Zwei-Faktor-Authentifizierung ist die wirksamste einzelne Maßnahme, die ein kleiner Betrieb ergreifen kann. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.
Sie ist auch die Maßnahme, bei der am meisten schiefgeht, wenn man sie ohne Plan einführt.
Nicht jeder zweite Faktor ist gleich gut
SMS ist besser als nichts, aber der schwächste Faktor. SIM-Swapping — also die Übernahme deiner Rufnummer beim Anbieter — ist keine Theorie. Wo es Alternativen gibt, nimm sie.
Authenticator-App ist der Standard und für die meisten Fälle richtig. Der Code wird auf dem Gerät berechnet, es gibt keinen Übertragungsweg, den man abfangen kann.
Hardware-Schlüssel sind das Sicherste. Sie sind zusätzlich das Einzige, was gegen echtes Phishing hilft: Ein Schlüssel gibt seine Antwort nur an die Domain heraus, für die er eingerichtet wurde. Eine täuschend echte Anmeldeseite bekommt von ihm nichts.
Die Reihenfolge
Nicht alles gleichzeitig. In dieser Reihenfolge:
- Das Postfach. Wer das Postfach hat, kann alle anderen Passwörter zurücksetzen. Es ist der Generalschlüssel.
- Der Passwortmanager.
- Bank und Zahlungsdienste.
- Verwaltungszugänge: Hosting, Domainverwaltung, Warenwirtschaft.
- Alles Übrige, wo es angeboten wird.
Der Fehler, den fast alle machen
Die Wiederherstellungscodes. Jeder Dienst gibt sie bei der Einrichtung aus, und fast jeder klickt sie weg.
Sie gehören in den Passwortmanager oder ausgedruckt in den Safe. Nicht in die Notizen-App auf demselben Handy, das ausfallen wird.
Was in einem Betrieb zusätzlich zu klären ist
Gemeinsam genutzte Konten. Der Zugang zum Warenwirtschaftssystem, den drei Leute brauchen. Hier braucht es einen Passwortmanager, der die Zwei-Faktor-Codes im Team teilen kann — sonst hängt der Zugang am Handy einer Person.
Was passiert bei Ausfall. Wenn die Person, deren Handy alle Codes erzeugt, im Urlaub oder krank ist. Diese Frage vorher zu beantworten, dauert zehn Minuten. Nachher dauert es Tage.
Wir richten das ein und hinterlegen die Wiederherstellungswege so, dass sie dem Betrieb gehören und nicht einer Person.