Einmal-Kennwörter, optimal eingerichtet

[Electra]

«Nehmen Sie den Aufwand einmal in Kauf und wiegen Sie sich anschliessend in der beruhigenden Sicherheit, dass Sie bestmöglich abgesichert sind.»
Vor einigen Monaten hatte mein Smartphone unmittelbar aufgehört zu funktionieren. Unvorsichtigerweise hatte ich die Backup-codes vieler mit 2FA abgesicherten Accounts nicht festgehalten und war so nicht mehr in der Lage, sie wieder im Authenticator einzurichten. Nun musste ich also die Anbieter der Dienste bitten, die 2FA für meine Accounts aufzuheben. In manchen Fällen reichte dafür eine simple E-Mail an den Anbieter. Solange Anbieter die 2FA ohne weitere Prüfung auf Anfrage hin einfach wieder ausschalten, ist die beruhigende Sicherheit illusorisch.

 

[Klaus Zellweger]

Das sollte zwar nicht sein, aber …

Salü Electra

Ja, das sollte nicht sein. Die Schwachstelle ist in solchen Fällen nicht die 2FA, sondern der Provider, der das zu locker nimmt.

Allerdings dient die 2FA vor allem dazu, um automatisierte Attacken zu verhindern. Wenn nach einem Datenleck wieder einmal 50 Millionen Zugangsdaten erbeutet werden, dann wird sich kein Angreifer die Mühe machen und jeden einzelnen Provider auf gut Glück kontaktieren. Es gibt schliesslich genügend Datensätze ohne 2FA.

Und damit ist das wichtigste Ziel bereits erreicht.