Spätestens seit dem Doxing-Skandal um Jan S. ist Internet-Security wieder in aller Munde. Auch unabhängig davon werden wir häufig gefragt, wie man die persönliche Datensicherheit erhöhen kann. An dieser Stelle möchten wir Ihnen einen kurzen Überblick über einfache Schutzmaßnahmen mit großer Wirkung geben. Sprechen Sie uns bei Fragen hierzu gern an.
Sichere Passwörter
Ihre Passwörter sollten möglichst lang und bestenfalls unlesbar sein, also keine einfachen Wort-Zahl-Kombinationen enthalten. Zudem sollte man sie sich nicht einfach merken können. Leider erleben wir noch sehr häufig Passwörter wie Schatz123 oder Harald1964. Solche Kennwörter können ggf. schon durch erraten oder ausprobieren geknackt werden. Wir empfehlen gänzlich zufällige Passwörter, ohne System. Es sollten keine Geburtsjahre, Namen oä. enthalten sein, aber sehr gern ein oder mehrere Sonderzeichen.
Zudem sollten für verschiedene Benutzerkonten auch unterschiedliche Passwörter genutzt werden. Das klingt banal, verhindert aber direkt, dass bei Bekanntwerden eines Kennworts gleich mehrere oder schlimmstenfalls alle Accounts übernommen bzw. eingesehen werden können.
Unsere besondere Empfehlung gilt sog. Passwort-Safes wie 1Password. Password-Safes sind Anwendungen, die Passwörter verschlüsselt und sicher aufbewahren. Statt sich alle verschiedenen Passwörter aufzuschreiben, speichert man diese in der Safe-App. Diese App wiederum ist mit einem Passwort gesichert, dass man sich weiterhin merken muss und das ebenfalls dringend den o.g. Empfehlungen entsprechen sollte. Aber man muss sich fortan ja nur noch dieses eine Passwort merken.
Mit einer Browser-Erweiterung kann der auf einer konkreten Webseite benötigte Login nur durch Eingabe des sog. Master-Keywords automatisch eingesetzt werden. Passwort-Safes helfen proaktiv dabei, sichere Passwörter zu nutzen, checken im Hintergrund ob einzelne Keywords kompromittiert sind und verwahren auch andere sensible Informationen wie beispielsweise Kreditkarteninformationen sicher für Sie! – Regelmäßige Datensicherung des Safes nicht vergessen!
Zuweilen wird eingewandt, dass, wenn man das Passwort des Safes kennt, Zugriff auf alle Passwörter und andere sensible Inhalte erhält. Das ist grundsätzlich nicht falsch. Ein Passwort-Safe löst eine Menge Probleme, schafft aber eben dieses eine neue. Umso wichtiger ist die absolute Sicherheit des Safe-Passwortes.
Es empfiehlt sich grundsätzlich bei verschiedenen Plattformen unterschiedliche E-Mail-Adressen zu benutzen.
Zwei-Faktor-Authentifizierung nutzen
Inzwischen gibt es bei sehr vielen Anwendungen, welche die Möglichkeit einer Authentifizierung mit zwei Faktoren anbieten. Der erste Faktor ist der bekannte Login mit E-Mail-Adresse und Kennwort, der zweite Faktor die Eingabe eines SMS-Codes. Alternativ zur SMS werden zunehmend auch diverse Autentifizierungs-Apps eingesetzt. Diese kleinen Programme generieren Codes in bestimmten Intervallen. Erwähnen wollen wir beispielsweise den populären Google Authenticator.
Wenigstens bei den wichtigsten Accounts ist die Zwei-Faktor-Authentifizierung dringend zu empfehlen: E-Mail-Account, Facebook, Twitter uä.
Wie heißt Ihr liebstes Haustier?
Fragen zur Passwortwiederherstellung sind zwar beliebt, aber ein großes Risiko Opfer einer Doxing-Attacke zu werden. Denn wenig ist so leicht zu erraten, wie die Antworten auf die üblichen Fragen, zumal von neugierigen Bekannten. Den Geburtsnamen Ihrer Mutter kann man googeln, Ihren besten Freund aus der Kindheit findet man höchstwahrscheinlich unter ihren Facebook-Friends und die Liste potentieller Lieblingstiere ist viel kleiner als man denkt…
Geben Sie lieber komplexe Antworten an, die überhaupt nichts mit der eigentlichen Frage zu tun haben. Nutzen Sie doch wie oben beschrieben zufällige komplexe Passwörter als Antworten, die Sie ebenfalls in Ihrem Passwort-Safe ablegen.
Vermeiden Sie dringend den „Login mit Facebook“ und ähnliche Single-Sign-On-Dienste, weil Angreifer mit Zugriff auf dieses eine Konto direkt Zugang zu einer Vielzahl anderer Konten mit sensiblen Daten erhalten können.
Es schadet nicht eine oder mehrere geheime E-Mail-Adressen für die Registrierung sensibler Accounts zu benutzen. Diese Adressen sollten geheim bleiben und nicht für die Kommunikation mit Dritten genutzt werden. Damit ist nicht nur das Passwort, sondern im Zweifel noch der „Benutzername“ geheim.
E-Mail-Clients & Co.
Supersicher wird E-Mail ohne HTML. Oft sind nämlich die eingebetteten Bilder kompromittiert oder verraten statistische Daten an den Versender. Wer auf gestaltete Mails aber nicht gänzlich verzichten möchte oder kann, der kann externe Inhalte grundsätzlich nur auf Wunsch nachladen lassen.
Das Anklicken von Links in unerwarteten E-Mails sollte ganz grundsätzlich vermieden werden. Das klingt paranoid ist aber die häufigste Quelle von Schadsoftware oder trauriger Beginn von Phishing. Öffnen Sie Anhänge ausschließlich, wenn sie diese erwartet haben. Denken Sie an Viren wie “I love you” oder an Schadsoftware wie “Wanna Cry”, die als Makros in Dokumenten übermittelt wurden.
E-Mails verschlüsseln und signieren
Wir alle können uns noch an den NSA-Skandal und Edward Snowden erinnern. Nun muss ja nicht immer gleich die NSA ausgesperrt werden, aber ein vernünftiger Schutz davor, dass unautorisierte Personen, neugierige Behörden oder chinesische Mitbewerber 😉 Ihre E-Mails lesen können, sicher nicht verkehrt. Die fast 20 Jahre alte Lösung: Pretty Good Privacy (PGP). – Sensible E-Mails können relativ einfach per PGP verschlüsselt versendet werden. Wie das genau funktioniert erklären wir in einem zukünftigen Beitrag.
Zudem können Sie Ihre E-Mails mit S/MIME zertifizieren, eine wunderbare Möglichkeit um Empfängern zu signalisieren: Diese E-Mail ist wirklich von mir versandt worden und vertrauenswürdig. Sie setzen so auch ein Zeichen für diese einfache Möglichkeit Vertrauen zu schaffen. Solche S/MIME-Zertifikate sind verschiedentlich auch gratis erhältlich. Beispielsweise bei Secorio (DE) oder Wisekey (EN).
Updates & Backups, Baby!
Halten Sie Ihre Software immer auf dem aktuellen Stand. Anbieter stellen Updates oft gratis zur Verfügung und schließen damit bekanntgewordene Sicherheitslücken oder fügen der Software neue Funktionen hinzu. Installieren Sie Sicherheitsupdates regelmäßig, bestenfalls immer umgehend nach Verfügbarkeit.
Legen Sie regelmäßig Datensicherungen Ihrer wichtigen Daten an. Es gibt viele sehr praktische Lösungen für quasi vollautomatische Backups. Bei Apple hilft beispielsweise TimeMachine bei lokalen Offline-Datensicherungen. Dropbox, iCloud oder ähnliche Cloud-Dienste synchronisieren die gewünschten sensiblen Daten in die Cloud. Bestenfalls natürlich verschlüsselt.
Wenn Sie Ihre Daten keinem Cloud-Services anvertrauen möchten, können Sie Ihr wichtiges Backup auch auf verschlüsselten SSD-Festplatten an verschiedenen Orten ablegen. Bitten Sie ggf. eine* Freund*in darum ihre Backup-SSD zu verwahren. Günstige tragbare 2 TB-SSD-Festplatten finden Sie bei amazon bereits für ca. 60 Euro.
Und damit sind wir bei unserer letzten Empfehlung: Nutzen Sie auf Ihrem Computer und auf externen Datenträgern die sog. Full Disk Encryption. Eine derartige Verschlüsselung der Speichermedien wird inzwischen von allen Betriebssystemen angeboten und ist bei Verlust von Datenträgern der einzige zuverlässige Schutz vor Datenmissbrauch.
Wir freuen uns sehr über Feedback oder über weitere Tipps zur Datensicherheit in den Kommentaren!