Warum die Zwei-Faktor-Authentifizierung per E-Mail (2FA) ein Sicherheitsrisiko ist
Sie denken, Sie sind durch die Codes geschützt, die Sie per E-Mail erhalten? Weit gefehlt. E-Mail ist das schwächste Glied in Ihrer Online-Sicherheit. So schließen Sie die Lücken.
Es ist eines der größten Missverständnisse der modernen Cybersicherheit. Man sagt Ihnen: "Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), um Ihr Konto zu schützen". Sie klicken auf "Ja". Die Website fragt Sie: "Wie möchten Sie Ihren Code erhalten?". Sie wählen E-Mail.
Herzlichen Glückwunsch, Sie haben gerade einen ultra-gepanzerten Tresor gebaut, aber den Schlüssel unter die Fußmatte gelegt.
Das Paradoxon des einzigen Schlüssels
Das Problem mit 2FA per E-Mail ist, dass die E-Mail in der Regel das Werkzeug zur Wiederherstellung des Kontos ist.
Stellen Sie sich einen Hacker vor, der in Ihr Haupt-Gmail-Postfach eindringt.
- Er geht zu Ihrem Kryptowährungs-Konto oder Ihrer Bank.
- Er fordert eine Passwort-Zurücksetzung an.
- Die Zurücksetzungs-E-Mail kommt... in Ihr gehacktes Postfach.
- Der Hacker bestätigt.
- Die Website fragt nach dem 2FA-Code... der AUCH in dem gehackten Postfach ankommt.
E-Mail ist kein zweiter Faktor. Es ist einfach derselbe Faktor, der zweimal verwendet wird. Es ist, als hätten Sie zwei Schlösser an Ihrer Tür, aber derselbe Schlüssel öffnet beide.
Warum ist E-Mail so verwundbar?
Im Gegensatz zu einer App wie Google Authenticator oder einem physischen Schlüssel (Yubikey) ist der Zugriff auf eine E-Mail persistent.
- Wenn Sie auf einem öffentlichen Computer eingeloggt bleiben.
- Wenn Sie ein Passwort verwenden, das Sie bereits anderswo benutzt haben.
- Wenn Ihnen ein Gerät (Smartphone, Tablet) gestohlen wird.
Der Hacker hat totalen und "leisen" Zugriff. Er kann die 2FA-Codes lesen, sie verwenden und dann die E-Mails löschen, damit Sie nichts bemerken.
Wie kann man sich besser schützen?
1. Verwenden Sie Authentifizierungs-Apps (TOTP)
Verbannen Sie E-Mail (und SMS) für Ihre kritischen Konten. Verwenden Sie Google Authenticator, Authy oder Bitwarden. Die Codes werden lokal generiert und werden niemals über das Internet übertragen.
2. Schotten Sie Ihre Identitäten mit JunkMail ab
Verwenden Sie für "sekundäre" Dienste (solche, bei denen Sicherheit nicht lebenswichtig, aber Spam garantiert ist) JunkMail-Aliasse. Wenn einer dieser Dienste gehackt wird, endet die Verbindung dort. Ihre Haupt-E-Mail, die Ihr Leben und Ihre Bankzugänge enthält, bleibt den Angreifern unbekannt.
3. E-Mail als 'Honigtopf' (Honeypot)
Eine fortgeschrittene Technik besteht darin, für jeden großen Dienst eine andere E-Mail-Adresse zu verwenden. Wenn Sie eine Benachrichtigung über eine Passwort-Zurücksetzung an amazon.zugang@junkmail.site erhalten, obwohl Sie nichts angefordert haben, wissen Sie sofort, dass Amazon das Ziel ist.
Fazit
Sicherheit ist eine Angelegenheit von Schichten. Wenn Ihre Haupt-E-Mail die zentrale Schicht ist, muss sie wie ein Heiligtum geschützt werden. Verwenden Sie für den Rest des Webs Wegwerfidentitäten und Authentifizierungsmethoden, die nicht von Ihrem Posteingang abhängen.
Seien Sie kein leichtes Ziel. Brechen Sie den einzigen Schlüssel.
Holen Sie sich die Kontrolle über Ihre Sicherheit zurück. Sichern Sie Ihre Zugänge mit JunkMail.