E-Mail, Zahlung und soziale Konten mit zweiter Bestätigung absichern; am besten per Bestätigung auf dem Handy, erst danach per SMS-Code

Höchster Nutzen
Evidenz A
Geld
Kostenlos
Ein paar Minuten
Ohne Willenskraft

Kurz gesagt

Bei der Zwei-Faktor-Bestätigung bestätigen Sie beim Anmelden zusätzlich zum Passwort noch einmal, dass Sie es wirklich selbst sind. Ein Fenster auf dem Handy, das Sie antippen, stoppt über 90 % der Kontoübernahmen per Phishing. Die älteren Methoden, bei denen man Fragen wie «Wo haben Sie sich zuletzt angemeldet?» oder «Wie lautet Ihre Ersatz-E-Mail?» beantworten muss, stoppen nur etwa 10 %.

Kosten: Kostet nichts. Pro Konto einmal einrichten, in zwei bis drei Minuten erledigt.
Was es bringt: Google hat 350.000 (35万) echte Versuche ausgewertet, fremde Konten zu übernehmen (auch Kontoübernahme genannt). Eine Art der Prüfung stützt sich auf ein Gerät, etwa ein Fenster auf dem Handy, das Sie zur Bestätigung antippen, oder einen eingesteckten Sicherheitsschlüssel. Diese Art stoppte «mehr als 94 % der Übernahmeversuche, die mit Phishing begannen, und 100 % der automatisierten Übernahmeversuche». Phishing heißt: Man bringt Sie auf einer gefälschten Website dazu, Ihr Passwort einzutippen. Automatisiert heißt: Eine Maschine probiert in großer Zahl gestohlene Passwörter aus. Die andere Art prüft mit Fragen, etwa wo Sie sich zuletzt angemeldet haben oder wie Ihre Ersatz-E-Mail lautet. Diese Art stoppte je nach Fall nur 10 % der Phishing-Übernahmen und 73 % der automatisierten.
Hinweise: Dieselbe Studie zeigt auch, dass diese Art der Prüfung manchmal den echten Besitzer aussperrt: 52 % der echten Nutzer kamen beim ersten Versuch nicht hinein, am Ende schafften es aber 97 %. Schalten Sie die Bestätigung zuerst bei der E-Mail ein, denn über die E-Mail lassen sich die meisten anderen Konten wiederherstellen. Bestätigungscodes verwenden Sie nur selbst. Was Sie sich einhandeln, wenn Sie anderen Codes vorlesen oder Ihr Gesicht scannen lassen, steht unter §8.45 (Bestätigungscodes vorlesen).
Evidenzgrad: A : Konkrete Zahlen aus Metaanalysen, großen Kohorten oder randomisierten Studien; bei Recht und Politik der Gesetzes- oder Originaltext.
Quellen: Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481

Erwähnt in

Bei Kartenmissbrauch zuerst sperren und einfrieren lassen, dann die Polizei rufen und dann von der Bank Ersatz verlangen; dass Sie die Karte selbst benutzt haben, muss die Bank beweisen

Aus dem chinesischen Original übersetzt. Originalbuch, Abschnitt 14, Tipp 1. Inhalte können veraltet sein, und Regeln unterscheiden sich je nach Ort. Wenn Sie tatsächlich zu einer Behörde, zum Arzt oder vor Gericht gehen, gilt, was Behörde, Ärztin oder Anwalt sagen. Haftungsausschluss