How To: Zwei-Faktor-Authentifizierung
Inzwischen hat es sich herumgesprochen, dass Passwörter aus Zahlenreihen, Geburtsdaten oder Haustiernamen nicht nur ziemlich unkreativ, sondern vielmehr eine Einladung zum Identitätsdiebstahl sind. Dennoch landete auch im vergangenen Jahr die Zahlenreihe „123456“ auf Platz 1 der beliebtesten Passwörter des Jahres 2019. Leider wird die Cyberkriminalität von vielen Nutzern noch immer unterschätzt. Vor allem für Unternehmen kann ein unzureichender Schutz schlimmstenfalls den Ruin bedeuten.
Anfang Mai sorgte der Hackerangriff auf den deutschsprachigen Instagram-Account von Mercedes-Benz für Schlagzeilen – ein Horrorszenario nicht nur für das Social Media Team. Dabei übernahm der Hacker für mehrere Stunden den Account und teilte sowohl geschmacklose Inhalte als auch gefälschte Spendenlinks mit der 6,7 Mio. großen Community des Automobilbauers. Dieser Vorfall verdeutlicht umso mehr, wie wichtig es ist, die eigenen Accounts vor kriminellen Machenschaften zu schützen. Dafür bieten die sozialen Netzwerke die sogenannte Zwei-Faktor-Authentifizierung an, die unerwünschte Zugriffe auf die Accounts vermeiden soll. Doch doppelt hält nicht zwingend besser und auch die Zwei-Faktor-Authentifizierung ist kein Allheilmittel gegen Hackerangriffe.
In diesem Beitrag gehen wir auf den Schutz von Social Media Accounts ein und führen Euch anhand einer Schritt-für-Schritt-Anleitung durch den Einrichtungsprozess.
Was ist eine Zwei-Faktor-Authentifizierung?
Die Zwei-Faktor-Authentifizierung ist ein Sicherheitsprozess, bei dem während der Anmeldung auf einem Account neben der Angabe des Nutzernamens und Passworts noch ein zusätzlicher Faktor verlangt wird:
- Das Passwort (Erster Faktor)
- Ein Sicherheitscode, der auf dem Smartphone generiert wird (Zweiter Faktor).
Zu umständlich? Nein, denn nach dem ersten Login auf einem neuen Gerät und der Bestätigung der Identität können die Einstellungen gespeichert werden und Ihr müsst den Sicherheitscode nicht erneut eingeben.
Hier geht’s zur Anleitung:
Welche Sicherheitsmethoden gibt es?
Telefonnummer / SMS
Die wohl bekannteste Art der Zwei-Faktor-Authentifizierung läuft über SMS-Token. Wenn jemand versucht, sich von einem unbekannten Gerät, Browser oder Ort in den Account einzuloggen, wird zur Identitätsbestätigung eine SMS mit einem sechsstelligen Code auf die hinterlegte Telefonnummer gesendet.
Leider bietet diese Methode keinen hundertprozentigen Schutz. Denn die SMS-Nachrichten können von Trojanern oder durch Schwachstellen im SS7-Protokoll (Signalsystem zur Übertragung von Gesprächen und SMS) abgefangen und umgeleitet werden. Weiterhin kann die SIM-Karte ganz einfach aus dem Gerät entfernt und in ein anderes eingelegt werden, dadurch wird der Zugriff auf die SMS-Nachrichten und somit die Accounts ermöglicht. Lange Rede, kurzer Sinn: Die SMS-Authentifizierung kann relativ einfach umgangen werden und bietet keinen ausreichenden Schutz.
Authentifizierungs-Apps
Beim Login-Versuch von einem unbekannten Gerät werden von Drittanbieter-Apps (z.B. von Google, Microsoft, LastPass und vielen anderen) Anmeldecodes generiert, über die die Identität des Kontoinhabers bestätigt werden kann. Die Verwendung dieser Apps ist kinderleicht und bietet im Vergleich zur SMS-Authentifizierung einen wesentlich höheren Schutz. Diese werden auf dem Smartphone installiert und mit Hilfe eines QR-Codes oder eines Sicherheitsschlüssels mit dem Social Media Account verbunden. Das Ganze funktioniert auf der Grundlage eines Schlüssels, der nur Euch und dem Server bekannt ist. Bei der Auswahl der Apps kann man leicht den Überblick verlieren, dennoch ist die grundlegende Funktion immer ähnlich – die Erstellung von Einmalcodes mit dem gleichen Algorithmus. Einige Unterschiede gibt es hinsichtlich des Interfaces und zusätzlicher Funktionen wie Verbergen von generierten Codes, Fingerabdruck, Suchfunktion oder Backup. Zu den beliebtesten und meist benutzten Apps gehören Google Authenticator, Microsoft Authenticator, LastPass und Duo Mobile. Entscheidet Euch für eine App, mit der Ihr Euch am wohlsten fühlt.
FIDO U2F Hardware-Authenticatoren
Wer lieber auf die Hardware-basierte Methode setzen möchte, entscheidet sich für die Security Keys bzw. die FIDO-Sticks (Fast Identity Online), die u. a. ein passwortloses Anmelden ermöglichen. Vom Aussehen ähneln die FIDO-Sticks einem klassischen USB-Stick. Beim Login werden sie an den Rechner angeschlossen und per Tastendruck auf dem Stick oder zusätzliche Eingabe eines Passwortes aktiviert.
Habt Ihr Euch für eine geeignete Sicherheitsmethode entschieden, geht es im Anschluss um die Implementierung auf den jeweiligen Kanälen. Wie Ihr die zweistufige Authentifizierung für Euren Social Media Benutzer- oder Unternehmensaccount einrichtet, lest Ihr im zweiten Teil dieses Beitrages.
