Vor einiger Zeit ging ein Aufruf herum, wo immer möglich (z.B. bei Google und Facebook) die sogenannte Multi-factor authentication einzuschalten. Bei diesem Verfahren wird zur Anmeldung nicht nur das Passwort, sondern auch das eigene Mobiltelefon benötigt. Man bekommt, ähnlich wie beim Online-Banking, eine PIN zugesandt, mit der man sich anmelden kann. Alternativ kann man eine PIN mit einer speziellen Anwendung erzeugen. Besondere Aufmerksamkeit erlangte das Thema, nachdem ein Autor des Wired-Magazins Opfer eines Hacker-Angriffes wurde, durch den sein komplettes digitales Leben demontiert wurde.
Als ich mich heute (November 2012) bei Facebook anmeldete, erschien die Meldung, es habe sich gestern Abend jemand von einem unbekannten Gerät aus mit meinem Benutzerkonto angemeldet. An sich muss Facebook auch nicht alles von mir kennen, jedoch schlief ich zu dem angegebenen Zeitpunkt bereits. Nachdem ich also neue Passwörter für sämtliche meiner mehr oder weniger wichtigen Benutzerkonten eingerichtet hatte, erinnerte ich mich besagter Multi-factor authentication und war besten Willens, meine Hausaufgaben in puncto Sicherheit zu machen. Verschiedene Anleitungen dafür fand ich schnell bei der Suchmaschine meines Vertrauens und ebenso schnell war auch der Google Authenticator für Android installiert. Doch damit begann auch schon der Ärger.
Meine erste Station war Dropbox. In den Einstellungen unter Sicherheit ist der Punkt Zweistufige Überprüfung schnell gefunden und das Verfahren problemlos eingerichtet.
Als nächstes folgte Google. Bei dem Herausgeber des Authenticators sollte die Einrichtung ein Leichtes sein, aber die freundliche Schritt-für-Schritt Anleitung entpuppte sich als Spielverderber. Sie bestand darauf, an Ort und Stelle die App zu installieren und mir dafür diverse SMS zu schicken. In Ermangelung eines “Hab’ ich schon”-Knopfes musste ich wohl oder übel auf meinem Telefon dem empfangenen Link in die nicht mobile-friendly Version des Google-Play-Store folgen, mich für die Installation anmelden, um dann zu erfahren, dass diese Anwendung doch bereits installiert sei. Immerhin sah das die Schritt-für-Schritt Anleitung dann auch ein und nach zwei mal Ab- und Anmelden kam sie schließlich zu einem befriedigenden Ergebnis.
Anders bei Facebook. Erst einmal muss man in den Kontoeinstellungen unter Sicherheit den Punkt “Anmeldebestätigungen” als Multi-factor authentication erkennen. Ein Klick ins Kästchen und… es geht nicht. Weil mein Browser auf privates Surfen eingestellt ist und Cookies und andere Datenkrümel beim Schließen stets vernascht, kann ich die Einrichtung leider nicht beginnen. Ich solle dieses “Problem” beheben und es in ein paar Tagen erneut versuchen. Kein fairer Deal, wie ich finde: Erhöhte Sicherheit nur im Tausch gegen noch mehr Daten, die Facebook mithilfe der Cookies sammeln kann.
Ein Vierteljahr später starte ich dennoch den nächsten Anlauf. Ich gelobe, alle Kekse aufzubewahren und tatsächlich lässt sich die Anmeldebestätigung aktivieren. Als nächstes soll ich den Code-Generator in der Facebook-App aktivieren und dafür eine 16 Zeichen lange Zeichenfolge abtippen. Die Freude über die Bestätigung weicht schnell der Ernüchterung: das Kästchen für Anmeldebestätigungen ist wieder deaktiviert. Nach mehreren vergeblichen Versuchen gebe ich auf.
Falls jemand eine Idee hat, was ich falsch gemacht haben könnte und mir erklären kann, wie ich die Anmeldebestätigungen auch bei Facebook zum Laufen bekomme, freue ich mich über einen Kommentar! Auch wenn jemand ähnliche Erfahrungen gemacht hat oder sich sonst zu dem Thema äußern möchte.
Interessante Artikel zum Thema Sicherheit im Netz: