Die Forderung nach 2FA

Behaup­tung: die meis­ten oder zumin­des­tens lau­tes­ten von denen, die nun 2FA ein­for­dern, haben 2FA nicht verstanden.

Wie kommt der zwei­te Fak­tor zustan­de? SMS ist bäh, TOTP steht und fällt damit, daß das gemein­sa­me Geheim­nis auch wirk­lich geheim bleibt. Da muß man dem Her­stel­ler der App trau­en, dem Her­stel­ler des Betriebs­sys­tems sowieso.

Doch viel wich­ti­ger: Mit 2FA kann man nur inter­ak­ti­ve Log­ins schüt­zen. Bei­spiel: Ich habe einen Web­mailer, der 2FA unter­stützt. Der Nut­zer ist der­sel­be, der sich mit sub­mis­si­on und IMAPS anmel­det, sel­ber Nut­zer­na­me, sel­bes Paß­wort und eben kein zwei­ter Fak­tor. Das heißt, es gibt meh­re­re Türen zum Zim­mer “Mail­box”, von denen nur eine Tür (Web­mailer) noch mal mit einem zwei­ten Schloß gesi­chert ist.

Anders zum Bei­spiel mein Next­Cloud: Da gibts auch 2FA, und es wird auch auto­ma­ti­siert zuge­grif­fen (z.B. der Desk­top-Cli­ent, Kalen­der, Adreß­buch…) Dafür gibts dann App-Paß­wör­ter. Das heißt, daß der Nut­zer­na­me über­all der­sel­be ist, der Kalen­der aber ein ande­res Paß­wort als das Adreß­buch hat usw. Dabei wer­den die Paß­wör­ter von Next­cloud sel­ber gene­riert und sehen ziem­lich stark aus — mer­ken kann man sich die defi­ni­tiv nicht.
Goog­le macht das genauso.

2FA heißt eben nicht, daß damit auto­ma­tisch mehr Sicher­heit gewon­nen wird, es kommt schon dar­auf an, wie 2FA imple­men­tiert ist.
Immer­hin scha­det es nichts, 2FA anzuschalten.