über, Lesegerät und Karte durch eine App zu ersetzen. Diese muss zuerst autorisiert werden. So getan, wird zum Beispiel mit dem Smartphone während des Logins ein QR-Code erfasst, damit der temporäre Zugangscode generiert wird. Dieses Verfahren ist zwar sehr komfortabel, aber das autorisierte Gerät muss in Griffweite bleiben.

Oft werden diese Apps durch einen Aktivierungsbrief der Bank autorisiert, von dem zum Beispiel ein Punktmuster eingelesen werden muss. Dieser Brief lässt sich einscannen und im Kennwortmanager ablegen. Doch Vorsicht: Überzeugen Sie sich vor der Abreise, dass dieser Aktivierungsbrief reicht, um ein neues Gerät zu autorisieren. Einige Banken stützen sich nur bei der Einrichtung auf diesen Brief; sobald ein Gerät angemeldet wurde, muss dieses verwendet werden, um ein weiteres Smartphone zu autorisieren.

Tipp. Gegen den Verlust des Zugangs hilft, vor der Reise ein zweites Gerät zu autorisieren, etwa das Smartphone des Partners oder ein Notfall-Smartphone. Wenn das nicht der Fall ist, rufen Sie die Bank an und lassen Sie den Zugriff komplett zurücksetzen, damit Sie ein neues Gerät mit dem Aktivierungsbrief anmelden können.

Einige Anbieter wie zum Beispiel Google offerieren mehrere Arten der 2FA. Wenn alles schiefgeht, können Sie einen Zahlencode verwenden, den Sie jedoch vorab generieren lassen müssen. Bei Google geschieht das in den Sicherheitseinstellungen, die Sie über diese Adresse erreichen. Klicken Sie auf den Bereich «Back-up-Codes».

Tipp. Drucken Sie diese Codes aus und schreiben Sie zum Beispiel einen davon auf die Rückseite einer Visitenkarte, damit er aussieht wie eine Telefonnummer. Speichern Sie die Codes hingegen nicht in jener Cloud, auf die Sie zugreifen möchten – also in diesem Fall nicht in Google Drive oder Gmail. Denn Sie brauchen den Code ja, damit Sie überhaupt auf das Konto zugreifen können.

Dieses Verfahren wird unter anderem bei Apples iCloud und bei den Google-Konten angewendet. Wenn Sie sich zum ersten Mal auf einem neuen Gerät anmelden, schickt Ihnen der Dienst eine Push-Meldung, die Sie fragt, ob Sie sich auf einem neuen Gerät anmelden möchten. Das funktioniert sowohl unter Android als auch unter iOS, wobei auf den Apple-Geräten die Google-App mit dem sinnigen Namen Google installiert werden muss – oder die Gmail-App.