Maßnahmen gegen Hacker: Die 2-Schritt-Bestätigung

Um Hacker + Datendiebe vom Zugriff auf das eigene Konto abzuhalten, gibt es zahlreiche Maßnahmen.

Eine ganz wichtige und besonders von Cloud-Diensten, der Verwaltung des eigenen Online-Shops und anderen Portalen mit sensiblen Daten genutzt, ist die Anmeldung in 2 Schritten.

Hierzu muss die Anmeldung durch einen Code als zweiten Schritt bestätigt werden.

Wie genau das funktioniert, erfahrt ihr in diesem Beitrag.

Zusätzliche Sicherheit durch 2-Schritt-Anmeldung

Viele Anbieter geben dem Nutzer seit Jahren die Möglichkeit, die sog. 2-Schritt-Anmeldung - auch 2-Schritt-Authentifikation genannt - einzurichten.

2-Schritt-Bestätigung für die Anmeldung bei Facebook:

Dadurch erhält man einen Sicherheitscode, den man sich wahlweise per SMS an sein Handy schicken oder per App (z. B. am Smartphone oder Tablet) anzeigen lassen kann.

Diesen Code gibt man anschließend auf der Website - als Ergänzung zu Benutzername und Passwort - ein.
Erst nach der Eingabe wird man zum eigentlichen Internet-Dienst mit Verwaltung + Funktionen weiter geleitet.

Hinweis-Meldung zum versuchten Zugriff innerhalb von Facebook:

Stimmt dieser Code nicht, wird der Zugriff verweigert.

Ggf. erhält der Konto-Inhaber, also der Nutzer, eine Mail zur Info, dass ein Zugriff versucht, aber abgelehnt wurde.

Abfrage in Facebook, ob der Zugriff durch ein anderes Gerät gestattet werden soll:

Verwendung des Sicherheitscode

Bei vielen Portalen, für die ein Sicherheitscode notwendig ist, gilt dieser nur für eine begrenzte Zeit.

Das habe ich auch schon mal "getestet", indem ich für die Anmeldung bei meiner persönlichen Dropbox einen Code per SMS erhalten hatte.

Für die Bestätigung einer Überweisung kann man eine sog. mTAN (mobile TAN) anfordern:

Weil jedoch zwischenzeitlich ein Anruf kam und somit das Handy belegt war, konnte ich die SMS erst danach lesen und den Code eingeben.
Dieser Code wurde jedoch abgelehnt, da er in der Zwischenzeit abgelaufen war und nicht mehr akzeptiert wurde.

Bei manchen Diensten kann so ein Code auch mal zwischen 5 und 15 Minuten gültig sein.
Für die Nutzung meines Kontos per Online-Banking ist dieser sogar nur 2 Minuten aktiv.

Bei einer Überweisung im Online-Konto hat man für die Bestätigung der TAN meist nur begrenzte Zeit:

Trotzdem ist das in den meisten Fällen mehr als ausreichend Zeit, um den Code einzugeben.
Denn in 2 Minuten lassen sich viele Dinge tun.

Auch für die Bestätigung zur Anmeldung bei Dropbox erhält man auf Wunsch eine SMS:

Beispiele aus der Praxis

In meinem Fall trifft das z. B. auf die Anmeldung bei Google, Facebook, Dropbox, meinen Online-Shop oder die Verwaltung beim Online-Banking (bei der Übermittlung von Überweisungen) zu.

Ich erhalte hier – nach der Eingabe von Benutzer-Namen und Passwort - eine SMS auf mein Telefon gesendet, indem ein Code (meist 6- oder 7-stellig) zu finden ist. Dieser Code muss dann von Hand in das Eingabefeld im Browser oder der App eingegeben werden. Erst danach ist der Zugriff möglich.

In der Bestätigung per SMS steht ein Code, der zur Überweisung eingegeben werden muss:

Nutzung per Handy

Die Besonderheit in meinem Fall:
Ich verwende – da hier die Akku-Laufzeit bei 1 bis 2 Wochen liegt und aufgrund erhöhter Sicherheit - bisher noch ein gutes, altes Handy (kein Smartphone).

Hier ist kein Internet-Zugriff eingerichtet.
Somit haben auch Hacker oder Schädlinge kaum eine Chance, da es sich um ein Betriebssystem mit eingeschränkten Funktionen handelt.

Das Handy habe ich außerdem ständig im Zugriff, so dass Unbefugte meine SMS nicht lesen können.
Damit habe ich nur ich Zugang zu den SMS nach der Bestätigung.

Alternativ zur Bestätigung per App kann man sich bei Facebook eine SMS senden lassen:

Sollte ich das Handy doch einmal verlieren oder bei jemandem vergessen, würde ich die SIM-Karte verloren melden und damit sperren lassen.

Ohnehin müsste der Finder dann nicht nur mein Handy haben, sondern auch die Mail-Adresse und das Passwort kennen.

Außerdem könnte ich in dem Fall in den Einstellungen von Dropbox und Co. die Mobilnummer entfernen.
Denn auch dann hätte der Finder des Handys keine Chance mehr für einen Fremd-Zugriff.

Nutzung per Smartphone-App

Selbst auf einem Smartphone, bei dem ein gewisses Risiko durch die Internet-Verbindung bzw. Schädlinge besteht, kann man mit Schutz-Software das Risiko senken und fremden Personen den Zugriff verweigern.

Dies kann einerseits durch Einschränkungen der Einstellungen im System sein.

Auf Smartphones + Tablets kann die Anmeldung per Facebook-App bestätigt werden:

Zusätzlich ist eine Schutz-Software, speziell auf das mobile Betriebssystem angepasst, sehr zu empfehlen.
Eine solche gibt es beispielsweise vom Anbieter Kaspersky.

Mit einer solchen Schutz-Software hat man bei den meisten Anbietern nicht nur die Möglichkeit, Schädlinge und Angriffe abzuwehren.
Sondern kann bei Diebstahl oder Verlust das Gerät auch per Fernzugriff suchen lassen (Anzeige der aktuellen Position), den Zugriff einschränken (z. B. Sperrung der Kontakte) oder Kontakte, Mails, persönliche Daten und eigene Dateien durch einen Befehl löschen lassen.

Damit kann sich der Dieb oder Finder zwar über ein neues Gerät freuen.
Aber der eigentlich wertvollere "Schatz", die zahlreichen persönlichen Daten, Bilder, Videos, Musik, Nachrichten uvm. können nicht mehr verwendet oder missbraucht werden.

Fazit:

Durch die 2-Schritt-Anmeldung wird das Risiko beim Zugriff auf wichtige Konten mit sensiblen Daten auf ein Minimum reduziert.
Diese 2-Schritt-Bestätigung kann dabei meist per App-Zugriff auf dem Smartphone oder SMS per Handy erfolgen.

Auch für die Verwaltung von Online-Shops und ähnlichen Bereichen gibt es häufig eine 2-Schritt-Bestätigung:

Und auch wenn für beide Empfangsgeräte ein gewisses Sicherheitsrisiko durch den Zugriff Fremder besteht, lässt sich dieses durch verschiedene Maßnahmen stark reduzieren.

Deshalb ist die Nutzung der Anmeldung mittels Sicherheitscode für jeden Dienst zu empfehlen, der diese Möglichkeit bietet.