close
Motivation

Dein E-Mail-Postfach ist ein Kronjuwel, das einen Zwei-Phasen-Schutz verdient

E-Mail-Konten sind die Schaltzentralen unseres digitalen Daseins. Wann immer wir uns für einen Onlinedienst registrieren, hinterlassen wir dabei unsere E-Mail-Adresse. Praktisch: Haben wir mal das Passwort vergessen, können wir es über einen “geheimen” Link zurücksetzen lassen. Den Link erhalten wir per E-Mail. Dieses Feature macht dein E-Mail-Postfach aber auch zum “Single Point of Failure”. Wer darauf zugreifen kann, hat praktisch Zugang zu all deinen Accounts. Ein besonderer Schutz ist sehr ratsam. Zwei-Faktor-Authentifizierung (2FA) kann hierzu einen sehr wirksamen Beitrag leisten.

Deine E-Mail-Adresse ist dein Online-Perso

Wie sensibel E-Mail-Postfächer sind, kann man aus zwei Perspektiven bewerten: 1. Wie viel Privates verraten meine E-Mails über mich? 2. Welche Onlinedienste steuere ich mit diesem E-Mail-Postfach? Ersteres wird jeder für sich irgendwie bewerten können. Über den zweiten Punkt hast du dir vielleicht noch nicht so wirklich Gedanken gemacht. Anbieter von Onlinediensten wie Amazon, Facebook usw. verwenden deine E-Mail-Adresse nicht nur als Kommunikationskanal zu dir, sondern auch als Grundlage für eine Art Identitätsnachweis. Sie gehen davon aus, dass du dein E-Mail-Postfach im Griff hast und nur du darauf zugreifen kannst. Auf dieser Annahme basieren einige kritische Funktionen, z.B. das Zurücksetzen des Passworts. Dies erfordert das Klicken auf einen “geheimen” Link, den man per E-Mail erhält, wenn man die “Passwort vergessen”-Funktion ausführt. In gewisser Weise erfüllt dein E-Mail-Postfach also die Funktion eines “Persos” für die Online-Welt.

Mit deinem Online-Perso bist du gut unterwegs

Jetzt überlege mal kurz, bei welchen Onlinediensten du dich so registriert hast. Bei wie vielen davon hast du zum Beispiel Zahlungsinformationen hinterlassen? Und wie viele Accounts besitzt du wohl und weißt schon gar nichts mehr darüber? Sicherlich einige. Dein E-Mail-Konto ist quasi dein Online-Identität, dein Kronjuwel. Erlangt ein Unbefugter Zugriff darauf, kann es unangenehm für dich werden. Unter all deinen Konten ist dein E-Mail-Konto das kritischste. Und dein Kronjuwel verdient auch den besten Schutz. Was kann man als Nutzer denn überhaupt tun? Einiges. Eine besonders empfehlenswerte Maßnahme ist die Einrichtung einer Zwei-Faktor-Authentifizierung (2FA). Eine 2FA erfordert neben der Eingabe des Passworts das Meistern einer weiteren Hürde zum Einloggen. Somit ist dein E-Mail-Postfach auch noch geschützt, wenn dein Passwort mal abhanden kommt.

Welche Mail-Provider bieten 2FA an?

Schlechte Nachricht vorab: Leider bieten von den fünf beliebtesten Mail-Providern in Deutschland nur die US-Anbieter Google (Platz 4) und Microsoft (Platz 5) eine 2FA an. Die deutschen Anbieter GMX (Platz 1), web.de (Platz 2) und Telekom (Platz 3) müssen unbedingt nachziehen, wenn E-Mail “Made in Germany” mit Sicherheit und Datenschutz punkten soll. Das gute alte Yahoo! bietet auch 2FA an, aber ansonsten haben die sich in den letzten Jahren nicht gerade mit Ruhm bekleckert, was die Sicherheit der Kundendaten angeht.

2FA bei Gmail

Google bietet verschiedene 2FA-Optionen, die alle auf der sehr guten Infoseite beschrieben sind (Google nennt es “Bestätigung in zwei Schritten”). Aktivieren kann man 2FA in den Konto-Einstellungen. In Kombination mit dem Passwort kann man wählen zwischen

  • der Eingabe eines Einmalcodes (TAN), den man per SMS erhält
  • der Eingabe eines Einmalcodes (TAN), den man aus der speziellen App “Google Authenticator” ausliest
  • der Eingabe eines Einmalcodes (TAN), den man aus einer ausgedruckten TAN-Liste auswählt
  • der Eingabe eines Einmalcodes (TAN), den man durch einen Anruf mitgeteilt bekommt
  • der Bestätigung einer Push-Benachrichtigung am Smartphone
  • dem Einstecken eines speziellen USB-Sticks an den Computer

Meine Empfehlungen “Google Authenticator” und “Bestätigung per Push” bieten aus meiner Sicht die beste Balance zwischen Sicherheit und Benutzerfreundlichkeit. Das geniale am Google Authenticator ist, dass er auch offline, also ohne Mobilfunk- und Internet-Verbindung funktioniert.

  • Variante "Bestätigung per Push" bei Google: Nach Eingabe des Passworts am Rechner erscheint diese Push-Anfrage am Smartphone.

2FA bei Microsoft Outlook

Bei Microsoft werden die Varianten “SMS”, “Authenticator App”, “Bestätigung per Push” und “Code per Anruf” unterstützt. Aktivieren kann man das Ganze in den Konto-Einstellungen. Das Microsoft-Pendant zur Google Authenticator App heißt “Microsoft Authenticator”.

Zwei Hürden, aber bitte nur für den Angreifer

Zugegeben, 2FA – egal in welcher Variante – ist immer mit zusätzlichem Aufwand verbunden und das kann einen möglicherweise von der Nutzung abschrecken. Aber zum Glück gibt es Möglichkeiten, die Sicherheit durch 2FA zu erhöhen, ohne dass man selbst jedes Mal die zusätzliche Hürde meistern muss. Und wie? Google und auch Microsoft erlauben es, den eigenen Rechner als vertrauenswürdig zu kennzeichnen (man setzt einfach das entsprechende Häkchen im Login-Formular). Für die als vertrauenswürdig gekennzeichneten Rechner wird keine 2FA fällig. Dass ein Bösewicht gleichzeitig an dein Passwort, dein Smartphone und deinen Rechner kommt, kann dabei durchaus ein akzeptables Restrisiko sein. Ist Geschmackssache. Mehr Sicherheit geht immer, aber besonders schön ist es, wenn man einen so tollen Kompromiss findet, wie im Fall von 2FA.

Tags : 2FAE-Mail
Gökhan Bal

The author Gökhan Bal

Enthusiast für menschen- und gesellschaftsdienliche digitale Innovationen. Experte für digitale Sicherheit und technischen Datenschutz. Digitale Sicherheit betrachte ich nicht nur als meine Profession, sondern vielmehr als meine Mission. Für mich dreht sich dabei alles um den Menschen und seine Bedürfnisse.