Gib Hackern und Datendieben keine Chance

Nach dem Bedrohungsmodell folgt die Umsetzung. Timo Volkov und Nino Lahrmann empfehlen zuerst eine Bestandsaufnahme, dann das Aufräumen alter Zugänge und schließlich kleine, nachhaltige Wechsel. Ein besonderer Schwerpunkt liegt auf Zwei-Faktor-Authentifizierung für wichtige Konten.

Erst erfassen, dann löschen

Man sollte aufschreiben, welche Hardware, Betriebssysteme, Browser, E-Mail-Anbieter, Apps und Onlinekonten genutzt werden. Danach wird aussortiert. Eine alte App kann weiterhin Daten sammeln oder die Angriffsfläche vergrößern, obwohl sie längst vergessen wurde.

Für selten genutzte Dienste reicht oft die Webseite im Brave Browser. Eine App kann je nach Berechtigung auf Kontakte, Fotos oder andere Informationen zugreifen. Im Browser bleibt der Dienst stärker in dessen Sandbox eingeschränkt. Das ist besonders bei Social-Media-Diensten wie X, YouTube oder Instagram sinnvoll.

Auch alte Konten vergrößern die Angriffsfläche. Man sollte im E-Mail-Postfach nach früheren Registrierungen suchen und beispielsweise zehn ungenutzte Konten pro Woche löschen.

Prüfen, welche Daten bereits öffentlich sind

Auf Have I Been Pwned kann eine E-Mail-Adresse auf bekannte Datenlecks geprüft werden. Dort lässt sich auch kontrollieren, ob ein altes Passwort in veröffentlichten Datensätzen vorkommt. Wird ein noch verwendetes Passwort als kompromittiert gemeldet, muss man sofort handeln. Besonders wichtig ist ein neues Passwort für das E-Mail-Konto, denn wer Zugriff auf das Postfach hat, kann bei vielen anderen Diensten die Passwortzurücksetzung auslösen.

Danach sollte mit einer privaten Suchmaschine wie Brave Search oder DuckDuckGo nach dem eigenen Namen, der Telefonnummer und der E-Mail-Adresse gesucht werden. Unerwünschte öffentlich auffindbare Angaben können anschließend schrittweise entfernt werden.

Kleine Wechsel sind meist nachhaltiger

Ein kompletter Umbau aller Geräte, Konten und Apps ist möglich, kostet aber viel Zeit und kann schnell überfordern. Für die meisten Menschen ist ein fließender Übergang besser. Man kann jede Woche zwei oder drei Anwendungen ersetzen.

Ein Wechsel von Chrome zu Brave ist ein einfacher Anfang. Bei einem neuen E-Mail-Anbieter sollte das alte Postfach zunächst bestehen bleiben, während neue Anmeldungen bereits über die neue Adresse laufen. Dasselbe Prinzip gilt für Smartphones: Das alte Gerät bleibt vorübergehend als Rückfallebene erhalten, bis auf dem neuen alles funktioniert.

Alternativen findet man auf privatopia.de/empfehlungen, AlternativeTo und privacyguides.org. Bei AlternativeTo kann nach Open Source und Privacy gefiltert werden. Open Source allein garantiert jedoch keine Sicherheit. Man sollte zusätzlich prüfen, ob die Software in den letzten Monaten aktualisiert wurde und eine ausreichend große Nutzerschaft hat. LibreOffice und OnlyOffice werden als Alternativen zu Microsoft Word genannt.

Zwei Faktoren schützen trotz geleaktem Passwort

Ein zweiter Faktor verhindert, dass ein bekannt gewordenes Passwort allein für den Zugriff genügt. Die verfügbaren Verfahren unterscheiden sich deutlich.

SMS und E-Mail

Codes per SMS oder E-Mail sind bequem, können aber vergleichsweise leicht abgefangen werden. Sie sind die schwächste genannte Variante, bieten jedoch mehr Schutz als ein Passwort allein.

TOTP-Apps

TOTP-Apps erzeugen offline alle 30 Sekunden einen neuen sechsstelligen Code. Der offene Standard funktioniert auch dann, wenn ein Dienst hauptsächlich Google Authenticator oder Microsoft Authenticator nennt.

Empfohlen werden zwei kostenlose Open-Source-Apps:

• Aegis speichert die Geheimnisse lokal auf dem Smartphone.
• Ente Authenticator kann die Codes Ende-zu-Ende-verschlüsselt zwischen Geräten synchronisieren. Die Synchronisation muss nicht aktiviert werden.

Man sollte unbedingt ein verschlüsseltes Backup außerhalb des Smartphones speichern. Bei Ente Authenticator wird trotz Synchronisation ein zusätzliches Export-Backup auf einer externen Festplatte empfohlen, zum Beispiel alle drei Monate.

Passkeys

Passkeys arbeiten mit einem privaten und einem öffentlichen Schlüssel. Wird der Passkey in einem Passwortmanager gespeichert, bleibt der private Schlüssel dort geschützt. Beim Login wird damit nachgewiesen, dass der passende Schlüssel vorhanden ist, ohne ihn an den Dienst zu übertragen.

Bitwarden und Proton Pass können Passkeys speichern. Sie sind einfacher als Passwort plus Code und schützen gegen Phishing, weil ein Passkey nur zur richtigen Domain passt. Eine täuschend ähnliche Webseite kann ihn deshalb nicht für den echten Dienst verwenden. Noch bieten nicht alle Webseiten Passkeys an.

FIDO2-Hardware-Schlüssel

Hardware-Schlüssel sind die stärkste genannte Variante. Ein physisches Gerät wird per USB oder NFC verbunden und der Login durch Berührung oder teilweise per Fingerabdruck bestätigt. Genannt werden YubiKey und Nitrokey.

YubiKey hat eine geschlossene und nicht aktualisierbare Firmware. Das soll nachträgliche Manipulationen an der Firmware verhindern, verlangt bei einer nicht behebbaren Sicherheitslücke aber ein neues Gerät. Nitrokey hat dagegen aktualisierbare Firmware, besitzt jedoch eine kürzere Marktgeschichte. Man sollte mindestens zwei Schlüssel beim jeweiligen Konto registrieren, damit der Zugriff beim Verlust eines Schlüssels erhalten bleibt.

Eine sinnvolle Reihenfolge

Man sollte zuerst bei den wichtigsten Konten prüfen, welche zweiten Faktoren verfügbar sind. Die genannte Reihenfolge nach Schutzwirkung lautet: Hardware-Schlüssel, Passkeys, TOTP-App, SMS oder E-Mail. Entscheidend ist auch der schwächste weiterhin aktivierte Wiederherstellungsweg. Wenn neben TOTP weiterhin ein Login per SMS möglich ist, kann dieser schwächere Weg den besseren Schutz unterlaufen.

Für einen unkomplizierten Start eignet sich TOTP mit Aegis oder Ente Authenticator. Danach können Passkeys oder Hardware-Schlüssel dort ergänzt werden, wo die Dienste sie unterstützen.