Zwei-Faktor-Authentifizierung: Mehr Sicherheit durch mehr Überwachung

Die Presse war voll von Artikeln, in denen erklärt wurde, wie Sie Ihr Konto in sozialen Netzwerken am besten schützen können. Der beste Schutz wäre für viele der komplette Verzicht auf die Nutzung sozialer Netzwerke. Andere suchten nach besseren Methoden, die vor dem Zugriff von Hackern schützen.

Die populärste Schutzmethode ist ein komplexes Passwort – selbst Spiegel schrieb über die Länge des Passworts und die Verwendung verschiedener Passwörter für unterschiedliche Systeme.

Andere Artikel befassen sich mit dem Begriff "Zwei-Faktor-Authentifizierung" – kurz gesagt 2FA. Ein derartiger Mechanismus ist in fast allen großen Systemen bereits implementiert. Normalerweise ist er standardmäßig deaktiviert, denn er ist zu umständlich.

Das Prinzip ist einfach: man loggt sich zuerst mit dem Passwort ein und dann erhält man zusätzlich dazu einen Sicherheitscode. Meistens geht es um eine einfache SMS-Nachricht. Erst danach sind Sie richtig eingeloggt und können das System nutzen.

Es scheint, dass dies ein Allheilmittel für alle Risiken ist, doch es hat auch Fallen, die erwähnt werden sollten. Um einen Bestätigungscode zu erhalten, können Sie z.B. Ihre E-Mail- und Telefonnummer verwenden. Dies sind in der Regel die Kommunikationsmöglichkeiten, die gängige Systeme anbieten. Die Verwendung einer E-Mail-Adresse zum Abrufen eines Sicherheitscodes ist mit dem Risiko verbunden, dass ein Hacker Ihre Email bereits gehackt haben könnte.

Daher wäre es logischer, ein physisches Gerät zu verwenden, das nicht so leicht zu hacken ist. Daher stellen die meisten Systeme 2FA bereit, indem sie einen SMS-Zugangscode an Ihre Handynummer senden.

Der SMS-Versand ist auch nicht sicher. Dieses Sicherheitssystem kann man unter Umständen umgehen, aber die Alternative wäre noch mehr Chaos bei der Benutzung unterschiedlicher Dienste für 2FA. Oder gar extra ein TAN-Generator wie beim Online-Banking – ein Generator für Facebook, noch einen für Twitter usw.

Daher bleibt 2FA über SMS die einzige praxistaugliche Alternative, die man nutzen kann. Und das ist genau die andere Bedrohung. Ja, physisches Hacken und Steuern des Telefons ist viel schwieriger als der Zugriff auf eine E-Mail. 2FA per SMS bedeutet jedoch auch, dass Sie Ihre Telefonnummer auf Facebook oder Twitter speichern müssen.

Angenommen, man möchte sich anonym bei Facebook anmelden und 2FA verwenden. In diesem Fall wird der anonyme Benutzer „Max Mustermann“ mit einer realen Telefonnummer im System gespeichert. Damit wird die Anonymität automatisch aufgehoben, denn eine Nummer kann man erst dann benutzen, wenn man die Nummer aktiviert. Das erfolgt über den Versand der Unterlagen per Post oder das sog. Postident-Verfahren. "Max Mustermann" kann man sich weiterhin nennen, aber die richtige Adresse oder gar die Ausweiskopie wird irgendwo intern gespeichert. Theoretisch bleiben diese Informationen geheim. Zumindest bis zum nächsten Datenklau.

Der Benutzer hat nach wie vor eine Wahl. Man benutzt z.B. Facebook wie aktuell auf eigenes Risiko. Oder man muss seine persönlichen Daten vollständig zur Verfügung stellen.

Die Situation wird jedoch noch komplizierter durch die Tatsache, dass Politiker den Begriff 2FA entdeckt haben. Die Bundesjustizministerin Katharina Barley (SPD) empfahl die Nutzung von 2FA im Vortrag "Demokratie in der digitalen Welt" bei der dbb Jahrestagung 2019.

Es geht noch weiter. Im Artikel bei der bekannten Internetplattform Golem spricht sich schon herum, dass "Facebook die Einführung einer verpflichtenden Zwei-Faktor-Authentifizierung für Kandidaten zur Europawahl 2019 prüfen wolle". Wird es nur geprüft und bleibt es nur eine reine Empfehlung?

Denn, wenn man die Benutzer allmählich auf 2FA umstellt, zunächst lediglich auf Basis einer Empfehlung, bedeutet es eine langsam schleichende Abschaffung der Anonymität im Internet. Egal ob man sich hinter "Max Mustermann" versteckt, seine sozialen Verbindungen nicht preisgibt, das beste VPN verwendet – mit einer Telefonnummer im System ist man für den Big Brother im Blickfeld.

Ich hoffe, dass diese Vorschläge und Empfehlungen bald vergessen werden. Aber wie die Erfahrung der letzten Jahre zeigt, muss der Benutzer auf alles vorbereitet sein. Hacker & Big Brother watching you.