https://www.faz.net/-gy9-8w2cq

Sicherheit der Daten : So finden Sie das richtige Passwort

Grundsätzlich abzuraten ist sodann von der Option, die einem immer wieder aufs wärmste empfohlen wird: sich mit Google, Twitter oder Facebook einzubuchen. Die Idee an sich ist charmant. Eine langwierige Registrierung mit Benutzernamen, E-Mail-Adresse und Kennwort entfällt, stattdessen wird man über die Internetgiganten quasi huckepack mitgenommen. Der Nutzer hat den Vorteil des erleichterten Einbuchens und der Anbieter die Gewissheit, dass seine Kunden reale Menschen sind, die sich bei Google, Twitter oder Facebook bereits legitimiert haben. Der Nachteil besteht darin, dass die Dienste Dritter, die mit diesem Open Standard for Authorization genannten Verfahren arbeiten, einerseits persönliche Daten von Google, Twitter oder Facebook abfischen können und andererseits die drei Netzgiganten noch mehr Information über einen erhalten, nämlich über die eigene Aktivität in weiteren Apps und Diensten. Schon träumt Facebook davon, mit seiner Idee der Delegated Recovery künftig eine universelle Passwort-Zentrale des gesamten Internets für alle Anwendungen und Dienste zu werden.

Die Zwei-Faktor-Authentifizierung ist unabdingbar

Wer um solche Pläne lieber einen großen Bogen macht, für den bleibt nur eins: Für die bedeutsamen Konten die Kennwortsicherheit in Eigenregie auf die Spitze treiben. Dafür ist die Zwei-Faktor-Authentifizierung unabdingbar, alternativlos und empfehlenswert. Hinter dem Wortungetüm verbirgt sich das einfache Prinzip „doppelt genäht hält besser“. Man muss einen Schlüssel kennen und Zugriff auf einen zweiten haben. Nach der Eingabe des richtigen Login-Namens und Kennworts für einen Dienst erhält man den zweiten Schlüssel, meist ein sechsstelliger Zahlencode, als SMS aufs Handy, mit einer Authentifizierungs-App, einem Telefonanruf oder einem Token. Letzteres ist ein Chip-Schlüssel mit Display.

Erst nachdem dieser Zusatzcode ebenfalls eingegeben wurde, ist der Weg zum Konto frei. Auf einem vertrauenswürdigen Rechner, etwa dem PC im eigenen Haushalt, kann man den zweiten Schritt temporär aussetzen lassen. Auch kann man Sicherheitscodes erstellen lassen, falls das Handy gestohlen wurde oder man sich im Funkloch befindet.

Die Zwei-Faktor-Authentifizierung hört sich kompliziert an. Sie ist nicht unangreifbar, hat jedoch ein sehr hohes Sicherheitsniveau. Man sollte sie zumindest bei jenen Konten und Diensten aktivieren, über die Bestellungen oder gar geschäftliche Transaktionen laufen. Die E-Mail-Systeme von Google, Microsoft und Apple sowie die Dienste von Amazon, Ebay, Paypal, etliche Cloud-Lösungen und nicht zuletzt Facebook und Twitter lassen sich auf diese Weise schützen.

Unscheinbare Datei auf der Festplatte

Die zugehörigen Kennwörter mag man dann in einer Word- oder Excel-Datei speichern, die man zum Beispiel in einem Container des Truecrypt-Nachfolgers Veracrypt ablegt. Ein solcher Container ist eine unscheinbare Datei auf der Festplatte, die man zur Nutzung ins Betriebssystem einhängt. Das ist abermals ein wenig kompliziert, aber der Aufwand lohnt sich. Selbst wenn das Gerät gestohlen wird, ist die Container-Datei nicht als solche zu erkennen. Man kann zusätzlich einen versteckten Container im Container einrichten, natürlich mit einem zweiten Kennwort gesichert. So ist es möglich, dass ein Nutzer unter Zwang das Kennwort zum ersten Container herausgibt, ohne die Daten im zweiten zu kompromittieren.

Wer auch hier die Abhängigkeit von einem einzigen Datenträger scheut, sehe sich nach Apps wie Master Password (unter anderem für iOS und Android) um, die keine Kennwörter speichern, sondern mit jedem Start aus einem Namen (es muss nicht der eigene sein) und einem Master-Passwort das jeweilige Anwendungskennwort berechnen. Die umgekehrte Richtung funktioniert nicht. Ein gestohlenes Anwendungskennwort ist also nur für den einen einzigen Dienst diskreditiert. Da nichts gespeichert wird, weder lokal noch in der Cloud, muss man nur zwei Komponenten im Kopf und die App für das kryptographische Verfahren namens Password-Based Key Derivation Function 2 haben.

Weitere Themen

Topmeldungen

Newsletter

Immer auf dem Laufenden Sie haben Post! Abonnieren Sie unsere FAZ.NET-Newsletter und wir liefern die wichtigsten Nachrichten direkt in Ihre Mailbox. Es ist ein Fehler aufgetreten. Bitte versuchen Sie es erneut.
Vielen Dank für Ihr Interesse an den F.A.Z.-Newslettern. Sie erhalten in wenigen Minuten eine E-Mail, um Ihre Newsletterbestellung zu bestätigen.