Wie aus einem fremden Passwort eine reguläre Anmeldung wird, und an welcher Stelle sie scheitert
Ein gestohlenes Passwort bricht nirgends ein, es meldet sich an. Der Ablauf dahinter ist fast immer derselbe. Wir sehen ihn regelmäßig, wenn wir eine Umgebung übernehmen. Am Anfang steht eine Zeichenfolge, die jemand vor Jahren bei einem Onlinedienst eingetippt hat und die dort in ein Datenleck geraten ist. Abgewandelt liegt dieselbe Zeichenfolge am Firmenkonto, weil sich niemand für jeden Dienst eine eigene merkt.
Der Zugriff selbst: Benutzername, Passwort, angemeldet. Kein aufgebrochenes Fenster, keine Warnung, keine Auffälligkeit. Für jedes System sieht der Zugriff aus wie der Mitarbeiter selbst. Ein Alarm setzt voraus, dass etwas ungewöhnlich ist, und ungewöhnlich ist an dieser Anmeldung nichts.
Folge: Was danach offensteht, hängt allein daran, was dieses eine Konto darf. Meist sind das Mail, Ablage und Branchensoftware, bei manchen Konten auch das Bankportal. Weil eine gültige Anmeldung keinen Alarm auslöst, läuft das wochenlang, ohne dass es jemandem auffällt. Das ist der unangenehme Teil an diesem Ablauf: Er sieht bis zuletzt nach normalem Betrieb aus.
Der Bruch: Der zweite Faktor greift genau an dieser Stelle. Das Passwort stimmt weiterhin, nur reicht es allein nicht mehr: Es fehlt die Bestätigung am Gerät des Mitarbeiters. Die fremde Anmeldung bleibt stehen. Zugegeben, ein paar Sekunden kostet das jeden Tag. Dafür wird aus einem stillen Zugriff ein gescheiterter Versuch, von dem jemand weiß.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Drei Stellen, an denen das Passwort allein steht
Das eine Passwort, leicht abgewandelt. Niemand merkt sich dreißig verschiedene Zeichenfolgen, also verwendet jeder eine weiter. Damit hängt die Sicherheit Ihres Firmenkontos am schwächsten Dienst, bei dem jemand dieselbe Zeichenfolge jemals eingetippt hat. Diesen Dienst kennen Sie nicht.
Die Anmeldeseite, die nur fast stimmt. Die Nachbauten sind gut, und sie kommen an einem hektischen Tag. Wer dort sein Passwort eingibt, hat es übergeben, ohne dass irgendetwas kaputtgegangen ist. Ein Filter senkt die Zahl dieser Mails, aber er fängt nicht alle.
Die fremde Anmeldung, die wie die eigene aussieht. Gestohlene Zugangsdaten sind heute einer der häufigsten Wege in Firmenkonten. Nicht spektakuläres Hacken, sondern schlichtes Anmelden. Im Betrieb kommt davon nichts an: kein Fehler, keine Meldung, keine Rückfrage. Sichtbar wird so eine Anmeldung erst, wenn jemand nachsieht.
Für Technik-Interessierte Nicht jeder zweite Faktor ist gleich stark
Zwischen den Varianten liegen Welten, und die schwächste ist kaum besser als keine.
Dazu kommen Anmelderegeln, die den zweiten Faktor gezielt dann verlangen, wenn Gerät, Ort oder Verhalten ungewöhnlich sind. Das hält den Alltag ruhig, ohne die Sicherheit zu senken.
- Codes per SMS. Besser als nichts, gilt aber als schwächste Form: Die Rufnummer selbst lässt sich angreifen, etwa indem ein Angreifer sie auf eine andere Karte überträgt. Für sensible Konten reicht das nicht.
- Einmalcodes aus einer App. Solider, weil die App den Code direkt am Gerät erzeugt und er nie durch ein fremdes Netz läuft. Der Nachteil bleibt: Wer den Code auf einer gefälschten Seite eintippt, gibt ihn weiter.
- Push mit Zahlenabfrage. Statt blind zu bestätigen, tippt man eine am Bildschirm angezeigte Zahl in die App. Das lässt gedankenloses Wegdrücken und gezielte Ermüdungsangriffe ins Leere laufen.
- Phishing-resistente Verfahren nach FIDO2. Der Schlüssel ist kryptografisch an die echte Anmeldeseite gebunden. Eine gefälschte Seite bekommt schlicht keinen gültigen Nachweis, egal wie gut sie aussieht.
„Von allem, was ich beruflich einrichte, verhindert nichts so viel Schaden pro investierter Minute wie der zweite Faktor. Deshalb bin ich bei diesem Thema hartnäckiger als bei jedem anderen.“
Was der zweite Faktor im Alltag ändert
In der ersten Woche. Die Einrichtung passiert gemeinsam, nicht per Rundmail. Wer das Team mit einer Anweisung allein lässt, erzeugt genau die Ablehnung, die er danach als Argument gegen die Maßnahme hört.
In den ersten zwei Wochen. Wir klären die Sonderfälle: Handywechsel, vergessenes Gerät, Mitarbeiter ohne Diensthandy. In dieser Zeit muss jemand erreichbar sein, sonst kippt die Stimmung.
Danach im Betrieb. Sie melden sich wie gewohnt an, das Handy vibriert, Sie bestätigen. Auf vertrauten Geräten merkt sich das System die Anmeldung, die Rückfrage kommt nur gelegentlich oder wenn etwas ungewöhnlich ist.
Im Angriffsfall. Die fremde Anmeldung bleibt an der zweiten Hürde hängen, und Sie bekommen die Anfrage aufs Handy. Sie wissen also sogar, dass es jemand versucht hat, und das ist der Unterschied zu einer fremden Anmeldung, die unbemerkt läuft.
Für ein einzelnes Konto lässt sich der zweite Faktor in vielen Diensten mit Bordmitteln aktivieren, das ist schnell erledigt. Für einen ganzen Betrieb braucht es mehr: sinnvolle Anmelderegeln und einen Umgang mit älteren Programmen, die den zweiten Faktor nicht kennen. Dazu ein Prozess für verlorene Handys und jemand, der in den ersten zwei Wochen erreichbar ist.
„Das ist doch umständlich“
Der Einwand ist berechtigt. Ja, es ist ein zusätzlicher Handgriff, und wer dreißig Mal am Tag etwas bestätigen muss, hat recht mit seinem Ärger. Nur ist die Vorstellung meist dramatischer als die Realität, weil richtig gesetzte Regeln die Rückfrage auf die ungewöhnlichen Fälle beschränken.
Den Schlüssel zum Büro geben Sie ja auch nicht weiter, bloß weil das Aufsperren jeden Morgen zehn Sekunden dauert. Die Alternative zum Sekunden-Aufwand ist nicht null Aufwand, sondern die Anrufe, die Sie nach einem fremden Zugriff auf Ihre Konten führen müssen.
Vier Fragen, und was Sie selbst tun können.
Gibt es die Liste nicht, haben Sie Ihre Konten bisher allein dem Passwort überlassen.
Nach der Kontenliste gefragt.Und keine Übersicht bekommen?
Dann wissen Sie nicht, welche Ihrer Konten heute mit einem Passwort allein offenstehen. Reden wir eine halbe Stunde darüber. Wir gehen Ihre Konten durch und sagen Ihnen, wo der zweite Faktor fehlt und wie die Einführung ohne Reibung abläuft.
