Das Symptom
Der Login fragt nach einem Code, der per SMS kommt. Das fühlt sich sicher an – es
ist ja das Handy, das man in der Hand hält. Bis der Code entweder gar nicht
ankommt, weil das Netz gerade zickt oder man im Ausland ist, oder bis eine
Anmeldeseite ihn abfragt, die man selbst nie angesteuert hat. Und irgendwo in den
Kontoeinstellungen steht seit Jahren ungenutzt eine Liste anderer Verfahren, die
niemand je angesehen hat.
Die „Layer 8“-Wahrheit
Zwei-Faktor ist kein Schalter mit zwei Stellungen, sondern eine Rangfolge – und
fast alle bleiben auf der untersten Stufe stehen, weil sie beim Einrichten
zuerst angeboten wurde. Das BSI sortiert die Verfahren ausdrücklich: Codes per
SMS unten, Authenticator-Apps und Hardware-TAN-Generatoren darüber, an der Spitze
Verfahren, die Transaktionsdaten einbeziehen oder auf Passkeys beruhen. Der
entscheidende Bruch in dieser Liste verläuft aber nicht dort, wo man ihn vermutet.
Er liegt zwischen „irgendein Code, den ich abtippe“ und „ein Schlüssel, der weiß,
mit welcher Webseite er spricht“. Alles Abtippbare – SMS, E-Mail, auch der
Sechser aus der Authenticator-App – schützt laut BSI nicht gegen Phishing in
Echtzeit, weil eine gefälschte Seite den Code entgegennimmt und in Sekunden an
die echte weiterreicht. Nur die Passkey-Verfahren nennt das BSI resistent gegen
übliche Phishing-Angriffe.
Die SMS ist innerhalb der abtippbaren Verfahren noch einmal die schwächste, weil
sie zusätzlich an der Rufnummer hängt und damit an einem Vertragsverhältnis, das
man selbst nicht kontrolliert. NIST stuft die Nutzung des Telefonnetzes für
solche Bestätigungen als eingeschränkt ein und verlangt von Diensten, auf
Indikatoren wie SIM-Wechsel und Rufnummernmitnahme zu achten – das ist der
nüchterne Behördenausdruck dafür, dass eine Rufnummer den Besitzer wechseln kann,
ohne dass ihr Besitzer davon weiß. Nichts davon heißt, dass SMS-Zwei-Faktor
schlechter wäre als gar keine; sie ist deutlich besser als ein bloßes Passwort.
Es heißt nur, dass die Einstellung, die man beim ersten Einrichten genommen hat,
selten die ist, die man behalten sollte. Zehn Minuten in den Kontoeinstellungen
der drei wichtigsten Zugänge sind hier mehr wert als jede weitere Sicherheitssoftware.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Erst überhaupt einen zweiten Faktor einrichten
Die Rangfolge der Verfahren ist erst der zweite Schritt. Das BSI empfiehlt, eine Zwei-Faktor-Authentisierung anzuwenden, sobald ein Online-Dienst dies ermöglicht – und rät in jedem Fall davon ab, sie zu deaktivieren. Wichtig ist das besonders beim Online-Banking und bei Konten mit weitreichenden Rechten, allen voran der E-Mail-Adresse, über die alle anderen Konten zurückgesetzt werden können.
2.Die verfügbaren Verfahren in den Kontoeinstellungen ansehen
In den Sicherheitseinstellungen des Dienstes steht meist mehr zur Auswahl, als beim ersten Einrichten angeboten wurde. Die Rangfolge nach der BSI-Bewertung, von unten nach oben: Codes per E-Mail oder SMS, dann zeitbasierte Codes aus einer Authenticator-App, dann Hardware-TAN-Generatoren, und an der Spitze Passkeys beziehungsweise Sicherheitsschlüssel nach FIDO2.
3.Von SMS auf eine Authenticator-App wechseln
Die App erzeugt den Code lokal, ohne Mobilfunknetz und ohne Zustellweg. Beim Einrichten unbedingt die angebotenen Wiederherstellungscodes ausdrucken oder in den Passwortmanager legen – ohne sie ist ein verlorenes Telefon ein verlorener Zugang. Danach die SMS als Methode im Konto entfernen, sonst bleibt sie als schwächster Weg weiter offen und der Wechsel bringt nichts.
4.SMS und Login nicht auf demselben Gerät nutzen
Solange die SMS im Einsatz bleibt, gilt die ausdrückliche Einschränkung des BSI: Es sei davon abzuraten, für den Empfang der mTAN dasselbe Gerät zu verwenden wie für das Login beziehungsweise die Nutzung des Dienstes. Wer auf demselben Telefon einloggt, auf dem der Code ankommt, hat den zweiten Faktor auf denselben Kanal gelegt wie den ersten – und damit einen guten Teil des Sinns aufgegeben.
5.Die Codeanzeige vom Sperrbildschirm nehmen
Ein Code, der als Vorschau auf dem gesperrten Telefon erscheint, ist für jeden lesbar, der das Gerät in der Hand hält oder daneben steht. In den Benachrichtigungseinstellungen die Inhaltsvorschau für Nachrichten auf dem Sperrbildschirm ausschalten. Das kostet nichts und schließt den banalsten aller Wege.
6.Für die wichtigsten Konten auf Passkey oder Sicherheitsschlüssel gehen
Das ist der einzige Schritt, der die Klasse wechselt statt nur den Grad. Laut BSI sind die beiden Passkey-Verfahren resistent gegen übliche Phishing-Angriffe, während SMS-TAN und TOTP dagegen nicht schützen. Für E-Mail-Konto, Passwortmanager und Bankzugang lohnt der Aufwand am meisten. Ein zweiter, an sicherer Stelle verwahrter Sicherheitsschlüssel als Ersatz gehört zur Einrichtung dazu.
7.Die Rufnummer beim Mobilfunkanbieter absichern
Der zweite Faktor per SMS hängt daran, dass die Rufnummer bei dir bleibt. NIST verlangt vom Diensteanbieter ausdrücklich, Risikoindikatoren wie Gerätetausch, SIM-Wechsel und Rufnummernmitnahme zu berücksichtigen – ein Hinweis darauf, dass genau hier der Angriffspunkt liegt. Was du selbst tun kannst: beim Mobilfunkanbieter ein Kundenkennwort setzen und prüfen, welche Auskunft am Telefon ohne dieses Kennwort möglich ist.