Beiträge

Siche­re Accounts – bes­ser mit zwei Schlüsseln

/in

Neben einem siche­ren Pass­wort wird für den effek­ti­ven Schutz von Online-Diens­ten viel­fach – etwa von den Ver­brau­cher­schutz­zen­tra­len, der Stif­tung Waren­test oder dem BSI – ein soge­nann­ter „zwei­ter Fak­tor“ emp­foh­len. Man spricht dann von der „Zwei-Fak­tor-Authen­ti­sie­rung“.

Was ist Zwei-Fak­tor-Authen­ti­sie­rung und wozu braucht man sie?

Da selbst sehr siche­re Pass­wör­ter z. B. durch Daten­lecks in fal­sche Hän­de gera­ten kön­nen, ist es rat­sam, den Schutz wich­ti­ger Online-Diens­te wie E‑Mail, Cloud oder Ban­king nicht nur einem Pass­wort zu über­las­sen. Bei der Zwei-Fak­tor-Authen­ti­sie­rung iden­ti­fi­ziert man sich durch zwei unter­schied­li­che und mög­lichst von­ein­an­der unab­hän­gi­ge Kom­po­nen­ten (Fak­to­ren): Schon lan­ge ken­nen wir dies am Geld­au­to­ma­ten (Bank­kar­te und PIN) oder vom Online-Ban­king (Pass­wort und TAN).

Bei Online-Diens­ten ist der ers­te Fak­tor meist das eige­ne Pass­wort und der zwei­te ein per E‑Mail oder SMS zuge­schick­ter Code oder alter­na­tiv ein Code, der von einer spe­zi­el­len App gene­riert wur­de. Die­se Zwei-Fak­tor-Apps nut­zen bei der Berech­nung des Codes unter ande­rem die Uhr­zeit, wes­halb man sie zeit­ba­sier­te Ein­mal­kenn­wör­ter (TOTP) nennt.

Das Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) ver­an­schau­licht die Funk­ti­ons­wei­se der Zwei-Fak­tor-Authen­ti­sie­rung in einem Erklärvideo:

Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI): Erklär­film „Zwei-Fak­tor-Authen­ti­sie­rung“ (Quel­le: mul​ti​me​dia​.gsb​.bund​.de/​B​S​I​/​V​i​d​e​o​/​B​S​I​f​B​_​A​n​i​m​a​t​i​o​n​_​Z​w​e​i​-​F​a​k​t​o​r​-​A​u​t​h​e​n​t​i​s​i​e​r​u​n​g​.​mp4, ein­ge­se­hen unter bsi​.bund​.de/​d​o​k​/​5​0​9​176)

Wie kann man Zwei-Fak­tor-Authen­ti­sie­rung nutzen?

Beson­ders die bereits genann­ten Zwei-Fak­tor-Apps bie­ten sich zur Absi­che­rung von Online-Diens­ten an – sie sind sicher, ver­gleichs­wei­se fle­xi­bel nutz­bar und benö­ti­gen kei­ne Preis­ga­be wei­te­rer Daten. Sie wer­den in der Regel auf dem eige­nen Smart­phone instal­liert, wo sie zusätz­lich durch ein Pass­wort oder bio­me­tri­sche Merk­ma­le (Fin­ger­ab­druck oder Gesicht) geschützt wer­den. Es gibt zahl­rei­che die­ser Apps: Etwa von Micro­soft und Goog­le, inte­griert in Pass­wort­ma­na­ger und diver­se wan­de­re Lösungen.

Exem­pla­risch sol­len hier zwei uni­ver­sell ein­setz­ba­re Apps genannt wer­den, wel­che die fol­gen­den Kri­te­ri­en erfül­len: Sie sind kos­ten­los, Open Source, platt­form­un­ab­hän­gig, syn­chro­ni­sie­ren auf Wunsch ver­schlüs­selt zwi­schen unter­schied­li­chen Gerä­ten und erleich­tern die Ein­ga­be der gene­rier­ten Codes auch auf Lap­tops oder Desk­top-Com­pu­tern:

  • 2FAS lässt sich nur auf Mobil­ge­rä­ten mit Android oder iOS instal­lie­ren, kann jedoch Ein­trä­ge zwi­schen die­sen syn­chro­ni­sie­ren und die Ein­ga­be der gene­rier­ten Codes auf Lap­tops oder Desk­top-Com­pu­tern durch eine Brow­ser-Erwei­te­rung vereinfachen.
  • Ente Auth syn­chro­ni­siert auf Wunsch eben­falls, dies jedoch nicht nur zwi­schen Mobil­ge­rä­ten, son­dern die Codes für die Zwei-Fak­tor-Authen­ti­sie­rung las­sen sich auch platt­form­über­grei­fend auf Com­pu­tern mit MacOS, Linux oder Win­dows sowie zusätz­lich über eine Web­ober­flä­che abrufen.

Den Phis­hern nicht ins Netz gehen 🎣

/in

Unter dem Begriff Phis­hing (Neo­lo­gis­mus von „fishing“, engl. für ‚Angeln‘) ver­steht man Ver­su­che, sich über gefälsch­te Web­sei­ten, E‑Mails oder Kurz­nach­rich­ten als ver­trau­ens­wür­di­ger Kom­mu­ni­ka­ti­ons­part­ner aus­zu­ge­ben. Ziel des Betrugs ist es, z. B. an per­sön­li­che Daten des Opfers zu gelan­gen, etwa es zur Aus­füh­rung einer schäd­li­chen Akti­on wie das Ein­log­gen in einen gefälsch­ten Web­auf­tritt zu bewe­gen, um die Zugangs­da­ten zu erschlei­chen. In der Fol­ge wer­den dann bei­spiels­wei­se Kon­to­plün­de­run­gen begangen.

Quel­le (leicht bear­bei­tet und gekürzt): „Phis­hing“. In: Wiki­pe­dia – Die freie Enzy­klo­pä­die. Bear­bei­tungs­stand: 29. Okto­ber 2024, 19:10 UTC.

Neben einem grund­sätz­li­chen Bewusst­sein für das Phä­no­men sind Kennt­nis­se wich­tig, um Phis­hing-Ver­su­che zu erken­nen. Und das ist nicht immer ein­fach: Zwar gibt es immer noch sehr plum­pe Ver­su­che, bei denen man bei­spiels­wei­se anhand von

  • sprach­li­chen Fehlern, 
  • merk­wür­di­ger For­ma­tie­rung oder 
  • inhalt­li­chen Unstimmigkeiten 

schnell fest­stel­len kann, dass etwa eine E‑Mail nicht ver­trau­ens­wür­dig ist. 

Doch es gibt inzwi­schen auch sehr über­zeu­gend gemach­te Phis­hing-Nach­rich­ten, die sich nicht auf den ers­ten Blick erken­nen las­sen. Und ins­be­son­de­re, wenn die­se evtl. zu einem tat­säch­li­chen eige­nen Anlie­gen pas­sen oder in einem Moment der Unauf­merk­sam­keit ein­tref­fen, ist ein fal­scher Klick schnell getan.

Um das eige­ne Bewusst­sein zu schu­len und die Erken­nung von Phis­hing-Ver­su­chen zu trai­nie­ren, eig­nen sich die Ange­bo­te der For­schungs­grup­pe SECUSO. Die­se gehört zum Karls­ru­her Insti­tut für Tech­no­lo­gie (KIT) und stellt Mate­ria­li­en in unter­schied­li­chen For­ma­ten als „NoPhish Kon­zept“ zur Ver­fü­gung.

Video der For­schungs­grup­pe SECUSO in Koope­ra­ti­on mit Alex­an­der Leh­mann unter CC BY-NC-ND auf secu​so​.aifb​.kit​.edu/​1​0​4​7​.​php

Neben wei­te­ren Vide­os (auch auf You­Tube ver­füg­bar) ist vor allem die Umset­zung der Emp­feh­lun­gen in Form des Brow­ser­spiels „Phis­hing Mas­ter“ sehr gelungen:

Auf spie­le­ri­sche Art und Wei­se lernt der Nut­zer, Web­adres­sen rich­tig zu lesen bzw. gefähr­li­che Links und Anhän­ge zu erken­nen. […] Nach einer kur­zen Ein­füh­rung bezüg­lich der Bedien­bar­keit beginnt das Shoo­ting-Game, bei dem man sich in einem Büro befin­det und auf dem Moni­tor Nach­rich­ten ange­zeigt bekommt, die man auf ihre Echt­heit hin unter­su­chen soll.

Quel­le: secu​so​.aifb​.kit​.edu/​1​5​2​3​.​php
👉 Phis­hing Mas­ter starten

Wem die spie­le­ri­sche, aber etwas mar­tia­li­sche Umset­zung nicht geeig­net erscheint, kann alter­na­tiv auf ein Quiz zurück­grei­fen – im Spiel „Phis­hing Mas­ter“ wer­den Infor­ma­ti­ons­ver­mitt­lung sowie die Anwen­dung die­ser Erkennt­nis­se jedoch beson­ders geschickt kombiniert.

Noch aus­führ­li­che­re Hin­ter­grün­de und Emp­feh­lun­gen zu mensch­li­chen Fak­to­ren in der IT-Sicher­heit und dem damit ver­bun­de­nen Social Engi­nee­ring, also der zwi­schen­mensch­li­chen Mani­pu­la­ti­on, in die auch das Phis­hing ein­zu­ord­nen ist, stellt Linus Neu­mann in sei­nem Vor­trag „Hir­ne Hacken“ dar:

Medi­en­tipp 📺

Möch­ten Sie das The­ma Phis­hing im Unter­richt behan­deln, kön­nen Sie dafür sehr gut eines unse­rer Online-Medi­en nut­zen: Was ist Phis­hing? (FWU Insti­tut für Film und Bild, 2024). Es beinhal­tet neben Erklär­fil­men auch inter­ak­ti­ve Lern­bau­stei­ne, mit denen sich Schü­le­rin­nen und Schü­ler ins­be­son­de­re der Klas­sen 5–7 die Inhal­te erschließen.

Edu­pool EDU-IDs in IServ nicht möglich!

/in ,
Wei­ter­le­sen