2FA Sinnhaftigkeit bei Urlaub

[Schmalhans93]

Hallo zusammen,

ich habe erst kürzlich z.B. bei meinem Google Konto (Mails) 2FA aktiviert.
Man hat dabei die Möglichkeit entweder über ein Gerät (in dem Fall ein Smartphone) oder über eine Handynummer zu verfizieren.

Jetzt kommt aber schon der springende Punkt.
Sollte man das Handy mit der Simkarte verlieren oder geklaut bekommen kann man weder mit dem Smartphone noch mit der Handynummer - deren Sim in dem geklauten Handy steckt - verifizieren.

Ich überlege aktuell ob es nicht sinnvoll wäre die 2FA für Urlaube zu deaktivieren.
Wenn ich im Urlaub mein Handy gestohlen bekomme und auf mein Ersatzhandy zurückgreife welches ich sicherheitshalber immer dabei habe (z.B. für die digitalen Flugtickets) dann muss man sich ziemlich sicher bei der erstmaligen Anmeldung erst wieder per Mail verifizieren.
Und in meinen Mailaccount komme ich ohne Verifizierung über mein geklautes Smartphone nicht.

Wie ist eure Meinung dazu? Irgendwelche Tipps?

 

[qiller]

Hab kein 2FA aktiv, aber mein Google-Konto stammt auch noch aus der Youtube-Zeit, von daher ist wurscht, da gibts nix zu holen, kein Gerät oder Browser ist mit dem Konto verknüpft. Wenn man 2FA aktiviert, sollte der Konto-Anbieter auch immer einen Backup-2FA mit anbieten und dieser sollte auch eingerichtet sein. Ansonsten kann man sich eben schnell aussperren.

Edit: Ok, Google macht das wohl "oldschool" mit ner "Tan-Liste"
https://support.google.com/accounts/answer/1187538?hl=de&co=GENIE.Platform=Android

 

[scooter010]

Die backup codes mit nehmen?! Ansonsten ist 2FA immer sinnvoll. Der Google account kann je nach Verwendung die komplette digitale Identität enthalten.

 

[H3llF15H]

Auf beiden Smartphones den Microsoft oder Google Authenticator verwenden, dann bist du SIM-Karten unabhängig.

 

[|Moppel|]

Ich würde die Person meines Vertrauens bitten mir die Backup Codes von meinem bei ihr hinterlegten Offsite Backup zu schicken in dem Fall.

Alles was mit Handynummer geht kannst du ja fix mit einer eSIM lösen.

 

[Aduasen]

Gerade im Urlaub ist das wichtig.
Denn da bist Du wahrscheinlich nicht an Deinem Heimrechner.

 

[PC295]

F2A ist eine Möglichkeit Accounts zusätzlich abzusichern.

Wenn man darauf verzichteten will, muss das Passwort entsprechend sicher gewählt werden.

Es darf nicht für Dritte zugänglich sein. (irgendwo gespeichert/aufgeschrieben)

Und es sollte immer genau hingeschaut werden, wo das Passwort eingegeben werden bzw.

niemals verdächtige Links aus Email öffnen.

 

[Veorr]

Wenn du sowieso ein Backup Handy dabei hast, solltest du dort ebenfalls in deinem Google Account angemeldet sein. Dann bekommst du 2FA Push Anfragen auch auf dieses Handy. Ebenso solltest du dort bei der 2FA-App deines Vertrauens (z. B. Google authenticator) angemeldet sein.

Und um wirklich sicher zu sein, solltest du die Notfall-TAN Liste von Google in irgendeiner Form, in der du sicher darauf zugreifen kannst (und die nicht gleichzeitig mit dem Handy geklaut werden kann) dabei haben.

 

[cyberpirate]

Es gibt ja nicht nur eine Möglichkeit. Alles dazu hier:

https://safety.google/intl/de_de/stories/passwort/

 

[Looniversity]

Die backup codes mit nehmen?!

Und um wirklich sicher zu sein, solltest du die Notfall-TAN Liste von Google in irgendeiner Form, in der du sicher darauf zugreifen kannst (und die nicht gleichzeitig mit dem Handy geklaut werden kann) dabei haben.

Jawoll, das hier ist der eigentliche Tipp.

Ist mir erst dieses Jahr so passiert - Familie auf Hawaii besucht, in SFO mein Handy verloren (geklaut?), und dann auf Hawaii versucht mit der Recovery-Mail in meinen Google-Account zu kommen (Handy für 2FA war ja futsch). Naja, Google meldet lapidar "Verdächtiger Anmeldeversuch von unbekanntem Gerät an unbekanntem Ort blockiert". In der Tat ist Hawaii nicht unbedingt in meinem üblichen Bewegungsmuster drin.

In den Account ging es erst zwei Wochen später wieder, als ich in Deutschland am heimischen Rechner wieder an die Recovery codes drangekommen bin. Die Codes hatte ich in weiser Voraussicht auch auf Onedrive gespeichert, weil ich gut vorbereitet sein wollte und mir ähnliche Gedanken gemacht habe wie du gerade. Dass der Anmeldeversuch da genauso kläglich scheitern würde wie bei Google habe ich Depp aber nicht bedacht. Das war doof, und dann stehste da 👀

Wenn ich im Urlaub mein Handy gestohlen bekomme und auf mein Ersatzhandy zurückgreife welches ich sicherheitshalber immer dabei habe (z.B. für die digitalen Flugtickets) dann muss man sich ziemlich sicher bei der erstmaligen Anmeldung erst wieder per Mail verifizieren.

Ach so - du kannst bei deinem Provider deine SIM gestohlen melden (unbedingt tun wenn es passiert, damit die gesperrt und falsche Anmeldeversuche unterbunden werden) und dann eine neue SIM mit derselben Nummer an deine angemeldete Adresse (nicht: an den Urlaubsort!) bekommen. Das dauert leider ein paar Tage, aber wenn die SIM da ist brauchst du das Handy nicht neu anmelden. Sonst wäre es tatsächlich so und du hättest je nach Situation ein recht bewundernswertes Problem (auf Hawaii hatte ich logischerweise weder Whatsapp noch Zugriff auf mein Onlinebanking. Ohne die Familie dort wäre das eine maue Erfahrung geworden).

Fun fact: Die Beamten vom Grenzschutz und Zoll in SFO sind sich selbst nicht so ganz sicher wie lost+found da funktioniert, bin mehrmals durch den Flughafen gelaufen und irgendwann außerhalb in einem kleinen Büro gelandet von dem die meisten Beamten und Airline-Angestellten nicht einmal wissen, dass es existiert. Ganz viele Handys dort, aber das einzige Erkennungsmerkmal da war "Apple oder Samsung?", mit "LG, in a black case" wusste der nette Herr nix anzufangen. 🤷‍♂️

 

[lazsniper]

Ganz viele Handys dort, aber das einzige Erkennungsmerkmal da war "Apple oder Samsung?", mit "LG, in a black case" wusste der nette Herr nix anzufangen. 🤷‍♂️

deine chance auf ein neues iphone hast du auf jeden fall verpasst in dem moment 😅

 

[frazzlerunning]

Für solche Fälle gibts auch andere Lösungen, zb. Hardware-Token am Schlüsselbund.

Damit kann ich mich bei diversen Diensten mit 2FA anmelden, und es ist ein echter 2. Faktor (da nicht vom Smartphone abhängig/am selben Smartphone verwendet)

 

[lazsniper]

Für solche Fälle gibts auch andere Lösungen, zb. Hardware-Token am Schlüsselbund.

+1 für den yubikey. beste lösung für sicherheit unterwegs, und nicht nur das - auch für zuhause eine sinnvolle investition!

 

[Looniversity]

andere Lösungen, zb. Hardware-Token

Ist das quasi eine Smartcard, die schon mit ihrem Card-Reader verheiratet ist? Und hat der Token dann wie eine Smartcard in Windows eine eigene PIN-Abfrage zum Entsperren? Sehr interessant, da hätte ich auch Verwendung für. Danke für den Tipp!

+1 für den yubikey. beste lösung für sicherheit unterwegs, und nicht nur das - auch für zuhause eine sinnvolle investition!

Genau für zuhause bzw. privat wäre das meine Anwendung, um die Chancen auf eine Wiederholung meines oben beschriebenen Malheurs in Zukunft zu reduzieren. Auf Arbeit haben wir Smartcards für 2FA, Signatur etc, die Lösung finde ich eigentlich auch ganz gut.

deine chance auf ein neues iphone hast du auf jeden fall verpasst in dem moment 😅

Verdammte Axt Ich hab mich damit vertröstet, dass jeder mal einen verpeilten Moment hat und ein Handy verlieren kann aber bei mir hat die lange Leitung wohl System 🤪

Ist hier jetzt etwas off topic, aber ich hab mich auch gefragt, wer so dreist ist zwischen Arrival-gate und Passkontrolle ein Handy zu klauen (hab es in der Warteschlange als fehlend bemerkt), schließlich muss man dann mit dem geklauten Teil durch den Zoll. Ganz schön sketchy, und da sind überall Kameras. Und im Flugzeug oder auf dem Gang war es nicht, dann wäre es sicherlich gefunden worden bei so vielen Menschen, die da laufen (auf der Rückreise war ich wieder in dem kleinen lost+found Kabuff und bei der Airline).

 

[Mr.Seymour Buds]

Nimm doch einfach ein Zweittelefon mit ins Ausland. So mache ich es seit eh und je. Lass dein privates Telefon daheim. Leeres Zweitgerät für Telefonate und verschlüsseltes (zweit) Notebook mitnehmen.

Wenn die weg sind - wen juckts.

 

[Looniversity]

Nimm doch einfach ein Zweittelefon mit ins Ausland. [...] Lass dein privates Telefon daheim.

Damit bleibt das Problem vom OP aber doch ungelöst:

Sollte man das Handy mit der Simkarte verlieren oder geklaut bekommen kann man weder mit dem Smartphone noch mit der Handynummer - deren Sim in dem geklauten Handy steckt - verifizieren.

Damit das Laptop sich anmelden kann braucht es Zugriff auf die Mobilfunknummer. Wenn das Zweithandy weg ist hilft dir dein sicher, aber am anderen Ende der Welt aufbewahrtes Handy im Zweifel auch erst in drei Wochen weiter. Bis dahin schaut's so doof aus der Wäsche wie ich.

Leeres Zweitgerät für Telefonate und verschlüsseltes (zweit) Notebook mitnehmen. Wenn die weg sind - wen juckts.

Das stimmt natürlich, der Schaden durch Datenverlust ist dadurch soweit es geht reduziert/ganz verhindert und der Verlust der Geräte ist ärgerlich, aber in jedem Laden an der nächsten Ecke ersetzbar.

 

[frazzlerunning]

Und hat der Token dann wie eine Smartcard in Windows eine eigene PIN-Abfrage zum Entsperren?

Nein, das Ding selbst ist keine "Smartcard", auf der du ein Zertifikat liegen hast, dass du dann noch mit PIN bestätigen musst.

Das Ding ist praktisch eine Authenticator-App, also ein Code-Generator, für 2FA-Eingaben.
Entweder am USB (-C hab ich verlinkt, gibts aber auch mit -A) einstecken und ins 2-FA-Feld stellen und am Token drücken -> füllt den Code aus.
Oder über NFC, bei 2-FA-Aufforderung den Token ans Smartphone halten.

 

[lazsniper]

Ist hier jetzt etwas off topic, aber ich hab mich auch gefragt, wer so dreist ist zwischen Arrival-gate und Passkontrolle ein Handy zu klauen (hab es in der Warteschlange als fehlend bemerkt), schließlich muss man dann mit dem geklauten Teil durch den Zoll. Ganz schön sketchy, und da sind überall Kameras. Und im Flugzeug oder auf dem Gang war es nicht, dann wäre es sicherlich gefunden worden bei so vielen Menschen, die da laufen (auf der Rückreise war ich wieder in dem kleinen lost+found Kabuff und bei der Airline).

auch etwas offtopic senf dazu das ist echt ärgerlich, vor allem wenn man unterwegs ist. manche menschen sind an dreistigkeit kaum zu überbieten. ich hatte den fall bei meinen ganzen reisen (ich reise sehr viel!) zum glück noch nicht, dass irgendwas abhanden gekommen ist, was ich nicht selbst liegen gelassen oder verloren habe.

ich trage gern hosen mit reissverschlüssen an den taschen beim reisen, das erschwert ein "leichtes reingreifen" deutlich.

ansonsten BTT: bisher bin ich gut gefahren mit 2fa und handy dabei, ipad oder macbook als backup - wichtige dokumente liegen in der icloud. werde mir aber auch noch einen zweiten yubi nfc dazu holen, bevor in 2 wochen die nächste reise ansteht. man weiß ja nie! auch die icloud unterstützt den yubikey als token.

 

[Schmalhans93]

Wie kommt man zu der TAN Liste? Habe beim Einrichten nichts dazu gesehen.

Google Authenticator nutze ich sowieso schon - aber dazu habe ich ebenfalls nichts gesehen bei der Einrichtung von 2FA.

 

[cyberpirate]

Und wie schon erwähnt einfach eine weitere der Möglichkeiten zur 2FA nutzen. in dem Fall vielleicht eine andere Mail Adresse!