Google Authenticator & Co.: Sicherheit im Internet

Doch was hat es mit dieser Frage auf sich? Was ist das überhaupt? Und die wohl wichtigste Frage zur Zwei-Faktor-Authentifizierung klären wir auch: Bringt sie überhaupt etwas für den relativ kleinen Mehraufwand, den man dafür machen muss?

Vorab schonmal die bekannteste Form: die SMS mit Verifikationscode. Die kennen wohl alle. Aber was sich immer mehr in die Internetwelt einfindet, ist die Authentifizierung mit einer App. Während manche Services das sogar mit ihrer eigenen App machen, verweisen viele auf den Google Authenticator.

Aber was ist der Google Authenticator und welchen Zweck erfüllt er?

Der Google Authenticator ist eine App, die für eine Zwei-Faktor-Authentifikation neben den üblichen Logindaten genutzt werden kann. Hierfür stellt die Webseite einen QR-Code bereit, der in der App eingelesen werden kann. Daraufhin erscheint in der App ein sechsstelliger Zahlencode, der sich alle 60 Sekunden ändert und bei jedem erneuten Login auf der Webseite eingegeben werden muss. Als Vorreiter etablierte sich der Google Authenticator schnell, was zeitgleich den Wettbewerb ankurbelte. Schnell schloss die Konkurrenz auf, woraus eine Funktionserweiterung der Authenticator-Apps folgte. Auch wenn der Feature-Umfang der Google-App nicht der größte ist: Mit einer Zwei-Faktor-Authentifikation erreichen Sie eine höhere Accountsicherheit und schützen Ihre Benutzerkonten besser vor Hackern.

Wie sicher ist der Google Authenticator?

Als App bietet der Google Authenticator eine der insgesamt fünf Authentifikationsmethoden an. Die verschiedenen Möglichkeiten haben unterschiedliche Sicherheitsstufen – und eine Authenticator-App kann sehr sicher sein. Der Google Authenticator selbst ist durch seine Abschirmung vom Internet als relativ sicher zu betrachten, solange Ihr Handy mit der App nicht geklaut wird oder sie es nicht verlieren. Nach aufsteigender Sicherheit geordnet sehen die weiteren Authentifikationslösungen neben der Authenticator-App so aus:

1. SMS / Anrufe
2. E-Mail
3. Push-Benachrichtigungen
4. Authenticator-App
5. Hardware-Schlüssel (FIDO2/WebAuthn-Schlüssel)

Als Maßstab für die Sicherheit dient die Angreifbarkeit. SMS und Anrufe sind die anfälligsten Verifikationsmethoden, weil es einfacher ist die Telefonnummer anzuzapfen als die anderen Methoden zu umgehen. Bei einem guten Passwort ist das E-Mail-Konto schwieriger zu knacken. Doch je öfter Sie das gleiche Passwort bei unterschiedlichen Unternehmen haben, desto wahrscheinlicher ist es, dass Ihre E-Mail-Adresse mitsamt dem richtigen Passwort geklaut wird. Das kann mit etwas Pech zu einem riesigen Problem werden. Und genau hier wird die Zwei-Faktor-Authentifikation (auch 2FA genannt) wichtig.

Die meisten guten E-Mail-Postfach-Anbieter geben Ihnen die Möglichkeit, dass Sie sich über andere Methoden als über eine SMS oder einen Anruf authentifizieren können: Push-Benachrichtigungen, Authenticator-App oder Hardware-Schlüssel. Sollten Sie die Sicherheit Ihrer Daten wertschätzen, empfiehlt es sich zu überprüfen, ob Ihr derzeitiger Anbieter eine dieser Methoden unterstützt. Wenn Ihr Anbieter das nicht unterstützt, ist ein Wechsel angebracht.

Push-Benachrichtigungen

Push-Benachrichtigungen sind eine sehr simple, aber auch sehr effektive Methode, Ihre Accounts sicherer zu machen. An sich sind die Benachrichtigungen am Handy nicht zu fälschen, weil sie von der Webseite über das Betriebssystem abgewickelt wird. Hierfür kann das Google-Konto oder die Apple-ID dienen. Als Grundvoraussetzung für die Benachrichtigung dient das Eingeben des richtigen Passworts. Daraufhin schickt die Webseite oder der Service eine Anfrage an Google beziehungsweise Apple mit der Angabe, dass eine Authentifikation über Ihr Handy und mittels einer Push-Benachrichtigung stattfinden soll. Sie erhalten dann eine Anfrage auf Ihr Handy um dann gefragt zu werden, ob Sie dem Login zustimmen oder ihn ablehnen möchten. Die Antwort wird dann an die Webseite beziehungsweise den Service weitergeleitet um endgültig verarbeitet zu werden: Bei einer Zustimmung gelingt der Login, bei einer Ablehnung entsprechend nicht.

Ein Problem hierbei ist jedoch, dass wenn Sie das bei allen Services und Webseiten nutzen, die Masse an Benachrichtigungen schnell unübersichtlich werden kann. Zudem könnte ein Automatismus angeeignet werden, was verheerende Folgen haben kann. Sollten Sie aus Versehen einer falschen Benachrichtigung zustimmen, wird der entsprechende Account gehackt. Wenn dann Ihr gesamtes Sicherheitskonzept nicht ausreichend gut genug ist, ist eine Katastrophe vorprogrammiert.

Authenticator-App

Neben der Authenticator-Apps bieten große Unternehmen die Authentifikation über die eigene App an. Google hebt das Konzept als Entwickler von Android auf die nächste Stufe und baut direkt im Betriebssystem eine Legitimationsmethode ein. Auf Wunsch können Sie einstellen, dass bei jeder Anmeldung mit Ihrem Google-Konto auf neuen Geräten zunächst eine Bestätigung über das Handy angefragt wird. Eine Anleitung hierfür finden Sie in diesem Artikel auf der Google-Support-Webseite.

Auf einer höheren Sicherheitsstufe befinden sich die Authenticator-Apps. Durch die zeitbegrenzten Zugangscodes wird die Sicherheit erhöht und für jeden Login ist ein gezielter Zugang zur App notwendig, wodurch einem automatischen Zustimmung entgegengewirkt wird. Doch auch diese Methode ist nicht ganz fehlerfrei: Phishing-Angriffe sind noch immer effektiv!

Kurzerklärung Phishing-Angriff: Als Phishing bezeichnet man eine Art des Hackens, bei der betrügerische E-Mails verschickt werden. Das Opfer soll auf einen Link in der Mail klicken und sich auf der verlinkten Webseite einloggen. Meistens bilden die Hacker eine Webseite eines weitverbreiteten Services wie PayPal nach, um so an die Accountdaten der Opfer zu kommen.

Durch ein perfides Design der Phishing-Mail und einer penibel ausgearbeiteten Webseite können relativ unauffällig Ihre Benutzerkennung, Ihr Passwort und Ihr Zahlencode abgefangen werden. Dann haben Hacker bis zum Ablaufen des Zahlencodes leichtes Spiel und können auf die Daten im Ziel-Account zugreifen.

Der größte Vorteil der Authenticator-App ist demnach, dass nicht Ihr Passwort die Sicherheit Ihres Accounts bestimmt, sondern Sie selbst der Maßstab für die Sicherheit sind. Grundsätzlich können Sie also weiterhin schwache Passwörter nutzen, wenn alle Accounts, die mit diesem schwachen Passwort gesichert sind, auch über Ihre Authenticator-App abgesichert sind.

Hardware-Schlüssel

Die als am sichersten geltende Authentifikation ist ein sogenannter Hardware-Schlüssel. Ein solcher Schlüssel sieht einem USB-Stick nicht unähnlich, hat aber eine völlig andere Funktion. Statt große Datenmengen zu speichern, nimmt der Schlüssel die namensgebende Funktion ein: Wenn der Schlüssel eingesteckt ist, schließt er den Zugriff zum entsprechenden Account auf. Man könnte den Hardware-Schlüssel auch als eine Art Schlüsselbund betrachten, da mehr als nur ein Accountzugang sich auf dem Gerät befinden können. Wichtig dabei ist, dass nicht alle Webseiten auch die Nutzung eines Schlüssels ermöglichen. Weil der Schlüssel nicht sehr häufig genutzt werden kann, empfehlen wir zunächst das Nutzen einer Authenticator-App.

Google Authenticator auf dem Smartphone einrichten

Der Google Authenticator kann in nur wenigen Schritten eingerichtet werden. Zuallererst muss natürlich die App heruntergeladen werden, was sowohl im Google Play Store als auch im Apple AppStore möglich ist. Dann sind Sie schon fast startklar! Es fehlen eigentlich nur noch die Accounts, die in die App eingetragen werden, was an sich mittels eines QR-Codes kinderleicht ist. Aufwendig wird es erst dann, wenn man herausfinden muss, welcher der genutzten Services den Google Authenticator überhaupt unterstützt. Dazu muss in den jeweiligen Accounteinstellungen nachgesehen werden. In den häufigsten Fällen befindet sich die Möglichkeit zum Einrichten der Zwei-Faktor-Authentifizierung in den Menüpunkten Sicherheit oder Login.

Wenn Sie nach der App im Google Play Store gesucht haben, können Sie die Einrichtung wie hier dargestellt machen:

Das gleiche gilt auch für die Suche im Apple App Store:

Beispielhaft zeigen wir Ihnen anhand eines PayPal-Kontos, wie Sie dort eine Zwei-Faktor-Authentifizierung einrichten können. Dafür müssen Sie sich an einem PC oder Mac bei Ihrem PayPal anmelden und anschließend auf den Reiter Sicherheit klicken. Dort können Sie dann die Zweistufige Verifizierung mittels Authentifizierungs-App einrichten.

Auf der PayPal-Webseite geht es dann mit der eigentlichen Einrichtung weiter. Dabei folgen Sie den Anweisungen auf Ihrem Bildschirm und Sie haben in Windeseile Ihre Kontosicherheit potenziert.

Was soll ich tun wenn ich meinen Authenticator verloren habe?

Wenn Sie Ihr Handy verlieren, und damit auch Ihren Authenticator, könnten ohne ausreichende Vorsorge alle Accounts unzugänglich werden, bei denen Sie diesen benutzen. Hierbei kommt es aber auch darauf an, welche Authenticator-App Sie genau nutzen. Denn nicht nur Google bietet eine App an – Google war lediglich der Vorreiter. Mittlerweile gibt es zahlreiche Anbieter, die Apps bereitstellen mit unterschiedlichen Funktionen neben der eigentlichen Authentifikation. In den meisten Fällen helfen die Apps bei der größten Schwachstelle aus, die Googles App hat: die automatische Sicherung. Zwar bietet die eine weitere Angriffsfläche um an die Codes zu kommen, allerdings sind die Server sehr gut geschützt und durch eine gute Verschlüsselungstechnik sind die Daten selbst für den Service-Anbieter unbrauchbar.

Sollten Sie die App von Google hingegen benutzen, ist Vorsicht besser als Nachsicht. Im Nachhinein ist es nur in den seltensten Fällen möglich, Ihren Account wiederzuerlangen. Als Präventivmaßnahme können Sie sich beim Großteil der Services, bei denen Authentifikations-Codes benutzt werden können, auch Einweg-Passcodes generieren lassen. Diese werden meistens als Liste ausgespielt, die Sie ausdrucken und wegschließen können. Bei Bedarf lässt sich dann ein Code benutzen, um sich einzuloggen und die Verknüpfung mit Ihrer Authenticator-App zu löschen. Auf Wunsch können Sie sich dann einen neuen QR-Code zur Registrierung bei der Authenticator-App Ihrer Wahl erstellen lassen.

Um diesen Aufwand zu vermeiden können Sie auch auf andere Apps umsteigen, die cloud-basiert funktionieren. Zwei dieser Apps stellen wir Ihnen im folgenden Kapitel vor.

Alternativen zum Google Authenticator

Im Rahmen unserer Recherche stießen wir auf zwei Apps, die besonders herausstachen. Zum einen fiel Authy als nahezu funktionsgleiche Alternative auf, welche die Einrichtungs-Codes der Authentifikation in einer Cloud speichert, sodass Sie selbst beim Verlust Ihres Gerätes weiterhin auf Ihre Accounts zugreifen können. Ein weiterer Vorteil ist eine Desktop-App, mit der Sie auch an Ihrem PC die Codes sehen, kopieren und einfügen können. Zudem ist Authy kostenlos. Verlorene Geräte können aus der Ferne den Accountzugriff entzogen bekommen, damit Ihre Accounts sicher bleiben. Die einzige Voraussetzung für die Nutzung der App ist eine Mobilfunknummer.

Zum anderen überzeugt der Passwort-Manager Bitwarden mit seiner Hauptfunktion und dem Premium-Feature einer Authenticator-Option. Und genau das ist ein Gegenargument: Den Bitwarden Authenticator gibt es nicht kostenlos dazu. Aber was genau ist Bitwarden beziehungsweise ein Passwort-Manager?

Bitwarden ist ein Unternehmen, das ein gleichnamiges Programm anbietet. Dieses Programm ist in erster Linie eine Passwortverwaltung. Eine Passwortverwaltung kann man sich vereinfacht als eine Datenbank vorstellen, in der Sie alle Accounts einspeichern, die Sie nutzen. Mittels eines sogenannten Master-Passworts kann auf die Datenbank zugegriffen werden. Das hat zur Folge, dass Sie sich nur ein starkes Passwort merken müssen, aber trotzdem für jeden Account unterschiedliche Passwörter haben. Bitwarden bietet auch einen Passwort-Generator an, mit dem man sich unmöglich zu merkende Passwörter erstellen lassen kann. Nach und nach könnten Sie all Ihre Passwörter durch sehr sichere ersetzen, was einen riesigen Vorteil bringt: Wenn einmal eine Webseite gehackt wurde und Ihr Passwort geklaut wird, können die Hacker sich nicht in Ihre anderen Konten einloggen.

Aber Moment mal, könnten Sie sich denken, wenn ich sowieso alles mit einer Authenticator-App absichere und gerade eben gesagt wurde, dass man sich nur ein leichtes Passwort merken muss, warum sollte ich das doch nicht machen? Die Antwort ist dabei ganz einfach: Nicht alle Webseiten bieten eine Authentifikation mittels App an. Wenn Sie das gleiche Passwort bei einer Webseite haben, die nicht so gut aufgestellt ist, und es dort entwendet wird, dann könnten Bestellungen in Ihrem Namen auch bei anderen Webseiten getätigt werden, bei denen Sie einen Account haben. Das lässt sich mit unterschiedlichen Passwörtern vermeiden.

Und ganz besonders wichtig werden sehr starke Passwörter bei Ihrem E-Mail-Account. Wenn das Konto einmal geknackt wird, könnten unter Umständen alle mit dieser E-Mail verbundenen Benutzerkonten geklaut werden. Indem Passwörter zurückgesetzt werden, haben Hacker oftmals ein zu leichtes Spiel bei nichtsahnenden Geschädigten. Auch hier können ein Passwort-Manager und eine Authenticator-App helfen.

Bitwarden verspricht äußerst sicher zu sein: Mehrmals im Jahr beauftragt das Unternehmen unabhängige Sicherheitsteams, die sich mit allen Mitteln versuchen, Zugang zur kritischen Infrastruktur des Unternehmens zu verschaffen. Gelungen ist das den Spitzenhackern noch nie (Quelle: restoreprivacy.com). Zusätzlich lässt sich das Programm selbst mit einer Authenticator-App absichern.

Die Kombination aus Authenticator-App und Passwortverwaltung macht Bitwarden besonders interessant. Wie eingangs jedoch erwähnt, ist hierfür ein Premium-Abonnement nötig. Dieser kostet im Jahr zehn US-Dollar. Aus den zwei Programmen Bitwarden und Authy ergeben sich zwei sinnvolle Anwendungskombinationen:

1. Authy als reine Authenticator-App und Bitwarden als reine Passwortverwaltung
2. Authy als Zugangscode-Generator für Bitwarden und Bitwarden im Premium-Abo als Passwortverwaltung und Authenticator-App

In der ersten Kombination vertraut man Authy weitaus mehr Codes an, was an sich nicht schlimm ist. Beim letzten Hackerangriff auf die Mutterfirma Twilio bekamen die Hacker zwar Zugriff auf Authy-Konten, jedoch waren nur 93 von über 75.000.000 Konten betroffen. Das entspricht 1,24 von einer Millionen Konten. Außerdem konnten die betroffenen Konten schnell ausfindig gemacht werden und von Authy informiert. Mit Authy als Authenticator-App und der kostenlosen Variante können Sie Ihre Konten sicherer machen, auch wenn das insgesamt ein wenig mehr Aufwand als bei der zweiten Kombination ist.

Die zweite Kombination sieht Authy als Zusatzschlüssel neben dem Master-Passwort für Bitwarden, was auch in der ersten Kombination gemacht werden kann. Der Clou dabei ist, dass alle Authenticator-Codes im sicheren Bitwarden-Konto hinterlegt sind. Unterm Strich bietet diese Variante mehr Komfort, weil Authy nur ein Mal zum Login bei Bitwarden gebraucht wird; den Rest erledigt Bitwarden.

Wie kann ich die Zwei-Faktor-Authentifizierung abschalten?

Eine Zwei-Faktor-Authentifizierung können Sie im Account der entsprechenden Webseite deaktivieren. Hierbei ist jedoch Vorsicht geboten: Wenn auch nur ein Mal die Webseite gehackt und Ihre Accountdaten gestohlen werden, kann das katastrophale Konsequenzen haben. Der Schaden ist vor allem dann groß, wenn der Account das gleiche Passwort wie Ihr E-Mail-Postfach hat. Deswegen raten wir nur zur Deaktivierung, wenn Sie auf eine bessere Zwei-Faktor-Authentifizierungsmethode umsteigen möchten, und zumindest dazu, ein eigenes Passwort für Ihre E-Mail-Adresse zu haben. Am besten ist es jedoch, wenn über eine Passwortverwaltung für jeden einzelnen Account ein individuelles Passwort festgelegt wird.

Wie deaktiviere ich Google reCAPTCHA?

Google reCAPTCHA ist ein anderes Prinzip als eine gewöhnliche Zwei-Faktor-Authentifizierung. Die Webseite fordert zum Schutz vor Bots eine Eingabe an, die nur von einem Menschen gemacht werden kann. Google reCAPTCHA ist also nichts anderes als eine Art Turing-Test. Um Google reCAPTCHA zu deaktivieren gibt es einige Wege, jedoch kann es dann dazu kommen, dass Webseiten Ihnen den Zugriff verweigern, solange es deaktiviert ist. Deswegen raten wir eher davon ab, aber grundsätzlich können Sie die reCAPTCHA-Anfragen über Browser-Plug-Ins oder mit Hilfe von bestimmten VPNs blockieren.

Zusammenfassung

Eine Zwei-Faktor-Authentifizierung erhöht die Sicherheit aller Accounts, bei denen sie eingerichtet ist. Zwar ist eine Authentifizierung über SMS die geläufigste Form, sie kann aber auch im Vergleich zu anderen Methoden einfacher zu knacken sein. Eine sehr gute Alternative ist eine Authenticator-App wie der Google Authenticator. Allerdings weist die App ein paar Nachteile auf, die andere ausgebessert haben. Beispielsweise kann Authy Ihnen das Leben sehr erleichtern, sollten Sie Ihr Handy mal verlieren. Durch die Cloud-Funktion haben Sie nicht nur die Möglichkeit, Ihr altes Handy vom Zugriff auszuschließen, sondern können auch über Ihren PC auf die Codes zugreifen. Besonders hilfreich ist das bei Webseiten, die eine Zwei-Faktor-Authentifizierung über die zeitbasierten Codes aus der App anbieten.

Alles in allem können Sie so hervorragend die Sicherheit Ihrer Benutzerkonten erhöhen, wenn Sie den Google Authenticator, Authy oder andere Apps als eine weitere Legitimationsstufe nutzen. Die großen Vorteile in Anbetracht der Sicherheit gleichen nicht nur die etwas längere Einloggzeit aus, sondern auch die Gefahr eines Accountdiebstahls wird in hohem Ausmaße reduziert.