Liebe Comdirect,
wenn mir jemand mein Smartphone stiehlt und es schafft meinen Fingerabdruck abzufotografieren oder aber mittels Trojaner auf dem Smartphone o.Ä. - dann kann er mit nur einem Gerät problemlos auf meine Konten zugreifen und nach belieben Geld überweisen. Ähnliches Problem: Via Phishing am Computer, o.Ä.
Leider sind die von der Comdirect angebotenen 2FA Lösungen nicht ausreichend sicher. Insbesondere Hacking/Phishing bleibt ein unlösbares Problem. Sagen wir: Die Methoden sind ok, aber bei weitem nicht der Goldstandard.
Der Goldstandard nennt sich Yubikey (oder allgemein "Security Key", aber hier hat sich eine Firma ziemlich durchgesetzt). Ein Security Key ist ein Hardware-Schlüssel, den man per USB-A/C, Lightning oder NFC nutzen kann, um als zweiter Faktor beim Login zu dienen.
Vorteile?:
- Unmanipulierbar
- Einzige unphishbare Login-Methode
- komfortabel/schnell
- am sichersten
Ich finde es irgendwie bezeichnend, dass Gmail, alle bekannten Passwort-Manager, Twitter, Reddit, Github, Windows, Microsoft, Twitch, Insta, Dropbox, +hunderte weitere Services ... und selbstverständlich praktisch jede(s) einzelne Börse bzw. Unternehmen im Krypto-Sektor, 2FA mittels Security Key über standardisierte Verfahren wie FIDO2 oder WEBAuthn unterstützen - aber bei Banken sucht man vergeblich.
Selbst jene Dienste, die 2FA mittels Security Token nicht unmittelbar, sondern nur indirekt (über TOTP, z.B. Google Authenticator) unterstützen - beispielsweise Paypal - kann man über einen entsprechenden Authenticator mittels Security Key nutzen und damit praktisch auf dasselbe Sicherheitsniveau hieven, denn das One Time Password wird tatsächlich physisch auf dem (nicht manipulierbaren) Security Key generiert und nicht in der App am Smartphone! ich weiß allerdings nicht, ob das für alle Security Keys gilt oder nur für besagte marktdominierende Firma.
Sucht man allerdings im Bankensektor, was moderne 2FA Methoden angeht, wird es einfach nur düster. Hier setzt man lieber auf Verfahren, die schon gestern veraltet waren. Ich muss irgendwie immer kopfschüttelnd an den Zahldienst Paydirekt denken, den die Deutschen Banken 20(?) Jahre nach der Gründung von Paypal zum laufen bekommen haben. Bezeichnend: Der Gründer/Erfinder von Paypal unterstützt mit seinem erfolgreichsten Unternehmen Tesla übrigens auch den Security Key zum 2FA-Login...
Liebe Comdirect: Kommt da irgendwann mal Support für Security Keys und vergleichbare moderne und sehr sehr sichere 2FA Login-Methoden nach standardisierten Verfahren (FIDO2, WebAuthN)?
Viele Grüße,
Dax.
