Zwei-Faktor-Authentifizierung: Doppelt hält besser 

Wir bei sipgate haben für unsere Kund:innen seit Anfang März die Zwei-Faktor-Authentifizierung live gestellt. Gern hätten wir das schon ein wenig eher getan, aber vorher mussten wir noch einige technische Altlasten loswerden – und zum Beispiel alte APIs abschalten. Unser Tipp an euch: Aktiviert die Zwei-Faktor-Authentifizierung! Und das am besten nicht nur in eurem sipgate Account.

Schwächelnde Passwörter

Die Schwachstelle in den Accounts heißt Login. Da, wo sipgate Kund:innen sich mit Mailadresse und Passwort anmelden, gibt es auch die meisten Angriffspunkte. Zum Beispiel unsichere Passwörter. Die können nämlich mit überschaubarem technischen Aufwand geknackt und anschließend veräußert werden. Einer, der sich in der Materie auskennt, ist Steffen, seines Zeichens Entwickler und bei uns gemeinsam mit einigen Kollegen für die IT-Sicherheit zuständig. “Der Login ist das Einfallstor für Betrüger und Betrügerinnen. Accounts von Kund:innen, die schwache, wenig komplexe Passwörter vergeben haben, sind dann besonders begehrt.” Ein schwaches Passwort ist der eine Punkt, “der andere ist”, so Steffen, “dass Menschen oftmals ein Passwort für viele ihrer Accounts nutzen. Wenn dann deren Benutzernamen und Passwort geleakt wurden, tritt der Schaden gleich an mehreren Stellen auf und ist entsprechend groß.”

Experten-Tipp: Passwort-Manager nutzen!

Steffens Kollege Jan rät daher dringend zur Nutzung eines Passwort-Managers. “Man sollte für jeden seiner Accounts ein unterschiedliches und komplexes Passwort haben. Da bietet sich die Nutzung eines Passwort-Managers unbedingt an, denn keiner kann sich für alle seine Accounts unterschiedliche, komplexe Passwörter merken. Diese Manager machen es einem sehr viel einfacher und erhöhen die Sicherheit.” Leider, so seine Erfahrung, nutzen die wenigsten User:innen einen solchen Manager. Und damit sind wir wieder beim Punkt. Ungeschützte, oder besser: unzureichend geschützte, Accounts sind mitunter leichte Beute.

Guthaben fleißig leer telefonieren

Ja, aber was wollen die Betrüger:innen denn um alles in der Welt mit so einem Account anstellen, wenn sie ihn mal gekapert haben? Och, da gibt es so einige Szenarien. Das häufigste: Betrüger:innen telefonieren fleißig die Guthaben der Accounts leer. So lange, bis der Betrug aufgefallen ist. Auch gerne gemacht: Menschen rufen einige dieser absurd teuren Rufnummern an. Das dabei erbeutete Geld wird sich dann ganz brüderlich/schwesterlich mit dem/derjenigen geteilt, der/die diese Nummer aufgesetzt hat.
In wenigen Fällen geht es auch einfach um die persönlichen Informationen und Daten, die in so einem Account liegen. Der Weg der kriminellen Verwertungskette ist meistens so, dass zuvor gehijackte Accounts in diesem ominösen Darknet zum Kauf angeboten werden. Die Käufer:innen melken den jeweiligen Account dann so lange, bis der Betrug auffällt. Was Dank unserer aufmerksamen Mitarbeiter:innen immer schnell geschieht. Trotzdem: Ihr als Kund:innen, die ihr ja für die Sicherheit eures Accounts selber zuständig seid, habt zumindest mal Sorgen und Verwaltungsaufwand.

Höhere Hürden für Betrüger:innen

Grund genug also, es den Betrüger:innen nicht zu einfach zu machen. reCAPTCHA war ein erster dieser Schritte (Mehr zum Thema gibt es in dem Blogbeitrag zu reCAPTCHA). Einen zweiten, wichtigen, sind wir Anfang des Monats gegangen. Da haben wir nämlich die Zwei-Faktor-Authentifizierung für unsere Kund:innen auf live gesetzt. Und sind damit nicht nur einem länger gehegten Wunsch aus der Kundschaft nachgekommen, sondern haben auch ein Feature umgesetzt, was auf unserer sipgate Wunschliste stand. Denn, auch wenn man sich mit der Zwei-Faktor-Authentifizierung nicht aller Angriffe final entledigt. Die Hürde, Accounts auf relativ einfachem Wege zu kapern, ist dadurch eine sehr viel höhere geworden. “Die Zwei-Faktor-Authentifizierung löst nicht alle Probleme, macht die Accounts unserer Kund:innen aber sehr viel sicherer”, weiß auch Cenk aus dem IT-Security-Team.

So geht’s

Was müssen Sie als Kund:innen tun? Cenk zählt die Schritte auf: “Zwei-Faktor-Authentifizierung im Account freischalten, Authenticator-App zum Beispiel auf dem Handy installieren, QR-Code einscannen, im Account einloggen, sechsstelligen Code aus der App ablesen und eintippen, abschicken, fertig.” Klingt ein wenig kompliziert, ist aber wirklich intuitiv und mit einem Mini-Aufwand eingerichtet und umgesetzt. “Das ist wirklich die verbreitetste und am einfachsten zu verstehende Lösung aktuell”, bestätigt auch Jan. Eine detaillierte Beschreibung zur Zwei-Faktor-Authentifizierung gibt es in unserem Hilfecenter.

Offene Fragen

Bleiben noch ein paar Fragen:

• Warum Authenticator-App und nicht SMS? Die SMS bietet sich für die Authentifizierung nicht an. Die Zustellung dauert mitunter, man muss Mobilfunk-Netzempfang haben und der Zustellungsprozess ist unsicher. Zumal die Authenticator-App auch für eure anderen Dienste genutzt werden kann.
• Was passiert, wenn ich mein Handy verliere? Kann ich mich dann nicht mehr einloggen? Doch, das geht auch dann noch. In solchen Fällen kann der Admin des Accounts die Zwei-Faktor-Authentifizierung für den jeweiligen User temporär deaktivieren. Geht das aus irgendwelchen Gründen nicht, könnt ihr jederzeit unsere Kundenbetreuung kontaktieren. Die findet ganz sicher eine Lösung!
• Ist die Zwei-Faktor-Authentifizierung barrierefrei? In der Theorie ist sie das. Wir sind da aber noch in der Erprobungsphase. Wir freuen uns aber auf jeden Fall über eure Anregungen und Rückmeldungen.
• Wie viele Menschen haben ihren sipgate Account schon mit dem zweiten Faktor abgesichert? Stand 10. März waren es rund 320 Accounts. Dazu muss man sagen, dass der Livegang im Stillen passiert ist und wir mit diesem Blogpost erst beginnen, das Ganze offensiv öffentlich zu machen.

Ist das der Weisheit letzter Schritt? Nö, ist es nicht. Unser Security-Team wird jetzt nicht die Hände in den Schoß legen. Denen schwebt schon eine noch sicherere, weiter entwickelte Lösung vor. Aktuell werden Köpfe zusammengesteckt und Pläne geschmiedet. Wir halten euch wie immer auf dem Laufenden!