Zwei-Faktor-Authentifizierung: Einführen ohne Murren

Lena

Bei uns heißt es seit zwei Jahren, der zweite Faktor kommt bald. Und jedes Mal kippt es, weil alle stöhnen.

Jonas

Genau darum geht es heute: Zwei-Faktor-Authentifizierung einführen, ohne Murren und ohne dass am Montag die halbe Firma ausgesperrt ist.

Jonas

Gemeint ist eine zweite Bestätigung neben dem Kennwort. Meist ist das eine App auf dem Telefon, manchmal ein kleiner Schlüssel für den Schlüsselbund.

Lena

Lohnt sich der Ärger überhaupt? Unsere Kennwörter sind lang genug.

Jonas

Ein langes Kennwort hilft nicht, wenn es gestohlen wird. Eine Studie von Microsoft aus zweitausenddreiundzwanzig zeigt: Mit zweitem Faktor sinkt das Risiko einer Kontoübernahme um gut neunundneunzig Prozent.

Jonas

Und selbst bei Konten, deren Kennwort schon in fremde Hände geraten war, lag der Wert noch bei über achtundneunzig Prozent.

Lena

Und wer verlangt das von mir? Oder ist das nur eine Empfehlung?

Jonas

Microsoft verlangt den zweiten Faktor schon für die eigenen Verwaltungsportale, schrittweise seit Oktober zweitausendvierundzwanzig. Beim Verwaltungsportal von Microsoft 365 folgte das ab Februar zweitausendfünfundzwanzig, und abwählen lässt es sich nicht.

Lena

Das betrifft dann ja nur die IT. Und der Rest der Firma?

Jonas

Für alle Konten rät das Bundesamt für Sicherheit in der Informationstechnik: zweiter Faktor überall, wo er angeboten wird. Und abschalten soll man ihn nie wieder.

Lena

Und was nehme ich aus dieser Folge mit?

Jonas

Drei typische Fälle: der Stichtag per Rundmail, die Ausnahmen für Chef und Sammelkonto und die Bestätigung, die keiner angefordert hat. Am Ende stehen drei Schritte für Ihren Einführungsplan.

Lena

Fangen wir mit dem an, was ich am liebsten machen würde. Freitag eine Rundmail, ab Montag gilt der zweite Faktor für alle.

Jonas

Ein typischer Fall: Eine Firma mit fünfzig Leuten schaltet an einem Freitag die Sicherheits-Grundeinstellungen von Microsoft ein. Die sind kostenlos, aber nur ganz an oder ganz aus.

Jonas

Eine Schonfrist gibt es dabei seit Juli zweitausendvierundzwanzig nicht mehr. Wer sich am Montag anmeldet, muss die App sofort einrichten.

Lena

Und was passiert dann am Montag?

Jonas

Fünfzig Leute richten gleichzeitig eine App ein, und bei der IT steht das Telefon nicht still. Wer sein Handy zu Hause hat oder keins für die Firma nutzen will, kommt nicht an seine Mails.

Lena

Also lieber gar nicht? Das kann es ja auch nicht sein.

Jonas

Doch, nur in der richtigen Reihenfolge: erst einsammeln, dann einschalten. Microsoft stellt sogar fertige Vorlagen bereit, mit denen Sie die Umstellung vorher ankündigen.

Lena

Was heißt einsammeln? Ich gehe ja nicht mit einer Liste durchs Büro.

Jonas

Jeder richtet die App vorher selbst ein, auf einer Seite von Microsoft unter Sicherheitsinformationen. Mit Business Premium, einer größeren Microsoft-365-Lizenz, sieht die IT in einem Bericht, wer schon fertig ist und wer nicht.

Lena

Und wer fängt an? Die IT?

Jonas

Die Geschäftsführung. Wer die meisten Rechte hat, braucht den besten Schutz, und es nimmt dem Murren im Haus den Wind aus den Segeln.

Lena

Und danach alle auf einmal?

Jonas

Besser Gruppe für Gruppe. Dafür gibt es Zugriffsregeln, die erst einmal nur beobachten: Sie protokollieren, wen sie getroffen hätten, sperren aber niemanden.

Jonas

Microsoft zeigt die Wirkung wahlweise für einen Tag, eine Woche oder einen Monat. Erst wenn dort niemand mehr hängen bleibt, wird die Regel scharf geschaltet.

Lena

Klingt nach Lizenzkosten. Was brauche ich dafür?

Jonas

Zugriffsregeln brauchen eine größere Microsoft-Lizenz. In Business Premium sind sie enthalten.

Lena

Und ohne Business Premium?

Jonas

Dafür hat Microsoft die kostenlosen Grundeinstellungen vorgesehen. Die schützen auch, nur eben alle auf einmal und ohne Probelauf.

Lena

Meine Leute fragen als Erstes: Muss ich das jetzt bei jeder Anmeldung machen?

Jonas

Nein, und das ist die wichtigste Botschaft gegen das Murren. In Office-Programmen fragt Microsoft ab Werk in der Regel erst wieder nach neunzig Tagen ohne Nutzung oder nach einem neuen Kennwort.

Lena

Wäre öfter fragen nicht sicherer?

Jonas

Davor warnt Microsoft ausdrücklich. Wer ständig gefragt wird, gibt seine Anmeldedaten irgendwann ohne Nachdenken ein, auch auf einer gefälschten Seite.

Lena

Und wenn sich bei der Umstellung die IT selbst aussperrt? Wer kommt dann noch rein?

Jonas

Dafür empfiehlt Microsoft mindestens zwei Notfallkonten, die keiner einzelnen Person gehören. Sie werden mit einem Sicherheitsschlüssel geschützt und an getrennten, sicheren Orten verwahrt.

Lena

Warum ein Schlüssel? Die App hätte doch auch gereicht.

Jonas

Weil auch Notfallkonten seit Microsofts Pflicht für die Verwaltungsportale einen zweiten Faktor brauchen. Und der soll nicht am Handy eines einzelnen Mitarbeiters hängen.

Lena

Das klingt nach einem Generalschlüssel für die ganze Firma. Wer darf da ran?

Jonas

Das legt die Geschäftsführung schriftlich fest. Und mindestens alle neunzig Tage wird geprüft, ob die Notfallkonten noch funktionieren.

Lena

Zweiter Fall: die Ausnahmen. Bei uns hieß es sofort, der Chef braucht das nicht, das Lager hat keine Diensthandys, und ans Info-Postfach müssen drei Leute.

Jonas

Jede Ausnahme ist eine offene Tür, und Angreifer suchen genau diese eine. Fangen wir beim Chef an, denn der hat meist die weitesten Rechte.

Lena

Er sagt, er hat für so etwas keine Zeit.

Jonas

Der IT-Grundschutz des Bundesamts sagt: Konten mit weitreichenden Rechten sollen mit mehreren Faktoren geschützt werden. Microsoft fragt Verwaltungskonten in den Grundeinstellungen sogar bei jeder Anmeldung.

Lena

Und das Lager? Ich kann doch nicht verlangen, dass jemand sein privates Handy dafür hergibt.

Jonas

Ob Sie das verlangen dürfen, klären Sie mit Personal und, falls vorhanden, dem Betriebsrat. Oft hilft es, vorher zu erklären, was die App überhaupt sieht.

Lena

Und was sieht sie?

Jonas

Laut Microsoft schickt die App von sich aus nur wenige Nutzungsdaten ohne Personenbezug. Den Standort fragt sie nur ab, wenn die Firma das eigens einstellt, und gemeldet wird ihr dann nur das Land.

Lena

Und wer trotzdem nicht will?

Jonas

Der bekommt einen Sicherheitsschlüssel, ein kleines Gerät für den Schlüsselbund. Bei einem großen Hersteller kostet so ein Schlüssel rund fünfunddreißig Euro.

Lena

Bei fünfzig Leuten wären das aber gut siebzehnhundert Euro.

Jonas

Für alle braucht es ihn nicht, die meisten nehmen die App. Den Schlüssel bekommen die, die nicht wollen oder kein Handy haben, und die Notfallkonten.

Lena

Hat der Schlüssel einen Haken?

Jonas

Die IT muss ihn eigens freischalten, mit den kostenlosen Grundeinstellungen geht nur die App. Dafür gilt er als besonders sicher gegen gefälschte Anmeldeseiten.

Lena

Und eine SMS? Ein Handy hat doch fast jeder, notfalls ein altes.

Jonas

Geht, ist aber die schwächste Wahl. Microsoft baut sogar eigene Erinnerungen, die Nutzer von SMS und Anruf zu sichereren Verfahren bringen sollen.

Lena

Warum schwächer? Die SMS kommt doch auf mein eigenes Handy.

Jonas

Auf die Rufnummer, nicht aufs Handy. Die amerikanische Cyberbehörde beschreibt Angreifer, die sich beim Mobilfunkanbieter die Nummer ihres Opfers auf eine eigene SIM-Karte übertragen ließen.

Lena

Bleibt das Info-Postfach. Da melden sich drei Leute mit demselben Kennwort an.

Jonas

Das ist die gefährlichste Ausnahme, denn ein zweiter Faktor gehört zu einer Person, nicht zu dreien. Microsoft sieht dafür ein freigegebenes Postfach vor, das jeder mit seinem eigenen Konto öffnet.

Lena

Und was kostet mich das?

Jonas

Bis fünfzig Gigabyte braucht so ein Postfach keine eigene Lizenz. Die direkte Anmeldung am Postfach selbst soll laut Microsoft immer gesperrt bleiben.

Lena

Und unser Scanner, der Mails verschickt? Der kann ja keine App bedienen.

Jonas

Der meldet sich oft noch auf dem alten Weg an, nur mit Name und Kennwort. Solche alten Anmeldewege kennen keinen zweiten Faktor, deshalb sperren Microsofts Grundeinstellungen sie.

Lena

Dann kommt am Montag kein Scan mehr an.

Jonas

Genau deshalb gehört er vor dem Stichtag auf die Liste. Microsoft beschreibt für Scanner eigene Wege, die ganz ohne Personenkonto auskommen.

Lena

Dritter Fall: Abends fragt das Handy einer Mitarbeiterin, ob sie eine Anmeldung bestätigt. Sie hat sich aber gar nicht angemeldet.

Jonas

Dann kennt jemand ihr Kennwort, und der zweite Faktor hat gerade genau seine Arbeit getan. Gefährlich wird es erst, wenn sie bestätigt.

Lena

Warum sollte sie etwas bestätigen, das sie nicht ausgelöst hat?

Jonas

Weil die Anfragen immer wieder kommen. Die amerikanische Cyberbehörde beschreibt eine Gruppe, die so lange Anfragen schickte, bis Mitarbeitende auf Annehmen drückten.

Lena

Lässt sich das technisch verhindern?

Jonas

Weitgehend. In Microsofts App muss man inzwischen eine Zahl eintippen, die auf dem Anmeldebildschirm steht, und die sieht nur, wer sich selbst anmeldet.

Lena

Und wenn jemand noch eine alte Version der App hat?

Jonas

Dann klappt die Anmeldung gar nicht mehr, denn abschalten lässt sich dieser Zahlenabgleich nicht. Die App gehört also zu den Programmen, die immer aktuell gehalten werden.

Lena

Und was macht die Mitarbeiterin jetzt konkret? Einfach ablehnen und schlafen gehen?

Jonas

Ablehnen und sofort melden, auch spätabends. Dann wird das Kennwort geändert, denn das kennt ja offensichtlich jemand.

Lena

Reicht das? Vielleicht ist der Angreifer schon drin.

Jonas

Ein neues Kennwort beendet laut Microsoft auch laufende Anmeldungen. Ob vorher schon jemand drin war, prüft die IT in den Anmeldeprotokollen.

Lena

Und wenn der Angreifer andersherum kommt? Er ruft beim Support an und sagt, er hat ein neues Handy.

Jonas

Genau so ging eine Gruppe vor, die Microsoft zweitausenddreiundzwanzig beschrieben hat. Sie gab sich am Telefon als Mitarbeiter aus, teils sogar als neue, und ließ Kennwort und zweiten Faktor zurücksetzen.

Lena

Woran soll mein Support das denn merken? Die Stimme kennt er vielleicht gar nicht.

Jonas

An einer festen Regel statt am Bauchgefühl. Zurückgesetzt wird nur nach Rückruf über die hinterlegte Nummer oder nach Bestätigung durch die Führungskraft.

Lena

Ist das nicht übervorsichtig? Der Kollege steht ja vielleicht wirklich ohne Zugang da.

Jonas

Der IT-Grundschutz sieht für das Zurücksetzen von Kennwörtern ein festgelegtes, sicheres Verfahren und geschulte Leute vor. Und die britische Cyberbehörde rät nach Angriffen auf Händler, zu prüfen, wie der Support Anrufer erkennt, bevor er zurücksetzt.

Lena

Und wie kommt der echte Mitarbeiter mit neuem Handy wieder rein?

Jonas

Der Support gibt ihm einen befristeten Zugangscode, ab Werk eine Stunde gültig. Damit richtet er die App neu ein, und das alte Handy wird aus dem Konto entfernt.

Lena

Und der Code geht dann einfach per Mail raus?

Jonas

Nein, auch den Code gibt es erst nach der Rückrufregel, persönlich oder am Telefon über die hinterlegte Nummer. Sonst hält der Angreifer gleich den neuen Zugang in der Hand.

Lena

Kann man sich den Anruf nicht ganz sparen? Handys werden ja ständig getauscht.

Jonas

Nur bei denen, die neben der App einen Schlüssel haben: Die richten das neue Handy selbst unter Sicherheitsinformationen ein. Für alle anderen bleibt der Rückruf, und den Schlüssel als Reserve bekommen vor allem die, die oft das Handy wechseln.

Lena

Dann bitte zum Schluss: Welche drei Schritte schreibe ich in meinen Plan?

Jonas

Erstens: erst einsammeln, dann einschalten. Ankündigen, die App vorher einrichten lassen, Geschäftsführung zuerst, Regeln erst beobachten lassen und zwei Notfallkonten anlegen.

Jonas

Zweitens: keine Ausnahmen für Personen. Wer keine App will, bekommt einen Schlüssel, Sammelkonten werden freigegebene Postfächer, und alte Anmeldewege werden vorher umgestellt.

Jonas

Drittens: Eine Anfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und gemeldet. Und der Support setzt den zweiten Faktor nur nach Rückruf über die hinterlegte Nummer zurück.

Lena

Und wenn ich das nicht selbst steuern will?

Jonas

Dann achten Sie darauf, dass Regeln erst beobachten und dann greifen, damit niemand ausgesperrt wird. Genau so arbeitet kjello: Mit Business Premium wird der zweite Faktor je Person erst eingeschaltet, wenn die App eingerichtet ist.