99 % speichern ihre Passwörter falsch - und ausgerechnet die Vorsichtigen trifft es am härtesten

IT-Sicherheit ist für mich über die Jahre zu einer kleinen Leidenschaft geworden. Nicht wegen Hollywood-Hackern im Kapuzenpulli, sondern wegen eines Gedankens, der mich nicht loslässt: Man kann sich nie zu 100 % sicher sein, frei von Schadcode zu sein. Es trifft immer mehr Menschen - und immer häufiger, dass Anmeldedaten gestohlen werden. Vom Datenleck in der Infrastruktur einer Webseite bis hin zu Bugs in kleinen Add-ons, die Schadcode bis auf dein Endgerät schleusen - die Wege sind vielfältig.

Es gibt natürlich die Leute, die überall dasselbe Passwort benutzen oder alles brav im Browser speichern, wo es jederzeit im Klartext einsehbar ist. Dass das keine gute Idee und sehr anfällig für ein Datenleck ist, muss ich vermutlich niemandem erklären.

Mir geht es um die anderen. Um die, die es eigentlich richtig machen wollen. Die sich extra einen guten Passwortmanager zugelegt haben - oft sogar einen bezahlten - und dort gewissenhaft alles ablegen: Passwörter, die zeitbasierten Einmal-Codes, neuerdings auch Passkeys. Diese Menschen fühlen sich sicher. Und ich verstehe das gut, denn ich war selbst lange genau so unterwegs. Alles ordentlich in einem Tresor, im Kopf das Häkchen gesetzt, Thema erledigt. Bis ich mir irgendwann eine unbequeme Frage gestellt habe: Was passiert eigentlich, wenn dieser eine Tresor aufgeht?

Kurz vorweg: Was 2FA eigentlich ist

Bevor wir dahin kommen, das Wichtigste kurz in ganz normaler Sprache. Wenn du dich irgendwo anmeldest, willst du beweisen, dass du auch wirklich du bist. Dafür gibt es drei Arten von Beweisen:

• etwas, das du weißt - dein Passwort oder eine PIN
• etwas, das du hast - dein Handy oder ein kleiner USB-Sicherheitsstecker
• etwas, das du bist - dein Fingerabdruck oder dein Gesicht

Ein bloßes Passwort ist nur einer dieser Beweise. Zwei-Faktor-Authentifizierung - kurz 2FA - heißt schlicht: Du kombinierst zwei davon. Meistens dein Passwort plus den sechsstelligen Code aus einer App.

Und das bringt richtig viel. Selbst wenn dein Passwort irgendwo geklaut wird oder bei einem dieser ständigen Datenlecks auftaucht - ohne den zweiten Beweis kommt trotzdem niemand rein. Gegen Angriffe „von außen“ ist das ein starker Schutz.

Nur: Der gefährlichste Angriff klopft gar nicht an der Eingangstür. Der sitzt da längst im Haus.

Das Problem ist nicht „der Hacker“ - es ist ein ganz normaler Moment

Stell dir einen Dienstag vor wie jeden anderen. Dein Passwortmanager läuft im Hintergrund und ist - wie eigentlich den ganzen Tag - entsperrt. Ist ja praktisch, niemand will alle fünf Minuten sein Master-Passwort eintippen.

Und dann passiert etwas völlig Unspektakuläres. Du lädst ein Programm herunter, das nicht hält, was es verspricht. Oder du öffnest einen Anhang, der harmlos aussieht. Vielleicht ist es sogar eine App, die seit Jahren auf deinem Laptop schlummert und über die du längst nicht mehr nachdenkst - und durch ein Sicherheitsloch in dieser App schleicht sich etwas ein. So etwas kann wirklich jedem passieren, gerade auch vorsichtigen Menschen. Was du dir da einfängst, nennt sich Infostealer.

Ein Infostealer ist im Grunde ein digitaler Taschendieb mit einer einzigen Aufgabe: einsammeln, was er kriegen kann, und nach Hause schicken. Und jetzt kommt der unangenehme Teil. Dein Computer hält alles, womit du gerade arbeitest, in einer Art Zwischenspeicher (RAM) bereit - stell es dir wie deinen Schreibtisch vor, auf dem offen herumliegt, was du gerade in der Hand hast. Solange dein Tresor entsperrt ist, liegt sein Inhalt genau dort: offen auf dem Schreibtisch. Der Dieb muss das Schloss gar nicht erst knacken. Er liest einfach ab.

Und weil du so vorbildlich alles an einem Ort gesammelt hast, schnappt er sich alles auf einmal: deine Passwörter, deine Zwei-Faktor-Codes und - falls deine Passkeys ebenfalls im Manager liegen - die gleich mit dazu.

„Aber ich hab doch 2FA aktiviert!“, denkst du jetzt vielleicht. Stimmt. Nur nützt dir das in diesem Moment nichts mehr. Und warum, das versteht man erst richtig, wenn man weiß, wie diese sechsstelligen Codes überhaupt entstehen.

Wie so ein Zwei-Faktor-Code wirklich entsteht

Dieser sechsstellige Code ist nicht einfach eine Zufallszahl, die dein Handy heimlich mit dem Server „abspricht“. In Wirklichkeit funktioniert das eher wie ein geheimes Rezept. Wenn du 2FA einrichtest, bekommst du vom Dienst eine geheime Zutat - auch „Seed“ genannt. Meistens scannst du sie als QR-Code mit deiner App ein, und ab da liegt sie in deiner App.

Den sechsstelligen Code erstellt deine App dann jedes Mal frisch: Sie nimmt die geheime Zutat (den Seed) und die aktuelle Uhrzeit (in 30-Sekunden-Abschnitten) und verrührt beides nach einem festen Verfahren zu sechs Ziffern - dem sogenannten „Hashen“. Deshalb ändert sich der Code auch ständig - die Uhrzeit ist ja nie dieselbe.

Für die ganz Interessierten: Das Verfahren - die eigentliche Hash-Funktion - ist überhaupt nicht geheim. Jeder kann damit hashen. Geheim ist allein der Seed. Server und App machen exakt dasselbe: Sie nehmen die aktuelle Zeit in 30-Sekunden-Schritten, kombinieren sie mit dem geheimen Seed und hashen das Ganze. Dabei entsteht ein eindeutiger Wert, aus dem sich der Seed nicht zurückrechnen lässt. Ein letzter Schritt kürzt diesen Wert auf sechs Ziffern - so kommen Server und App auf dieselbe Zahl, und mit den sechs Ziffern allein kann niemand etwas anfangen.

Du ahnst, worauf das hinausläuft. Hat sich unser Infostealer deinen Tresor geschnappt, hat er dein Passwort und die geheime Zutat für deine Codes. Dein „zweiter Faktor“ ist damit kein zweiter Faktor mehr - er lag im selben Beutel wie der erste.

Gibt es dann überhaupt ein sicheres System?

Die ehrliche Antwort: Ein System, das perfekt sicher ist, gibt es nicht. Und wird es nie geben. Irgendein Weg führt immer hinein - eine noch unbekannte Sicherheitslücke, jemand, der einfach physisch an dein Gerät kommt, ein Schädling, den noch kein Schutzprogramm kennt.

Aber - und das ist die gute Nachricht - für uns ganz normale Privatleute gibt es sehr wohl ein System, das richtig rund ist. Sicher genug, dass man nachts ruhig schläft, und bequem genug, dass man es im Alltag auch wirklich durchhält. Der Trick ist dabei kein neues Wundertool. Es ist ein Perspektivwechsel. Aber vorher müssen wir noch mit einem hartnäckigen Irrtum aufräumen.

„Viel hilft viel“? Nicht bei Notausgängen

Viele denken: Je mehr Wege ich habe, wieder an mein Konto zu kommen, desto sicherer bin ich. Klingt logisch, ist aber genau verkehrt.

Es gibt nämlich ein ziemlich unbarmherziges Gesetz in der Sicherheit: Du bist immer nur so sicher wie dein schwächstes Glied. Du kannst dir die dickste Stahltür der Welt einbauen - wenn daneben ein Fenster offensteht, hättest du sie dir sparen können.

Und genau das passiert mit diesen ganzen Wiederherstellungswegen. Oben drauf baust du dir Passkeys, 2FA, alles fein säuberlich. Aber gleichzeitig lässt du ein altes, wackeliges Hintertürchen offen: einen Passwort-Reset per SMS oder eine zweite E-Mail-Adresse ganz ohne 2FA. Im Ernstfall nimmt sich niemand deine Stahltür vor. Man steigt durchs offene Fenster.

Heißt das, du sollst auf Notausgänge verzichten? Auf keinen Fall - du willst dich ja nicht selbst aussperren. Aber sie müssen genauso gut abgesichert sein wie dein Haupteingang. In der Praxis heißt das: lieber wenige, bewusst gewählte Wege - etwa ein Wiederherstellungs-Code auf Papier in der Schublade oder auf einem zweiten, besonders gut geschützten Gerät. Nicht „überall ein bisschen“, sondern wenige Dinge, die dafür wirklich sitzen.

Die eigentliche Lösung: Denk in Geräten, nicht in einem Tool

Und damit sind wir beim Kern der Sache. Der Fehler der Vorsichtigen ist nicht der Passwortmanager an sich. Der Fehler ist, alles in ein einziges Werkzeug zu stopfen - und dieses Werkzeug ausgerechnet auf dem Gerät zu benutzen, auf dem man auch sonst alles macht.

Schau dir deine Geräte mal ehrlich an, denn sie sind eben nicht gleich.

Dein Arbeitsgerät - sagen wir, dein Windows-Laptop - ist wie ein offenes Haus. Da gehen ständig Leute ein und aus: Du installierst Programme, lädst Dateien herunter, probierst neue Tools aus. Genau auf solchen Geräten fühlt sich ein Infostealer pudelwohl. Deine wichtigsten Schlüssel gehören dort einfach nicht hin.

Dein Smartphone dagegen, vor allem ein iPhone, ist eher ein Bunker. Du kannst dort kaum „fremde“ Software installieren, alles läuft durch enge, streng kontrollierte Bahnen. Die Fläche, die ein Angreifer überhaupt erwischen könnte, ist winzig. Und genau dort sind deine wertvollsten Zugänge und Passkeys am besten aufgehoben.

Sicherheit entsteht also nicht dadurch, dass du das eine perfekte Programm findest. Sie entsteht dadurch, dass du deine Diamanten dort hinlegst, wo am wenigsten schiefgehen kann - und sie bewusst von dem Gerät trennst, auf dem du jeden Tag herumprobierst.

Das perfekte System wirst du nie haben. Aber das beste System für dich ist absolut machbar. Und es fängt mit einer einzigen, ehrlichen Frage an: Auf welchem meiner Geräte würde ein einziger falscher Klick alles kosten - und warum liegen genau dort meine wichtigsten Schlüssel?

Du hast einen bezahlten Passwortmanager? Gar kein Problem. Der Trick: mehrere Accounts. Die meisten Passwortmanager erlauben das - einen Account für deine Passwörter und einen für den zweiten Faktor. So musst du keine Passwörter abtippen, hast deinen zweiten Faktor im Ernstfall aber trotzdem getrennt gesichert. Sei aber bitte so lieb und logge dich nicht mit beiden Accounts auf demselben Arbeitsgerät ein - sonst sind wir wieder am Anfang dieses Artikels. ;)