Das Jahr hat mit einem Paukenschlag begonnen: Über ein Twitter-Konto wurden im Dezember nach und nach persönliche Daten zahlreicher Politiker, Journalisten und Prominenter veröffentlicht, darunter Telefonnummern, Adressen, private Nachrichten und Fotos. Breit bekannt wurde das erst in den letzten Tagen. Wer genau dahintersteckt und wie die Daten erbeutet wurden, ermitteln derzeit die Behörden. Nach allem, was bisher bekannt ist, spielten aber übernommene Online-Konten eine wichtige Rolle. Für uns ist das ein Anlass, über ein Thema zu sprechen, das viele Unternehmen noch vor sich herschieben: die Zwei-Faktor-Authentifizierung.
Warum Passwörter allein nicht mehr reichen
Ein Passwort ist ein einzelnes Geheimnis. Wer es kennt, ist drin. Und es gibt viele Wege, an Passwörter zu kommen:
- Wiederverwendung: Viele Menschen nutzen dasselbe Passwort für mehrere Dienste. Wird einer davon gehackt, probieren Angreifer die Kombination aus E-Mail und Passwort bei anderen Diensten aus.
- Datenlecks: Aus Einbrüchen bei Onlinediensten kursieren riesige Sammlungen von Zugangsdaten im Netz.
- Phishing: Gefälschte Anmeldeseiten, die täuschend echt aussehen.
- Schwache Passwörter und Sicherheitsfragen: Der Name des Haustiers steht oft auf Instagram.
- Schadsoftware: Programme, die Tastatureingaben mitschneiden.
Die Zwei-Faktor-Authentifizierung, kurz 2FA, setzt genau hier an. Für die Anmeldung braucht man nicht nur etwas, das man weiß (das Passwort), sondern zusätzlich etwas, das man besitzt, etwa ein Smartphone oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr.
Die Verfahren der Zwei-Faktor-Authentifizierung im Vergleich
| Verfahren | So funktioniert es | Sicherheit | Bequemlichkeit |
|---|---|---|---|
| Code per SMS | Bei der Anmeldung kommt ein Code aufs Handy | Besser als nichts, aber anfällig, etwa wenn Angreifer die Rufnummer auf eine andere SIM-Karte übertragen lassen | Hoch |
| Authenticator-App | Eine App erzeugt alle 30 Sekunden einen neuen Code | Gut | Hoch, wenn eingerichtet |
| Push-Bestätigung | Eine App fragt „Sind Sie das?“, man tippt auf Bestätigen | Gut, solange man nicht gedankenlos bestätigt | Sehr hoch |
| Hardware-Sicherheitsschlüssel | Ein kleiner USB- oder NFC-Schlüssel wird bei der Anmeldung eingesteckt oder angetippt | Sehr gut, auch gegen Phishing | Mittel, Schlüssel muss dabei sein |
Unsere Empfehlung für die meisten Betriebe: Authenticator-App als Standard, Hardware-Schlüssel für besonders wichtige Konten wie die Administratorzugänge, SMS nur dort, wo nichts anderes angeboten wird.
Welche Konten zuerst?
Nicht alle Konten sind gleich wichtig. Fangen Sie mit denen an, über die ein Angreifer den größten Schaden anrichten kann:
- E-Mail-Konten: Wer Ihr Postfach hat, kann über „Passwort vergessen“ fast jedes andere Konto übernehmen.
- Administrator- und Fernwartungszugänge: Server, Firewall, Router, Cloud-Verwaltung.
- Online-Banking und Zahlungsdienste: Hier ist ein zweiter Faktor meist ohnehin Pflicht.
- Cloud-Speicher und Online-Office: Dort liegen oft Kundendaten und Verträge.
- Website und Domain: Zugang zum Content-Management-System und zum Domainanbieter.
- Social-Media-Konten des Unternehmens: Ein gekapertes Firmenprofil ist ein Image-Problem.
So führen Sie 2FA im Team ein
Die Technik ist meist schnell eingerichtet. Die eigentliche Arbeit liegt in der Organisation. Aus unserer Erfahrung bewährt sich dieses Vorgehen:
- Inventur: Liste aller Dienste, die das Unternehmen nutzt, mit Angabe, ob 2FA angeboten wird.
- Gemeinsamer Termin: Eine halbe Stunde, in der alle gemeinsam die App installieren und die wichtigsten Konten verbinden. Fragen lassen sich so direkt klären.
- Wiederherstellungscodes sichern: Fast jeder Dienst gibt bei der Einrichtung Notfallcodes aus. Diese sicher aufbewahren, etwa im Passwort-Manager oder ausgedruckt im Tresor. Wer sein Handy verliert, braucht sie.
- Diensthandys und Ausscheiden regeln: Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt und der zweite Faktor auf seinem privaten Handy ist? Planen Sie das vorher.
- Verbindlich machen: Wo Dienste es erlauben, 2FA für alle Nutzer erzwingen.
Drei Einwände, die wir oft hören
„Das ist uns zu umständlich.“
Bei den meisten Diensten müssen Sie den zweiten Faktor nicht bei jeder Anmeldung eingeben, sondern nur auf neuen Geräten oder nach längerer Zeit. Im Alltag kostet das ein paar Sekunden pro Woche. Gemessen am Aufwand, ein gekapertes Postfach wieder einzufangen, ist das ein sehr gutes Geschäft.
„Und wenn das Handy weg ist?“
Dafür gibt es die Wiederherstellungscodes und bei vielen Diensten die Möglichkeit, einen zweiten Faktor als Reserve zu hinterlegen, etwa einen Sicherheitsschlüssel. Wer das bei der Einrichtung gleich mit erledigt, kommt auch nach einem Handyverlust wieder an seine Konten.
„Wir sind doch viel zu klein und uninteressant.“
Die meisten Angriffe auf Konten laufen automatisiert. Programme probieren massenhaft Zugangsdaten aus Datenlecks durch, ohne darauf zu achten, wem das Konto gehört. Ein Handwerksbetrieb mit gekapertem Postfach ist für Betrüger interessant, weil sie damit glaubwürdige Mails an Kunden schicken können, zum Beispiel mit geänderter Bankverbindung.
Prüfen Sie, ob Sie betroffen sind
Ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht, können Sie bei seriösen Prüfdiensten herausfinden, etwa beim Identity Leak Checker des Hasso-Plattner-Instituts. Wenn ja: Ändern Sie das Passwort bei dem betroffenen Dienst und überall, wo Sie es ebenfalls verwendet haben. Und aktivieren Sie dann die Zwei-Faktor-Authentifizierung.
Kein Allheilmittel, aber ein großer Schritt
Zwei-Faktor-Authentifizierung macht Konten nicht unangreifbar. Aber sie hebt die Hürde so deutlich an, dass die meisten automatisierten Angriffe ins Leere laufen. Kombiniert mit einzigartigen Passwörtern, idealerweise aus einem Passwort-Manager, und regelmäßigen Updates schließen Sie die häufigsten Einfallstore. Nehmen Sie die aktuellen Schlagzeilen als Anlass, das Thema in diesem Monat anzugehen.
Wir helfen Ihnen gerne
Sie möchten 2FA im ganzen Unternehmen einführen, wissen aber nicht, wo Sie anfangen sollen? Das IT-Team der Mittelstandsoptimierer erstellt mit Ihnen die Inventur, richtet die Verfahren ein und schult Ihr Team. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
