Joa, dann ist es ein ganz normales Microsoft Konto - dort kann ein Abo für Office (z.b. 365 Family) hinterlegt sein, oder halt kein Abo😄
Dieses Konto kannst du wie beschrieben mit den entsprechenden Methoden absichern…
Stimmt - die zahlreichen Alternativen hatte ich unterschlagen. Das reicht bis hin zu Codes, die telefonisch an geschäftliche Festnetznummern übermittelt werden.
Die hier diskutierte App hat allerdings ein Dark Pattern: Das Plus-Icon führt zur Auswahl MS-Konto oder „anderes“ Konto hinzufügen - und nur bei letzterem wird man zur TOTP-Methode geleitet.
So ist es - und MS hat da noch eine weitere Absicherung eingebaut: Der Server zeigt immer eine zweistellige Zahl an, die über den Authenticator-Client bestätigt werden muss (als Auswahl unter drei verschiedenen Zahlen).
Diese Auflistung finde ich wichtig: Es geht eben nicht nur (wie das in unserer Bubble manchmal arrogant behauptet wird) um Sicherheit bzw. Datenschutz vs. Komfort, sondern um das Dreieck Security, Privacy und Usability - was gleich schon etwas weniger herablassend klingt als „Komfort“.
Nicht immer, aber öfters beißen sich diese drei Ziele, und man muss Kompromisse machen. Ein solcher Kompromiss könnte die Nutzung des MS Authenticators aus Sicherheitsgründen sein (unter Inkaufnahme der Datenschutzrisiken).
Das Usability-Plus schießt hier mal wieder Google ab: Loggst Du Dich auf einem neuen Browser ein, schickt Dir Google (selbst wenn nur TOTP eingerichtet ist) ungefragt Push-Benachrichtigungen an Deine mobilen Apps - jedenfalls an die, wo Du mit einem Google-Konto eingeloggt bist. Das ist bequem und sicher (jedenfalls sicherer als TOTP, das ohne Authentifizierungsprüfung funktioniert), doch auch ein wenig übergriffig…
1 „Gefällt mir“
Danke für diese Aussage!
Aus meiner Sicht wird häufiger übersehen, dass Benutzer mit weniger technischem IT-Verständnis das Thema Usability und Sicherheit relevanter wird, da der Datenschutz ansonsten durch fehlende Absicherungen, Datensicherungen oder der Unmöglichkeit des Betriebs von Sicherheitsfunktionen leidet.
Hier sollten die Systeme / Ökosysteme in Ihrer Standard-Betriebsweise einen einfachen Zugang ermöglichen und die Kompromisse ein möglichst hohes Gesamtniveau erreichen.
Das heißt nicht Security, Privacy and Usability, sondern Usable Security and Privacy. Das Dreieck (welches du vermutlich in Erinnerung hast) ist die CIA-Triade: Confidentiality, Integrity and Availability. Auf Deutsch: Vertraulichkeit, Integrität und Verfügbarkeit. Das sind die drei Schutzziele der Informationssicherheit.
https://www.techtarget.com/whatis/definition/Confidentiality-integrity-and-availability-CIA
Bei Usable Security and Privacy geht es darum, den Menschen in den Prozess der IT-Sicherheit so einzubeziehen, dass er je nach Zielgruppe nicht überfordert wird. Der ausgeklügeltste Sicherheitsmechanismus kann zur Schwachstelle werden, wenn er falsch bedient oder übersehen wird. Wikipedia beschreibt dies z.B. so: „Kernthematik der Usable Security & Privacy ist der bedienende Mensch im Kontext der Bedienung, Integration und Wartung von IT-Sicherheitssystemen“.
https://de.wikipedia.org/wiki/Usable_Security_%26_Privacy
Ein Beispiel könnte hier die Zertifikatswarnung eines Browsers sein, die entweder leicht zu übersehen als rotes Dreieck vor der URL angezeigt wird oder z.B. ein Popup angezeigt wird, das den Benutzer eindringlich darauf hinweist, dass mit dem Zertifikat der Webseite etwas nicht stimmt. Oder dass ein System so viele Warnungen anzeigt, dass der Benutzer sie irgendwann einfach genervt wegklickt, ohne zu schauen, worum es eigentlich geht.
Natürlich spielt in diesem Prozess die Bedienbarkeit, also die Usability, auch eine Rolle, aber nicht so prominent, dass sie gleich in der Überschrift steht. Und das auch weniger im Sinne des Benutzerkomforts, sondern mit dem Sicherheitsaspekt im Vordergrund.
1 „Gefällt mir“
Genau die hatte ich allerdings gemeint, also nicht den Spezialfall „usable security“. Mir geht es schlicht um die häufig getätigte Aussage „Du musst Dich zwischen Sicherheit und Komfort entscheiden, und wenn Du letzteres wählst, dann bist Du selbst schuld“. Ich finde das ein wenig weltfremd, zumal „Komfort“ in geschäftlichen Dingen oft Produktivität bedeutet.
Aber die von Dir genannte CIA-Triade passt gut zum Thema dieses Threads: Der von mir erwähnte Voice Call an eine Festnetznummer für MS-MFA wäre dann besonders „confidential“ (kann man AFAIK sogar auf die Bürozeiten beschränken), aber nicht besonders „available“, denn um 17:01 z.B. würde dann kein Faktor mehr kommen, es sei denn der Admin greift ein.
Und eigentlich sagen wir hier alle dasselbe: Es muss ein Kompromiss für den jeweiligen Usecase gefunden werden. „Privacy and/or security first“ (schon das kann sich beißen) ist nicht für jedes Szenario die beste Strategie. Umgekehrt nützt auch Komfort/Usability/Produktivität nichts, wenn es gravierende Sicherheitsvorfälle gibt…
Für mich ist E-Mail-Verschlüsselung ein gutes Beispiel wie man sinnvolle Sicherheit durch fehlende Usability an Ihrer Verbreitung hindert und was am Ende zu einem schlechten Datenschutz der E-Mail-Inhalte führt.
Ich kenne abseits von Firmenumfeldern keine einzige Client-Lösung welche den Anwender bei der Synchronisation seines Schlüsselbunds über mehrere Geräte und damit auch dem Gerätewechsel unterstützt. Das Ergebnis ist, dass der Anwender manuell jedes seiner Geräte mit seinem privaten Schlüssel versehen muss um E-Mails lesen zu können und alle gesammelten öffentlichen Schlüssel der Kommunikationspartner manuell auf jeden Client importieren muss, damit er diesen dann verschlüsselte E-Mails schicken kann.
Wenn der Anwender aufgrund Unwissenheit seinen Schlüsselbund verliert oder nicht auf ein neues Gerät übernommen hat, dann steht auf einmal beides nicht mehr zur Verfügung und er ist von der sicheren Kommunikation abgeschnitten.
Nun kommt es darauf an, was du konkret mit Synchronisation meinst. Thunderbird z.B. kann mittlerweile nativ (früher brauchte man das Enigmail Plugin) Zertifikate und Schlüssel verwalten, exportieren und wieder importieren. Du kannst deinen privaten Schlüssel auch passwortgeschützt exportieren und das Ganze wird standardmäßig in .p12, .gpg oder .acs Dateien gespeichert. Je nachdem, ob du OpenPGP oder S/MIME benutzt. Diese Dateien kann man dann nicht nur wieder in Thunderbird importieren, sondern zumindest theoretisch auch in andere Mailclients, die mit diesen Dateitypen umgehen können. Auf Knopfdruck oder gar automatisch geht das aber nicht.
Aber so ganz im Klartext wird heute eigentlich keine E-Mail mehr verschickt, denn zumindest der SMTP-Verkehr zwischen den Mailservern ist inzwischen weitgehend verschlüsselt. Da muss sich der Anwender nicht darum kümmern. Ich signiere meine Mails eigentlich nur noch zusätzlich digital mit S/MIME, damit die Authentizität gewährleistet ist. Verschlüsseln tue ich sie eigentlich nicht. Ich habe das mal bei jemandem eingerichtet, der mit Patenten vor der Anmeldung gearbeitet hat. Da macht es natürlich Sinn und rechtfertigt auch den Aufwand. Aber ja, die Vertraulichkeit rückt immer mehr in den Fokus auch der normalen Nutzer und das ist auch gut so.
Der fehlende Synchronisationsfunktion bei der E-Mail-Verschlüsselung war nur ein Beispiel, wo fehlende Usability den Einsatz einer Sicherheitsfunktion und damit auch den Schutz der Daten verhindert.
Dasselbe Problem entsteht, wenn der Anwender einen Passwort-Manager oder dem hier thematisierten Authenticator einsetzt, dessen Datenbestand dann aber nur auf dem PC und nicht auf dem SmartPhone zur Verfügung steht. Im Bestenfalls fehlen im zu einem bestimmten Zeitpunkt nur die passenden Informationen. Im schlimmsten Fall überschreibt er sich Inhalte durch das Einspielen eines Exports eines anderen Gerätes oder vergisst diese regelmäßig zu übernehmen, sodass bei einem Geräteverlust oder Wechsel diese auf einmal verloren gehen.
Das man das alles manuell durch hin und her kopieren schaffen kann ist klar. Aber eine fehlende automatisierte Synchronisation stellt einfach wieder zusätzliche Anforderungen an den Anwender, der vielleicht schon Probleme hat sich überhaupt auf eine solche Lösung einzulassen.
Es ist auch kein technisches Problem da man einen Synchronisation durchaus implementieren kann. Häufig wird jedoch versucht Security und Privacy so kompromisslos zu implementieren , dass die fehlende Usability für den normalen Anwender eine so hohe Hürde darstellt, dass er die Sicherheitsfunktion dann gar nicht mehr einsetzt.
1 „Gefällt mir“
Warum nutzt man für MAC nicht die offenen Alternativen, z.B. LibreOffice? Funktioniert einwandfrei…
Naja, es wird ja nicht verhindert. Es geht halt nur nicht automatisch…
Und wenn es dann, wie z.B. bei Passkeys, (nahezu) automatisch geht, trauen die Leute dieser Magie nicht und haben Angst, dass ihre Kronjuwelen gestohlen werden. Die Unwissenheit der Nutzer und die damit verbundene Skepsis tragen schon dazu bei, dass sich manche Innovationen nur langsam durchsetzen. Selbst dann, wenn sie auch für Laien einfach zu bedienen wären. Manche Skepsis ist gerechtfertigt, aber bei weitem nicht jede. Es mangelt wenn dann eher an Transparenz.
Ich persönlich finde diese Skepsis aber sehr gesund und begrüßenswert, denn sie zeigt, dass man sich Gedanken über die Sicherheit seiner Daten macht. Deshalb versuche ich auch, im Rahmen meiner Möglichkeiten zu unterstützen und aufzuklären. Mir fällt aber auch auf, dass sich die Leute oft ernsthafte Sorgen um die Sicherheit ihrer Daten vor fremdem Zugriff machen, dabei aber die viel wahrscheinlicheren Szenarien eines Datenverlustes durch technischen Defekt, Diebstahl oder auch nur durch selbstverschuldete Fehler übersehen.
Würde man sich nämlich genauso intensiv um die Sicherung der Kronjuwelen kümmern, wäre man bei der Portierung von Sicherheitsfeatures wie MFA oder Passkey schon den halben Weg gegangen.
1 „Gefällt mir“
Genau hier sehe ich auch das Problem. IT-Systeme sind häufig nicht so aufgebaut, dass sie „per default“ den Benutzer vor Problemen durch Unwissenheit schützen, auch wenn Sie selbst nicht einmal das Ziel haben den Benutzer und seine Daten auszuwerten.
Auf der Anwenderseite treffe ich allerdings auf Leute die zwar vielleicht eine gewisse diffuse Skepsis haben, da sie technische Zusammenhänge nicht überblicken. Dummerweise lassen Sie sich dann jedoch davon leiten was andere Leute in Ihrem Umfeld einsetzen, die häufig noch weniger Ahnung als sie selbst haben.
Am Ende scheitern jedoch viele daran auch nur die Basis-Tätigkeiten zum geregelten Betrieb ihres Smartphones, PCs, Internet-Routers oder Fernsehers zu bewältigen und spätestens wenn Sie mit mehreren Geräten hantieren ist die Folge zufallsmäßig über verschiedene Geräte verteilte Daten ohne Daten-Sicherung und -Absicherung.
1 „Gefällt mir“
Ohne dir eine Sicherheitsgarantie geben zu wollen, kann ich dir folgende Apps nennen, die ich bisher für sehr vertrauenswürdig gehalten habe:
Ich persönlich habe Bitwarden Auth wieder deinstalliert, weil es weniger optisch ansprechend ist als die anderen beiden. Erfüllt aber technisch seinen Zweck.
Ich würde FreeOTP für die bequemen Fälle nutzen: https://freeotp.github.io/
Und für ernstes Zeug, wo es um Geld geht den Yuico Authenticator im Zusammenspiel mit einem Yubikey.
Denn der Angriffspunkt bei OTP sind die Seeds. Und man kann auf einem Yubikey bis zu 32 OTP Seeds speichern, die nicht auslesbar sind. Damit muss man die nirgendwo sonst speichern, wo irgendwer drankäme.
Unter gar keinen Umständen werde ich meine Seeds „über die Cloud“ potentiellen Angreifern zusenden, also iCloud-„Backup“ etc. darf nicht vorkommen.
Aus dem Grund ist auch die Apple-Schlüsselbund-App absolutes no-go.
Ich fühle mich mit der Ende-zu-Ende-Verschlüsselung des iCloud-Schlüsselbunds, ergänzt um die Zweifaktor-Authentisierung an der iCloud als Zugriffsschutz, recht gut vor potentiellen Angreifern abgesichert.
Die kann ich auch empfehlen
1 „Gefällt mir“