Andreas Unkelbach
Werbung


Samstag, 5. Mai 2018
09:38 Uhr

Zweistufige Anmeldung oder Zwei-Faktor-Authentifizierung (2FA) bei Onlinediensten (Datensicherheit und Datenschutz)

Im Onlinebanking wird statt der klassischen TAN (oder iTAN) mittlerweile oftmals schon ein Verfahren wie PushTAN, TAN2go oder Verified by Visa eingesetzt. Hier wird nicht mehr die TAN direkt eingegeben, sondern nachdem sich im Onlinebanking angemeldet wurde an einen zweiten Gerät (Chipkartenleser oder Smartphone) eine TAN als zweiter Faktor entweder per SMS oder über eine SMS eingegeben. Selbst beim Onlinebanking wie im Artikel "Meine Erfahrungen mit Smarthome Teil VI - Onlinebanking mit Google Home und Sparkasse" vorgestellt dürfte eine TAN ab einer Wertgrenze verlangt werden.

Persönlich gefällt mir übrigens dass Beispiel mit TAN und Onlinebanking besser als Bankkarte und PIN auch wenn dieses ebenfalls zwei Faktoren sind.

Vergleichbare Techniken sind dabei auch bei diversen Onlinediensten vorhanden und gerade bei der Veröffentlichung von Passwörtern ist dieses Verfahren dann ein zusätzlicher Schutz für den eigenen Account.

Anmeldung mit Zweifaktor Authentifizierung (kurz: 2FA)

Neben der Thematik Datenschutz (siehe Artikel "EU DSGVO - Info- bzw. Link-Sammlung mit Schwerpunkt auf die Umsetzung bei Blogs oder der eigenen Website (hier: Autorenwebsite, Blogger, KMU)") ist auch das Thema IT-Sicherheit ein fester Bestandteil einer "Digitalstrategie" ;-) bzw. hilft bei der Umsetzung von technischen Maßnahmen die kritische Systeme schützen.

Wikipedia definiert die Zwei-Faktor-Authentifizierung als "Die Zwei-Faktor-Authentifizierung (2FA) dient dem Identitätsnachweis eines Nutzers mittels der Kombination zweier unterschiedlicher und insbesondere unabhängiger Komponenten (Faktoren)"

Als ein einfaches Beispiel mag ich hier Amazon nehmen.

Der erste Schritt ist eine normale Anmeldung beim Amazon Konto.

Anmeldung auf Amazon mit Mail und Passwort

Hier ist der erste Faktor also die Kenntnis von E-Mail-Adresse/Mobilfunknummer und Passwort.

Interessant ist nun der zweite Schritt. Hier wird nun der zweite Faktor zur Anmeldung verlangt.


Amazon Zwei Schritt Verifizieurng


Hier muss nun zusätzlich zum Passwort ein Code eingegeben werden. Dieser wird in einer App generiert und ist nur für kurze Zeit gültig. Dieses Passwort wird bei mir am Smartphone generiert und damit ist zusätzlich zum Passwort noch ein physisches Medium (hier mein Smartphone) erforderlich.

Persönlich habe ich mich dazu entschlossen, soweit möglich, meine Onlinedienste mit einen solchen Verfahren abzusichern. Auslöser dafür war, dass mein Mailanbieter Posteo eine Anleitung veröffentlichte wie die Webmailoberfläche zur Nutzung dieses Verfahren abgesichert werden kann.

Dieses ist auf der Seite "Was ist die Zwei-Faktor-Authentifizierung und wie richte ich sie ein?" in der Posteo Hilfe veröffentlicht worden.

E_MAilaccount als Einfallstor für etwaige Sicherheitsprobleme


Ich freue mich ja noch immer über die Mailproviderempfehlung und die hier online gestellte Anleitung zur Zwei-Faktor-Authentifizierung funktioniert ebenfalls über vergleichbare Verfahren anderer Anbieter. Dennoch möchte ich im Verlauf dieses Artikels auf die von mir verwendeten Apps, sowie die Aktivierung der Zwei-Faktor Authentifizierung (2FA) bei einigen Diensten vorstellen. Besonders wichtig ist mir aber tatsächlich die Absicherung meines E-Mail-Kontos.

Heutzutage ist der Mailaccount gerade durch Passwortzurücksetzen noch immer sehr wichtig und daher ist es durchaus auch ein nachvollziehbarer Wunsch diesen möglichst sicher zu haben. Sollte also jemand Benutzername und Passwort kennen fehlt immer noch das Einmalpasswort zur Bestätigung.
 

Apps als Authentifizierung der Geräte zur Erstellung von OneTimePasswort


Mittlerweile nutze ich (an zwei Android Geräten) unterschiedliche Anwendungen um eben diesen Schlüssel zu verwenden und möchte sowohl das Verfahren als auch die Apps kurz vorstellen.

Free OTP
Free OTP
Martket Link / Google Play Diese App wird von Redhat  vertrieben und bietet eine Oberfläche in der nicht nur die einzelnen Dienste verwaltet werden können (und neue durch Scannen eines QR Code hinzugefügt werden können) sondern auch unter der Apache Lizenz vertrieben wird.

Die Oberfläche bietet neben jeden eingebundenen Dienst einen Button über den dann ein einmaliges Passwort (gültig für eine bestimmte Zeit, meist eine Minute) generiert wird.

Free OTP Ansicht

Daneben können über das QR Code Symbol von Webdiensten der geheime Schlüssel eingebunden werden oder über das Schlüsselsymbol auch manuell ein Dienst eingetragen werden.

Free OTP neuer Eintrag

Google Authenticator
Android App Google Authenticator
Martket Link / Google Play Diese App wird direkt von Google Inc. angeboten und bietet ebenfalls die Möglichkeit der Zwei Faktor Authentifizierung an.

Beide Apps unterstützen im Rahmen der  Initiative for Open Authentication (OATH) (siehe Wikipedia-Eintrag) ein einheitliches Verfahren, so dass hier nicht nur Google sondern auch andere Dienste eingebunden werden können. Im Gegensatz zur oberen App listet diese App direkt das OneTimePassword für alle Dienste auf, sobald sie gestartet wird.

GAuth Ansicht

In diesen Beispiel ist das ganze etwas verborgen.

Generell werden immer ein zwei Zahlenblöcke aus jeweils drei Zeichen berechnet. Wichtig bei der Erstellung eines Codes ist, dass hier die Uhrzeit von Server des Dienstes und am Smartphone identisch ist, da ansonsten aus dem hinterlegten Geheimnis ein fehlerhafter Code berechnet wird.

Auch in der Google App können weitere Dienste hinzugefügt werden.

Gauth Neuer Dienst

Dabei stehen auch wieder Schlüsseleingabe und Barcode scannen zur Verfügung.

Gauth Verfahren

Der Schlüssel kann dabei zeit oder zählerbasiert hinterlegt werden.

Gauth Neues Konto

Interessanter als per QR Code scannen ist aber, dass innerhalb des Android Systems die Zweifaktorauthentifizierung bzw. das generierte Geheimnis direkt mit der App aus den Browser am Smartphone aufgerufen werden kann und damit direkt das jeweilige Konto hinterlegt wird.

Aktivierung von zweistufigen Anmeldung / Zwei-Faktor-Authentifizierung (2FA) bei unterschiedlichen Webdiensten / Webanbietern


Persönlich nutze ich das 2FA Verfahren neben Posteo auch für verschiedene andere Dienste. Hier sind die Einstellungen meistens im Unterpunkt Sicherheit und Anmeldung bei den Kontoeinstellungen zu finden. Wenn ich mir die Liste an Codes in meiner Authentifizierungs-App anschaue dürften am häufigsten die folgenden Dienste von mir mit diesen Sicherheitsverfahren geschützt sein.

2FA - Posteo (Mailanbieter):
Unter Posteo kann dieses in den Kontoeinstellungen unter Passwort und Sicherheit aktiviert werden. Dabei gilt dieses Verfahren ausschliesslich für die Webmailoberfläche.

2FA - Google (für diverse Google Dienste):
Google bietet das 2FA Verfahren auf einer Extra Seite an (Google Bestätigung in zwei Schritten) nachdem das Verfahren abgeschlossen ist, ist bei jeden Google Dienst (auch Webmail) ein Anmelden per 2FA notwendig. Daneben gibt es aber auch BackupCodes (10) die man sich ausdrucken kann für den Fall, dass das Smartphone einmal nicht funktioniert.
Sollen Mails mit einen Mailprogramm abgeholt werden (bspw. Thunderbird oder Aquamail (siehe Artikel "Mailprogramme unter Android mit Exchange EWS Unterstützung insbesondere Aquamail") wird hier nicht mehr das normale Kennwort vom Konto verwendet sondenr es muss ein App-Passwort auf der Seite App Passwörter generiert werden, dass dann entsprechend im Mailprogramm genutzt werden kann.

Hier können beliebig viele Passwörter generiert werden, die dann aber auch gelöscht werden können bspw. beim Verlust eines Gerätes.

2FA - Dropbox (einer von mehreren Online-Cloudspeichern):
Hier kann ebenfalls unter Einstellungen - Sicherheit die zweistufige Überprüfung aktiviert werden.Sollten Sie noch nicht Dropbox nutzen kann über diesen Link ein Konto angelegt werden. Hierdurch erhalte sowohl ich als auch Sie noch etwas zusätzlichen Speicherplatz Ist der Synchronisationsclient einmal mit Dropbox verknüpft muss das Passwort nicht erneut angegeben werden.

2FA - Amazon (Onlineversandhändler)
Bei Amazon kann das Verfahren in den Kontoeinstellungen unter "Anmeldung und Sicherheit" unter den Punkt "Erweiterte Sicherheitseinstellungen" aktiviert werden.

Amazon nutze ich mittlerweile nicht nur für Onlinebestellungen sondern auch für meine "Autorenseite *" so dass ich auch froh bin, dass diese entsprechend geschützt ist. Siehe hierzu auch meine Ausführung zum Thema "Autorenvergütung für Bücher oder auch Onlineartikel / Autorenleben".

2FA - Facebook (soziales Netzwerk)
Bei Facebook kann das Verfahren unter den Einstellungen im Abschnitt "Sicherheit und Logon" aktiviert werden.

2FA - Twitter (noch ein soziales Netzwerk)
Bei Twitter ist dieses unter Einstellungen und Datenschutz im Abschnitt "Account" unter den Punkt Anmeldebestätigung eingerichtet werden.

Gerade bei Facebook und Twitter ist es hilfreich die Einrichtung direkt am Smartphone vorzunehmen, da die Einrichtung bzw. das Geheimnis (Barcode) direkt mit der App aufgerufen und eingebunden werden kann.

Weitere Dienste sind auf der Seite mobilegeeks.de im Artikel "Anleitung: Zwei-Faktor-Authentifizierung für Facebook, WhatsApp, Amazon & Co. einrichten" vorgestellt. Hier muss ich tatsächlich die Seite loben, da hier immer einmal wieder solche Perlen veröffentlicht werden die sich ausführlich mit Grundlagen oder auch tiefergehend mit Themen auseinander setzen.

Für die Eigenentwicklung: 2FA in der eigenen Anwendung verwenden

In der Ausgabe 11/2016 berichtet die c't im Artikel "Doppelt gesichert Zwei-Faktor-Authentifizierung mit Einmal-Passwörtern" darüber wie das Verfahren TOTP "Time-based One-time Password Algorithm" in eigene Anwendungen eingebunden werden kann.

Hier wird die  PHP-Bibliothek GoogleAuthenticator.php genutzt um die eigene Webanwendung mit einer Zwei-Faktor-Authentifizierung zu schützen. Noch einer der Gründe warum ich mein Zeitschriftenabo definitv weiter laufen lasse, selbst wenn zur Zeit einige Ausgaben des Magazin ungelesen in der App liegen (siehe Artikel "Infotainment oder Nachrichtenapps für Android" wo auch die App c’t Magazin vorgestellt wird.
 

Fazit Praktisches Nutzen der zweistufigen Anmeldung

Wie eingangs erwähnt sehe ich gerade mein Mailpostfach als besonders schützenswert an. Wenn ich mir dann noch Meldungen über veröffentlichte Passwörte von Webdiensten ansehe (eine gute Anlaufstelle kann hier die Seite https://haveibeenpwned.com/ sein) ist dieses ein einfach einzurichtender Sicherheitsschritt mit nicht sonderlich hohen Aufwand bei einer Anmeldung.

Wenn ich darüber nachdenke bei welchen Anbietern gerade meine Mailanschrift genutzt werden könnte um ein Passwort zurückzusetzen ist dieses ein besonders wunder Punkt. Daneben kann die zweistufige Authentifizierung auch als technische Maßnahme zum Schutz auf personenbezogene Daten wie eMails betrachtet werden.... was vielleicht an anderer Stelle ebenfalls interessant ist.

Gerade wenn das mobile Gerät (Smartphone) ohnehin immer griffbereit ist, dürfte eine solche Erhöhung der eigenen Sicherheit tatsächlich sehr einfach umzusetzen sein.

Als Lesetipp von Heise kann hier auch der Artikel "Übersicht: Diese Webseiten bieten Zwei-Faktor-Authentifizierung" empfohlen werden in dem eine Seite vorgestellt wird über die nachgelesen werden kann, ob auch die von einen selbst genutzten Dienste möglicherweise schon die zweistufige Anmeldung unterstützen.

Zumindest bei mir merke ich, dass sich hier immer mehr Webdienste für ein solches Verfahren entscheiden und es für mich auch kein hoher Aufwand ist dieses zu aktivieren und auch im praktischen Alltag aktiv zu nutzen. Vielleicht dient dieser Artikel ja auch für die ein oder anderen Kollegin oder Kollegen dazu ebenfalls über das Thema Accountsicherheit im privaten Umfeld nachzudenken.

Persönlich erinnere ich mich noch gut an die Zeit bei AOL als wir hier als Scouts unseren Account neben Passwort noch mit RSA Token abgesichert hatten der regelmäßig ein Passwort generierte und für die Anmeldung erforderlich war.... aber dieses war um 2001 und ist heute tatsächlich wesentlich einfacher .

Außerdem ist ein Smartphone heute leichter zu finden als der blau/rote Token damals.

Ferner steht nun dieses Mehr an Sicherheit viel mehr Personen zur Verfügung.

Hinweis: Aktuelle Buchempfehlungen besonders SAP Fachbücher sind unter Buchempfehlungen inklusive ausführlicher Rezenssionen und Bestellmöglichkeit zu finden.
Espresso Tutorial - die digitale SAP Bibliothek

Diesen und weitere Texte von finden Sie auf http://www.andreas-unkelbach.de


Keine Kommentare

Kommentieren?


Beim Versenden eines Kommentars wird mir ihre IP mitgeteilt. Diese wird jedoch nicht dauerhaft gespeichert; die angegebene E-Mail wird nicht veröffentlicht: beim Versenden als "Normaler Kommentar" ist die Angabe eines Namen erforderlich, gerne kann hier auch ein Pseudonyme oder anonyme Angaben gemacht werden (siehe auch Kommentare und Beiträge in der Datenschutzerklärung).

Eine Rückmeldung ist entweder per Schnellkommentar oder (weiter unten) als normalen Kommentar möglich. Eine persönliche Rückmeldung (gerne auch Fragen zum Thema) würde mich sehr freuen.

Schnellkommentar (Kurzes Feedback, ausführliche Kommentare bitte unten als normaler Kommentar)

Name (sofern kein Name angegeben wird erscheint Anonym):



Ich nutze zum Schutz vor Spam-Kommentaren (reine Werbeeinträge) eine Wortliste, so dass diese Kommentare nicht veröffentlicht werden. Sollte ihr Kommentar nicht direkt veröffentlicht werden, kann dieses an einen entsprechenden Filter liegen.

Im Zweifel besteht auch immer die Möglichkeit eine Mail zu schreiben oder die sozialen Medien zu nutzen. Meine Kontaktdaten finden Sie auf »Über mich«. Ansonsten antworte ich tatsächlich sehr gerne auf Kommentare und freue mich auf einen spannenden Austausch.

Normaler Kommentar

Name:

E-Mail (wird nicht veröffentlicht und ist nicht erforderlich):

Homepage:

Kommentar:





* Amazon Partnerlink
Als Amazon-Partner verdiene ich an qualifizierten Käufen über Amazon.
Hinauf




Werbung



Logo Andreas-Unkelbach.de
© 2004 - 2018 Andreas Unkelbach
Gießener Straße 75,35396 Gießen,Germany
andreas.unkelbach@posteo.de
Andreas Unkelbach

Stichwortverzeichnis
(Tagcloud)


Aktuelle Infos (Abo)

Facebook Twitter Google+

»Schnelleinstieg ins SAP Controlling (CO)« und »Berichtswesen im SAP ® ERP Controlling«
Privates

Kaffeekasse 📖 Wunschliste