Konten absichern, ohne Experte zu werden

Um Ihre Konten abzusichern, müssen Sie kein Kryptografie-Experte werden. Vor allem gilt es zu verhindern, dass ein einziger Vorfall — ein Leck bei einer unwichtigen Website, ein verlorenes Telefon oder ein gefälschtes Formular — Zugang zu Ihrem gesamten digitalen Leben verschafft.

Eine gute Methode beruht auf vier Elementen: einem eigenen Geheimnis für jeden Dienst, einem starken zweiten Faktor, aktuellen Wiederherstellungsoptionen und der Fähigkeit, eine ungewöhnliche Anmeldung zu erkennen.

Ihr E-Mail-Konto ist der Generalschlüssel

Übernimmt ein Angreifer eine E-Mail-Adresse, kann er für viele andere Konten das Zurücksetzen des Passworts anfordern. Er liest die Bestätigungen, löscht die Warnungen und erfährt, welche Dienste Sie nutzen.

Beginnen Sie daher mit Ihrem wichtigsten E-Mail-Konto. Es muss Folgendes haben:

• ein einmaliges Passwort;
• einen zweiten Faktor;
• eine aktuelle Wiederherstellungsadresse und Telefonnummer;
• regelmäßig überprüfte aktive Sitzungen;
• keine Weiterleitungsregel, die Sie nicht selbst angelegt haben.

Machen Sie danach dasselbe für den Passwort-Manager, die Bankkonten, wichtige soziale Netzwerke und die Verwaltung Ihrer Website oder beruflichen Tätigkeit.

Warum ein komplexes Passwort nicht genügt

Angenommen, Sie verwenden ein Passwort mit zwanzig Zeichen bei zehn Diensten. Einer dieser Dienste wird gehackt und speichert Passwörter schlecht. Die gestohlenen Zugangsdaten werden automatisch bei E-Mail-Anbietern, Onlineshops und sozialen Netzwerken ausprobiert.

Der Angreifer muss Ihr Passwort nicht knacken. Er kennt es bereits.

Das nennt man „Credential Stuffing“. Es erklärt, warum Einmaligkeit wichtiger ist als Sonderzeichen am Ende eines mehrfach verwendeten Wortes.

Jedes Konto braucht ein anderes Passwort. Da sich niemand vernünftigerweise hundert davon merken kann, braucht man einen Passwort-Manager.

Einen Passwort-Manager auswählen und nutzen

Der Passwort-Manager erzeugt lange, zufällige Passwörter, speichert sie verschlüsselt und füllt sie auf der richtigen Website aus. Sie merken sich nur eine einzige Master-Passphrase.

Prüfen Sie einige Kriterien:

• Ende-zu-Ende-Verschlüsselung;
• zweiter Faktor oder Passkey zum Öffnen des Tresors;
• Export in einem verwertbaren Format möglich;
• dokumentierte Sicherheitsrichtlinie und bekannte Audits;
• Unterstützung Ihrer üblichen Geräte;
• ein klares Verfahren bei Verlust eines Geräts.

Der im Browser oder Betriebssystem integrierte Passwort-Manager ist bereits eine große Verbesserung gegenüber der Mehrfachverwendung. Das perfekte Werkzeug, das man nie benutzt, schützt weniger als eine einfache Lösung, die man täglich einsetzt.

Meldet der Manager ein mehrfach verwendetes Passwort, beginnen Sie mit den wichtigsten Konten. Es ist nicht nötig, alles in einer Nacht zu korrigieren.

Eine Master-Passphrase bilden

Wählen Sie mehrere Wörter ohne erkennbaren Zusammenhang, lang genug für einen merkbaren Satz. Vermeiden Sie bekannte Zitate, Liedtexte, Familiendaten und Varianten von `P@ssw0rd`.

Dieser Satz darf nur für den Passwort-Manager verwendet werden. Fotografieren Sie ihn nicht und schicken Sie ihn nicht per E-Mail. Wenn Sie befürchten, ihn zu vergessen, kann eine Papierkopie an einem geeigneten privaten Ort sicherer sein als eine ungeschützte Datei.

Ziel ist kein Geheimnis, das sich unmöglich eintippen lässt, sondern eines, das lang, einmalig und selten exponiert ist.

Zweiter Faktor, Passkey und physischer Schlüssel

Ein zweiter Faktor fügt einen Nachweis hinzu, sodass das Passwort allein nicht ausreicht.

### SMS

SMS ist besser als gar kein Schutz, hängt aber von der Telefonnummer ab und kann Ziel eines SIM-Swappings werden. Nutzen Sie sie, wenn der Dienst nichts anderes anbietet.

### Authenticator-App

Zeitbasierte Codes bieten für die meisten Konten ein gutes Schutzniveau. Sie können jedoch weiterhin auf einer gefälschten Seite eingegeben und sofort an den echten Dienst weitergereicht werden.

### Push-Benachrichtigung oder Bestätigung auf dem Smartphone

Das ist bequem, doch Vorsicht vor Bestätigungsmüdigkeit. Ein Angreifer kann wiederholt Anfragen senden, bis der Nutzer eine annimmt. Bestätigen Sie nie eine Anfrage, die Sie nicht selbst ausgelöst haben.

### Passkey oder Sicherheitsschlüssel

Diese Methoden sind an die Domain der Website gebunden. Eine Nachahmung kann sie normalerweise nicht wiederverwenden. Sie bieten für sensible Konten den besten Schutz vor Phishing.

Registrieren Sie mindestens eine Ersatzmethode. Ein Schutz, der zu stark von einem einzigen Gerät abhängt, kann Sie aus Ihrem eigenen Konto aussperren.

Wiederherstellungsoptionen sind oft die Hintertür

Sie können die Hauptanmeldung perfekt schützen und trotzdem eine alte Wiederherstellungsadresse für Dritte zugänglich lassen.

Prüfen Sie einmal im Jahr:

1. ob die Ersatzadresse noch existiert und selbst geschützt ist;
2. ob die Telefonnummer stimmt;
3. ob die Wiederherstellungscodes offline aufbewahrt werden;
4. ob kein unbekanntes Gerät als vertrauenswürdig eingetragen ist;
5. ob keine unnötige Drittanbieter-App Zugriff auf das Konto hat.

Alte Sicherheitsfragen sollten wie Passwörter behandelt werden. Eine wahre Antwort — Geburtsort, Name eines Haustiers — ist oft öffentlich. Speichern Sie eine zufällige Antwort im Passwort-Manager.

Was nach einer Anmeldewarnung zu tun ist

Klicken Sie nicht direkt in der Warn-E-Mail. Öffnen Sie die App oder Website auf dem gewohnten Weg und prüfen Sie den Anmeldeverlauf.

Ist der Zugriff unbekannt:

• ändern Sie das Passwort;
• widerrufen Sie alle Sitzungen;
• prüfen Sie Faktoren und Wiederherstellungsoptionen;
• kontrollieren Sie die Regeln Ihres Postfachs;
• suchen Sie nach Änderungen, die während der Sitzung vorgenommen wurden;
• sichern Sie die Konten ab, bei denen das alte Passwort mehrfach verwendet wurde.

Informieren Sie bei einem beruflichen Konto den Support oder die verantwortliche Person. Ein kompromittiertes Konto kann Nachrichten an Ihre Kontakte gesendet haben, auch wenn scheinbar nichts verändert wurde.

Aufräumen, ohne das ganze Wochenende zu opfern

Ungenutzte Konten bleiben Einfallstore. Sie enthalten mitunter eine alte Adresse, Dokumente oder eine Berechtigung für einen noch aktiven Dienst.

Nehmen Sie sich zweimal im Jahr eine halbe Stunde Zeit, um:

• nicht mehr benötigte Dienste zu löschen;
• verbundene Apps zu widerrufen;
• Sitzungen zu prüfen;
• als kompromittiert gemeldete Passwörter zu ändern;
• Wiederherstellungscodes zu aktualisieren;
• zu bestätigen, dass Sicherungen oder Exporte des Passwort-Managers zugänglich sind.

Ein fester Rhythmus ist wirksamer als ein großes Aufräumen erst nach einem Vorfall.

Für eine Familie oder ein kleines Team

Teilen Sie kein Passwort über einen Messenger. Nutzen Sie die sichere Freigabefunktion des Passwort-Managers. Jede Person behält ihr eigenes Konto; das geteilte Geheimnis kann ersetzt werden, ohne Identitäten zu vermischen.

Dokumentieren Sie auch die kritischen Zugänge. Wer kann in einem Verein die Domain, das Bankkonto, das E-Mail-Konto oder die Social-Media-Konten wiederherstellen, wenn die verantwortliche Person nicht da ist? Ein versiegelter Umschlag, ein gemeinsamer digitaler Tresor oder ein Verfahren mit zwei Verantwortlichen verhindert, dass ein einziger Weggang die ganze Organisation blockiert.

Offizielle Quellen

• Safeonweb — Tipps zum Schutz im Internet
• CCB — in Belgien beobachtete Kontoübernahmen (FR)