Was ist das eigentlich?
Am Geldautomaten machen Sie das seit Jahrzehnten. Ihre Karte allein nützt einem Dieb nichts, weil ihm die Geheimzahl fehlt. Und die Geheimzahl allein nützt ihm ebenso wenig, solange er die Karte nicht hat. Erst beides zusammen öffnet das Fach. Genau deshalb ist es nicht weiter dramatisch, wenn Ihnen einmal die Karte aus der Tasche fällt.
Bei einer Anmeldung am Computer ist es dasselbe Prinzip. Das Passwort ist die Geheimzahl: etwas, das Sie wissen. Der zweite Faktor ist die Karte: etwas, das Sie in der Hand halten, meist Ihr Diensthandy. Wer Ihr Passwort abfängt, sitzt vor der halben Anmeldung und kommt nicht weiter, solange er nicht auch Ihr Handy hat.
Praktisch sieht das so aus: Sie geben Ihr Passwort ein, auf dem Handy erscheint eine Nachfrage, Sie tippen auf „Ja, das war ich", und schon sind Sie angemeldet. Auf bekannten Geräten passiert das nicht bei jedem Start, sondern nur in größeren Abständen oder wenn etwas ungewöhnlich ist.
Was macht das konkret?
- Es entwertet gestohlene Passwörter. Der häufigste Weg in ein Firmenpostfach ist ein Passwort, das jemand auf einer gefälschten Seite eingegeben hat. Mit zweitem Nachweis läuft dieser Diebstahl ins Leere.
- Es meldet fremde Versuche. Wenn auf Ihrem Handy eine Bestätigungsanfrage erscheint, während Sie gerade Kaffee trinken, wissen Sie sofort, dass jemand Ihr Passwort hat.
- Es schützt die wichtigsten Zugänge zuerst. E-Mail, Cloud-Speicher, Buchhaltung und der Zugang von außen ins . Dort liegt der größte Hebel.
- Es lässt sich abstufen. Im Büro am bekannten Rechner seltener, von unterwegs oder aus dem Ausland immer. So bleibt der Alltag bequem und der Schutz trotzdem wirksam.
Warum ist das für Ihr Unternehmen wichtig?
Passwörter sind ein schwaches Fundament, und zwar nicht wegen Ihrer Mitarbeiter. Sie werden auf gefälschten Seiten abgefangen, sie tauchen in Datenlecks fremder Anbieter auf, und sie werden aus Bequemlichkeit mehrfach verwendet. Sie können das mit noch so guten Regeln nicht vollständig verhindern.
Der zweite Nachweis schließt genau diese Lücke, und er gehört zu den wenigen Maßnahmen, die wenig kosten und trotzdem viel bewirken. Bei den meisten Diensten, die Sie ohnehin bezahlen, ist die Funktion bereits enthalten und muss nur eingeschaltet werden.
Dazu kommt der Nachweis nach außen. Versicherer fragen inzwischen danach, bevor sie eine Police für Cyberschäden anbieten. Größere Auftraggeber fragen in ihren Fragebögen danach. Und wenn doch einmal etwas passiert, ist es ein deutlicher Unterschied, ob Sie belegen können, dass Zugänge doppelt abgesichert waren. Denn die verlangt angemessene Schutzmaßnahmen, nicht guten Willen.
Brauchen Sie das?
- Ihre E-Mail-Postfächer sind aus dem Internet erreichbar
- Mitarbeiter melden sich von zu Hause oder unterwegs an Firmensystemen an
- Sie nutzen Cloud-Dienste für Dateien, Buchhaltung oder Kundenverwaltung
- Sie können nicht ausschließen, dass ein Passwort mehrfach verwendet wird
- Ein Kunde oder Versicherer hat Sie schon einmal nach Ihren Sicherheitsmaßnahmen gefragt
So setzen wir das bei Ihnen um
Wir fangen dort an, wo der Schaden am größten wäre: E-Mail und der Zugang von außen. Danach kommen die übrigen Dienste dazu, in Ruhe und in Abstimmung mit Ihrem Betriebsablauf. Wir richten für jede Person einen Ersatzweg ein, damit ein verlorenes Handy niemanden aussperrt, und erklären die Umstellung einmal gemeinsam. Erfahrungsgemäß dauert das pro Mitarbeiter wenige Minuten. Was wir sonst noch absichern, lesen Sie auf unserer Seite zur IT-Sicherheit.
Häufige Fragen
Müssen sich meine Mitarbeiter jetzt bei jedem Start neu bestätigen?
Nein. Auf bekannten Firmengeräten lässt sich einstellen, dass der zweite Nachweis nur in größeren Abständen oder bei ungewöhnlichen Anmeldungen verlangt wird. Der spürbare Aufwand liegt dann bei wenigen Sekunden pro Woche.
Was passiert, wenn jemand sein Handy verliert?
Deshalb richten wir immer einen zweiten Weg ein, etwa hinterlegte Ersatzcodes oder eine zweite freigegebene Möglichkeit. Zusätzlich können wir für ein Gerät die Freigabe zurücksetzen und neu vergeben. Wichtig ist, das vorher zu regeln und nicht erst am Morgen des Verlusts.
Was kostet die Einführung?
In vielen Fällen ist die Funktion in Ihren vorhandenen Diensten bereits enthalten und muss nur eingeschaltet und sauber eingerichtet werden. Der Aufwand liegt dann in der Einführung und der Begleitung Ihrer Mitarbeiter. Wir sehen uns an, was Sie im Einsatz haben, und nennen Ihnen die Kosten vorher.
Was ist der Unterschied zu einem sehr langen Passwort?
Ein langes Passwort schützt gut gegen Ausprobieren, aber gar nicht gegen Diebstahl. Wer es auf einer gefälschten Anmeldeseite eingibt, hat es verschenkt, egal wie lang es war. Der zweite Nachweis ist der einzige Schutz, der auch dann noch greift.
Reicht ein Code per SMS?
Er ist deutlich besser als nichts und ein guter erster Schritt. Sicherer ist eine App auf dem Handy oder ein kleiner Schlüsselanhänger zum Anstecken, weil sich Mobilfunknummern in seltenen Fällen übernehmen lassen. Für den Anfang zählt vor allem, dass überhaupt ein zweiter Nachweis existiert.