"Konten absichern: Passwörter, 2FA und SIM-Swapping"

Dein Börsenkonto und das E-Mail-Konto dahinter sind durch eine Anmeldung geschützt. Die meisten Kontodiebstähle entstehen durch wiederverwendete Passwörter, schwache Zwei-Faktor-Methoden und gekaperte Telefonnummern. Diese Lektion schließt diese Lücken.

Passwörter

Ein Passwort pro Konto. Wird irgendeine Website gehackt, probieren Angreifer die erbeuteten Passwörter überall sonst aus. Ein wiederverwendetes Passwort ist nur so sicher wie die schwächste Seite, auf der du es genutzt hast.

Nutze einen Passwort-Manager. Er erzeugt lange, zufällige Passwörter und merkt sie sich. Du merkst dir ein starkes Master-Passwort. Der Sicherheitsleitfaden von ethereum.org sagt: „Wir empfehlen dringend, einen zu verwenden."

Mach das Master-Passwort lang. Mehrere zufällige Wörter sind schwerer zu knacken als ein kurzes, kompliziertes Passwort.

Eine Ausnahme aus Lektion 30: Deine Seed-Phrase gehört nicht in einen Passwort-Manager.

Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung, kurz 2FA, verlangt zusätzlich zum Passwort etwas, das du besitzt. Die Methoden sind nicht gleichwertig. Die US-Cybersicherheitsbehörde CISA stuft sie so ein:

Methode	Stärke	Schwäche
Sicherheitsschlüssel oder Passkey	Am stärksten. Widersteht Phishing	Du brauchst einen Ersatz
Authenticator-App	Gut	Eine gefälschte Seite kann trotzdem einen Code abgreifen
SMS oder Anruf	Am schwächsten	SIM-Swapping und Abfangen

Ein Sicherheitsschlüssel prüft die echte Adresse der Website, bevor er antwortet. Auf einer gefälschten Seite meldet er dich deshalb nicht an. Darum nennt die CISA diese Art den „Goldstandard".

Nutze die stärkste Methode, die ein Dienst anbietet. Jede 2FA ist besser als keine.

SIM-Swapping

Beim SIM-Swapping bringt ein Krimineller deinen Mobilfunkanbieter dazu, deine Nummer auf seine SIM-Karte zu übertragen. Er gibt sich vielleicht als du aus, besticht einen Mitarbeiter oder täuscht das Personal. Dein Handy verliert den Empfang, und er bekommt deine Anrufe und SMS.

Dann lässt er bei deinem E-Mail-Anbieter oder deiner Börse das Passwort zurücksetzen, und der Code landet auf seinem Handy.

Das FBI erhielt 2021 1.611 Beschwerden wegen SIM-Swapping, mit Verlusten von über 68 Millionen US-Dollar.

Abwehr

Nutze für wichtige Konten keine SMS als 2FA.
Entferne deine Telefonnummer als Wiederherstellungsoption, wo der Dienst das erlaubt.
Bitte deinen Mobilfunkanbieter um eine Portierungssperre oder eine Kunden-PIN.
Verliert dein Handy ohne Grund den Empfang, kontaktiere sofort deinen Anbieter über eine andere Leitung.

Dein E-Mail-Konto ist der Generalschlüssel

Wer dein E-Mail-Konto kontrolliert, kann fast alles andere zurücksetzen. Gib ihm deinen besten Schutz: ein einzigartiges Passwort, einen Sicherheitsschlüssel oder eine Authenticator-App und keine SMS als Ausweichmöglichkeit.

Der Rest der Checkliste

Backup-Codes sichern. Druck die Wiederherstellungscodes jedes Dienstes aus und bewahre sie offline auf.
Auszahlungs-Whitelists aktivieren. Siehe Lektion 35.
Geräte aktuell halten. Installiere System- und Browser-Updates zügig.
Verschwiegen bleiben. FBI und SEC raten beide davon ab, anderen zu erzählen, welche Krypto du hältst. Öffentlichkeit macht dich zum Ziel.
Nie einen Code weitergeben. Kein echter Mitarbeiter fragt nach deinem Passwort oder 2FA-Code.