Der Schritt, den alle gehen sollten, und warum sie es lassen

Zwei Faktor Anmeldung einzuschalten ist das Wirksamste, was ein gewoehnlicher Mensch fuer die Sicherheit seiner Konten tun kann, und der Grund, es nicht zu tun, ist selten Faulheit. Es ist die Angst, dass der zweite Faktor zum Aussperrer wird. Ein Codeerzeuger, der nur auf einem Geraet lebt, macht dieses Geraet zu einem einzelnen Fehlerpunkt: verlieren, zerstören, ersetzen, und ein Dutzend Konten werden unerreichbar in genau dem Moment, in dem man sie braucht, weil der Rettungsweg durch das Konto fuehrt, das man nicht oeffnen kann.

Der Beitrag von Authy war, diese Angst ernst zu nehmen. Kennungen werden verschluesselt abgelegt, sodass ein neues Geraet nach einer Identitaetspruefung den ganzen Satz zurueckholt statt einer Anfrage je Dienst. Damals war das ein wirklich neuer Gedanke, und er ist noch immer der Grund, warum Leute es installieren. Ein zweiter Faktor soll ein Konto schwerer zu stehlen machen, nicht schwerer zu besitzen.

Was es gut kann und was sich geaendert hat

Der Alltag ist geradlinig. Den angezeigten Code eines Dienstes abtasten, die Kennung erscheint in der Liste, und die Anmeldung besteht aus sechs Ziffern, die man vor dem Ablauf eintippt. Die Liste ist durchsuchbar und sortierbar, Konten lassen sich gruppieren, und ein Schloss an jedem Eintrag verlangt einen Fingerabdruck oder eine Nummer, bevor ein Code erscheint, was das offensichtliche Loch schliesst, dass jeder mit einem entsperrten Geraet mitlesen koennte. Sicherungspasswoerter und Wiederherstellung ueber die Nummer gibt es fuer den Fall, dass das Geraet einfach weg ist.

Die Landschaft darum ist kleiner geworden, und das gehoert klar gesagt. Die Fassung fuer den Schreibtisch wird nicht mehr unterstuetzt, und die Schnittstelle fuer Entwickler ist fuer neue Kunden geschlossen. Wer es bereits nutzt, behaelt eine funktionierende Anwendung, die verschluesselte Sicherung und den Abgleich ueber mehrere Geraete, und der Ablauf ist unveraendert. Wer heute waehlt, hat in den gaengigen Anwendungen lauter vernuenftige Optionen, und diese ist nicht mehr die einzige mit einer Sicherungsgeschichte.

Die Geschichte hinterlaesst eine Merkregel: bevor man die Kontosicherheit einer Anwendung anvertraut, ihre Lebenskraft ansehen. Werkzeuge haben eine Spanne, Gewohnheiten muessen laenger halten.

Der Teil, der mehr zaehlt als die Anwendung

Welchen Erzeuger man auch waehlt, die Wiederherstellungscodes der Dienste sind das eigentliche Netz, und genau sie werden ignoriert. Auf Papier schreiben, offline halten und nicht auf dem Geraet mit dem Erzeuger lagern. Ein bedrucktes Blatt in einer Schublade ist unschoen und ueberlebt ein gestohlenes Geraet, einen gesprungenen Bildschirm und ein vergessenes Passwort auf eine Weise, wie es ein Bild in der Fotosammlung nicht tut.

Zwei weitere Regeln. Fuer die wichtigsten Konten mindestens zwei Wege binden, damit der Verlust eines Geraets nicht der Verlust des Kontos ist. Und beim Wechsel zuerst auf dem neuen Geraet die Uebertragung abschliessen und pruefen, dann das alte loeschen; die zehn Minuten Ueberschneidung sind der Unterschied zwischen einem Routinetausch und einer Woche Formulare.

Wo es nicht die richtige Antwort ist

Wenn die Anforderung hardwaregestuetzt ist, ist ein physischer Schluessel staerker: er laesst sich nicht von Schadsoftware kopieren, die einen Bildschirm liest, und er ist die richtige Wahl fuer jeden, bei dem ein Kontoverlust ein Geschaeftsereignis waere. Wenn die Anforderung ein voellig offline arbeitender Erzeuger ohne Wolke ist, gibt es mehrere offene und gepruefte Optionen, zum Preis, die Sicherung selbst zu machen.

Und wenn die Anforderung nur lautet, alles an einem Ort zu haben, dann daran denken, dass diese Kategorie sich schon einmal konsolidiert hat und es wieder tun wird. Der dauerhafte Teil der Strategie ist nicht die Anwendung, sondern die Gewohnheit, Codes aufzuschreiben, einen zweiten Weg offen zu halten und zu wissen, wo die Sicherungen liegen. Anwendungen wechseln; wer den Rettungsweg kennt, muss nicht von vorn anfangen, wenn sie es tun.