Zugang absichern: was wirklich hilft

Die Kette, an der alles hängt

Vier Glieder bilden die Kette. Am Anfang steht das Postfach, dessen Adresse im Konto hinterlegt ist. Dann folgt das Kennwort. Dann, falls eingeschaltet, ein zweiter Nachweis. Am Ende steht der Weg zur Wiederherstellung, also das Verfahren für den Fall, dass eines der vorherigen Glieder ausfällt.

Entscheidend ist die Reihenfolge, denn sie läuft von hinten nach vorn: Wer Zugriff auf das Postfach hat, kann in der Regel ein neues Kennwort setzen und damit alles überspringen, was danach kommt. Ein dreißigstelliges Kennwort schützt deshalb nichts, wenn das zugehörige Postfach mit demselben alten Geheimnis geschützt ist wie ein Dutzend anderer Dienste.

Daraus folgt die Rangfolge der Arbeit. Erst das Postfach, dann das Spielkonto, dann die Bequemlichkeiten. Umgekehrt vorzugehen fühlt sich produktiv an und lässt die Tür offen, durch die jemand tatsächlich hereinkommt.

• Postfach: der eigentliche Hauptschlüssel, oft am schwächsten geschützt
• Kennwort: wirkt nur, solange es nirgends sonst verwendet wird
• Zweiter Nachweis: hält auch dann, wenn das Kennwort abgeflossen ist
• Wiederherstellung: entscheidet, wer nach einem Verlust wieder hineinkommt

Das Postfach kommt zuerst

Beim Postfach lohnt eine halbe Stunde mehr als jede andere Maßnahme. Gebraucht werden drei Dinge: ein Geheimnis, das für keinen weiteren Dienst gilt, ein zweiter Nachweis, und eine Durchsicht der Weiterleitungen und Filter. Der dritte Punkt wird fast immer vergessen, obwohl er der heimtückische ist: Eine eingerichtete Weiterleitung kopiert ab sofort jede Nachricht mit, ohne dass im Postfach etwas auffällt.

Ebenso gehört die Liste der Geräte und Sitzungen durchgesehen, die moderne Postfächer führen. Unbekannte Einträge werden beendet, und danach wird das Geheimnis gewechselt, nicht davor. Zuletzt werden die Angaben zur Wiederherstellung geprüft: Eine veraltete Zweitadresse oder eine abgemeldete Rufnummer ist eine offene Tür, die jahrelang unbemerkt bleibt.

Erst wenn das Postfach steht, hat eine Arbeit am Spielkonto überhaupt Wirkung. Diese Abhängigkeit ist der Grund, warum hier nicht mit dem naheliegenden Thema begonnen wird.

1. Für das Postfach ein Geheimnis setzen, das nirgends sonst in Gebrauch ist
2. Zweiten Nachweis für das Postfach einschalten
3. Weiterleitungen, Filter und freigegebene Zugriffe durchsehen
4. Unbekannte Sitzungen beenden und erst danach das Geheimnis wechseln
5. Angaben zur Wiederherstellung auf den aktuellen Stand bringen

Ein Geheimnis je Dienst, aufbewahrt statt gemerkt

Der häufigste Weg in ein Spielkonto führt nicht über einen Angriff auf dieses Konto, sondern über eine Liste aus einem ganz anderen Einbruch. Irgendwo wurde eine Datenbank kopiert, darin standen Adresse und Geheimnis, und beides wird anschließend reihenweise bei anderen Diensten ausprobiert. Diese Methode kostet nichts und funktioniert, solange Menschen dasselbe Geheimnis mehrfach verwenden.

Länge und Sonderzeichen sind dabei zweitrangig. Was zählt, ist Einmaligkeit. Da sich niemand dreißig verschiedene Zeichenfolgen merkt, gehört die Aufbewahrung in ein Programm mit eigenem Schloss; die Merkfunktion des Browsers ist dafür die schlechtere Wahl, weil sie mit der Sitzung des Rechners offen steht. Eine ausgedruckte Liste im Schreibtisch ist übrigens besser als Mehrfachverwendung, auch wenn das unmodern klingt.

Ein Nebeneffekt wird unterschätzt: Mit einer Verwaltung fällt das Wechseln leicht. Wer ein Geheimnis in zehn Sekunden tauschen kann, tut es nach einem Verdacht sofort, statt es aufzuschieben.

Zweite Nachweise im Vergleich

Nicht jeder zweite Nachweis trägt gleich weit. Die Unterschiede liegen weniger in der Technik als in der Frage, woran das Verfahren hängt und was passiert, wenn dieses Etwas verloren geht. Die Aufstellung ordnet die verbreiteten Verfahren danach ein.

Praktischer Rat aus der Tabelle: Wo eine Anwendung mit Zeitcodes angeboten wird, ist sie der Kurznachricht vorzuziehen, und die Wiederherstellungscodes gehören beim Einrichten sofort an einen Ort außerhalb des Telefons. Wer diesen Schritt überspringt, hat sich selbst ausgeschlossen, sobald das Gerät verloren geht.

Angriffe, die mit einem freundlichen Gespräch beginnen

Technik wird seltener überwunden als Geduld. Der verbreitete Weg ist ein Anruf oder eine Nachricht von jemandem, der sich als Mitarbeiter ausgibt: Es gebe eine Rückfrage zu einer Auszahlung, eine Prüfung stehe an, ein Vorteil verfalle in zwei Stunden. Gefragt wird dann nach einem Code, nach einem Geheimnis oder nach einer Bildschirmfreigabe.

Die Regel dagegen ist kurz und gilt ohne Ausnahme: Kein Haus braucht das Kennwort seiner Kunden, und kein Haus braucht einen Code aus einer Kurznachricht. Wer danach fragt, ist nicht das Haus. Eine echte Nachforderung ist außerdem immer auch im Konto hinterlegt, und dieser Weg ist der einzige, den man selbst überprüfen kann.

Der zweite Marker ist der Zeitdruck. Fristen von Minuten sollen verhindern, dass jemand nachdenkt oder nachfragt. Eine ruhige Antwort darauf lautet, das Gespräch zu beenden und selbst den im Fuß genannten Weg zu wählen. Dabei geht nichts verloren, was von Wert war.

Wenn der Verdacht schon da ist

Bei einem Verdacht zählt die Reihenfolge, weil manche Schritte die Wirkung der anderen zerstören. Zuerst das Postfach, denn von dort wird alles andere zurückgesetzt. Dann das Spielkonto. Dann die Zahlungsmittel. Erst danach die Meldung an den Dienst, und zwar schriftlich mit Zeitangaben.

Wichtig ist, offene Sitzungen zu beenden, nachdem die Geheimnisse gewechselt sind. In der umgekehrten Folge bleibt eine fremde Sitzung aktiv und sieht beim Zusehen zu, wie die neuen Angaben entstehen. Ebenso gehört ein Blick in die Kontoangaben: Eine still geänderte Bankverbindung oder eine neue Zweitadresse ist der deutlichste Beweis dafür, dass jemand da war.

Zum Schluss der Kontoauszug. Kleine Beträge sind typisch, weil sie seltener auffallen als große. Wer etwas findet, wendet sich an das Zahlungsinstitut, und dort gelten eigene Fristen für Rückbuchungen, die man nicht verstreichen lässt.

1. Geheimnis des Postfachs wechseln und zweiten Nachweis einschalten
2. Geheimnis des Spielkontos wechseln, danach alle Sitzungen beenden
3. Kontoangaben, Zahlungsmittel und Zweitadressen auf Änderungen prüfen
4. Dem Dienst schriftlich melden, mit Uhrzeiten und Aufnahmen
5. Zahlungsinstitut einschalten, wenn ein unbekannter Betrag aufgetaucht ist

Sicherheit umfasst auch die eigenen Grenzen

Ein Konto gilt dann als abgesichert, wenn es nicht nur vor Fremden, sondern auch vor der eigenen Eile geschützt ist. Dazu gehören die Grenze für Einzahlungen, die Spielpause und der Verzicht auf gespeicherte Zahlungsdaten. Die Senkung einer Grenze greift unmittelbar, die Anhebung erst nach einer vorgeschriebenen Frist, und diese Ungleichheit ist der nützlichste Teil der ganzen Konstruktion.

Ein zweiter, selten genutzter Hebel ist das Recht, Auskunft über die eigenen gespeicherten Daten zu verlangen. Die Antwort zeigt, welche Angaben geführt werden, und sie ist zugleich eine Probe darauf, ob ein Haus Anfragen überhaupt bearbeitet. Wer dieses Recht einmal in Anspruch nimmt, lernt über die Organisation mehr als aus zwanzig Erfahrungsberichten.

Bleibt das Spielen selbst das Problem, sind Kennwörter das falsche Werkzeug. Dann wirken die Spielpause und die bundesweite Sperrdatei OASIS, deren Eintrag alle hier erlaubten Angebote gleichzeitig verschließt. Beides ist eine Verwaltungshandlung und kein Geständnis, und für Gespräche darüber steht die kostenfreie Telefonberatung der BZgA bereit.