Wer sich beim Login nicht mehr auf das übliche Duo Benutzername und Passwort verlassen möchte, kann und sollte nach neuen Login-Verfahren Ausschau halten, die mehr Sicherheit versprechen. Mit U2F gibt es die Möglichkeit, sich mit einem USB-Schlüssel auszuweisen – und so seine Daten bessser abzusichern. Nach Google macht nun auch Dropbox mit.
Wer sich irgendwo einloggt, muss normalerweise Benutzername und Passwort eingeben. Dieses Doppel zum Login ist zwar immer noch beherrschend, aber nicht (mehr) sonderlich sicher. Immer wieder greifen Angreifer im großen Stil Passwörter und Zugangsdaten ab – und die Benutzer sind die Gelackmeierten, müssen ihre Passwörter wieder ändern und darum bangen, dass ihre Zugangsdaten nicht längst missbraucht wurden.
Deshalb wird händeringend nach Alternativen gesucht. Nach Möglichkeiten, das Login komfortabler und möglichst gleichzeitig sicherer zu machen. Die mittlerweile durchaus weit verbreitete Zwei Faktor Authentifizierung ist ein durchaus gangbarer Weg: Da muss der Benutzer neben Benutzername und Passwort auch noch einen Code eingeben, der im Smartphone erzeugt oder per SMS zugeschickt wird. Das ist deutlich sicherer – aber nicht bequemer.
Biometrische Verfahren
Auch biometrische Verfahren kommen verstärkt zum Einsatz. Das neue Windows 10 zum Beispiel unterstützt serienmäßig das Einloggen mit Gesichtserkennung, Fingerabdruck oder Iris-Scan. Man mag das ein wenig spooky finden. Aber gute 3D-Kameras vorausgesetzt, funktioniert zumindest der Login mit dem eigenen Gesicht schon sehr gut. Austricksen fasst unmöglich. Und: Kein Hacker kann diese Informationen entwenden. Selbst wenn Kriminelle den Hashcode (mathematisches Verfahren zur Beschreibung des Gesichts) entwenden sollten, lässt sich das System trotzdem nicht austricksen. Ohne Gesicht, Fingerabdruck oder Iris kein Zugang.
Bei Fingerabdrücken ist das anders. Weil die meisten Smartphones ziemlich simple Sensoren eingebaut haben, lassen sich sich vergleichsweise leicht überlisten. Bei guten Sensoren, die lebende von unlebendigen Fingern unterscheiden können, ist das nicht so. Doch damit freunden sich nur die wenigsten Konsumenten an. Sie haben Sorge, dass ihre Daten bei der NSA landen oder missbraucht werden. Und wer wollte ihnen diese Sorge angesichts der Dimensionen der NSA-Schnüffeleien (und der Untätigkeit der deutschen Politik) ernsthaft verübeln?
Universal Second Faktor – U2F
Ein vergleichsweise neues Verfahren ist U2F (Universal Second Factor). Hier hat man einen kleinen Schlüssel zur Hand, den man auf eine USB-Buchse steckt. Der Schlüssel generiert den erforderlichen Code, um sich bei einem Online-Dienst anzumelden. Benutzername und Passwort werden durch den Code ergänzt. Vorteil gegenüber der Zwei Faktor Authentifizierung: Man muss keinen Code vom Handydisplay ablesen. Einmal den Key aufgesteckt, ist alles erledigt. Und Hacker haben keine Chance: Wer den Key nicht hat, der kann sich auch nicht einloggen.
Google und Google Chrome unterstützen U2F schon etwas länger. Jetzt hat auch Dropbox aufgerüstet: Ab sofort kann man auch seine Dropbox-Daten mit U2F absichern (hier steht mehr dazu). Dropbox setzt wie Google auf die Public-Key-Infrastruktur der FIDO Alliance. Hier müssen wirklich gar keine Codes mehr eingetippt werden, der USB-Stick ist der Schlüssel. Solche Sticks gibt es in unterschiedlichen Arten. Die einfacheren bekommt man schon für unter 20 Euro bei Onlinehändlern. Und auf Geräten ohne USB-Buchse kann man trotzdem an sein Konto ran: Indem man sich eine SMS schicken lässt oder den Code im Smartphone generiert.
Ich kann nur dringend dazu raten, solche Möglichkeiten zu nutzen. Die Zwei Faktor Authentifizierung macht Onlinekonten deutlich sicherer, ohne großen Mehraufwand. Und mit einem U2F-Key hat man mehr Sicherheit ohne jeden zusätzlichen Aufwand. Das ist es wert.
Hier mache ich gerade aus der Karte einen USB-U2F-Key
