Smartphone als Sicherheits-Schlüssel: Google testet Login ohne Passwort
Im Laufe der Jahre haben sich bei den meisten Nutzern so viele Informationen im Google-Account angesammelt, dass praktisch das gesamte digitale Leben darin gespeichert ist – und ein Verlust entsprechend schmerzhaft wäre. All diese Informationen werden seit jeher nur durch ein Passwort geschützt, doch dieser Methode der Sicherung hat Google schon vor längerer Zeit den Kampf angesagt und möchte es durch neue Möglichkeiten ablösen. Jetzt testet man mit einer Reihe von Nutzern eine neue Methode, bei der das Smartphone als Passwort-Ersatz dient.
Das Schema ist praktisch seit den Urzeiten des Internets gleich: Ein Nutzer loggt sich stets mit seinem Namen oder seiner Mail-Adresse und dem dazu passenden Passwort ein und bekommt dann den vollen Zugriff auf seine Informationen. Blöd natürlich, wenn man das Passwort „123456“ gewählt hat, denn dieses knacken Hacker und Algorithmen innerhalb von Sekunden und schon sind auch fremde Personen eingeloggt. Da diese Zielgruppe dann auch noch an allen Stellen das gleiche Passwort nutzt, ist dann praktisch die gesamte digitale Identität offen gelegt.
Aktuell testet Google nun mit einer Reihe von Nutzern den sicheren Login per Smartphone. Dazu muss diese Funktion nur einmalig aktiviert werden, sofern man denn dazu eingeladen ist, und schon kann man sich komplett ohne Passwort einloggen. Das ganze läuft folgendermaßen ab: Man gibt einfach nur noch die E-Mail-Adresse im Login-Feld an, und schon erscheint auf dem Smartphone ein Popup mit der Frage, ob man sich gerade versucht einzuloggen. Wird dies mit JA bestätigt, ist der Login-Vorgang erfolgreich und die Seite auf dem Desktop-PC bzw. Laptop lädt sich neu und der Nutzer ist eingeloggt.
Schon vor einiger Zeit hatte Google den Login-Vorgang auf zwei Schritte aufgeteilt und möchte das Passwort nur noch in einem zweiten Schritt haben – so dass diese Entwicklung lange absehbar war. Aktuell funktioniert dies allerdings nur mit „unterstützten Smartphones“, wobei zumindest das Nexus 6P dazu gehört. Möglicherweise unterstützt man nur Smartphone, die über einen Fingerabdrucksensor als Sicherheit verfügen. Der gesamte Vorgang ist auch unter iOS verfügbar und kann also auch mit einem iPhone durchgeführt werden.
Statt der Sicherheit eines Passworts setzt Google bei diesem System nun auf die Sicherheitsmethoden des Smartphones. Da die sicherste Sperrung hier allerdings ebenfalls ein Passwort ist, das aber wohl kaum ein Nutzer verwendet, hat der Nutzer eigentlich nicht viel gewonnen. Ein Großteil dürfte wohl die Sperrung per Muster oder – im schlimmsten Fall – gar keine Sperrung verwenden. Google verlagert das „Problem“ des Schutzes also praktisch nur vom Desktop auf das Smartphone, das aber noch sehr viel einfacher zugänglich ist und damit keine ganz so große Sicherheit mehr darstellt.
Spätestens nach der Nutzung dieser Funktion sollte man das eigene Smartphone also ausreichend sichern, denn es wird nun auch der Schlüssel zum Google-Account auf dem Desktop – und einfacher kann man es einem Dieb dann schon gar nicht mehr machen. Auch das kurze liegen lassen auf dem Tisch kann bei dieser Funktion gefährliche Folgen haben, wenn es denn nicht ausreichend gesperrt ist. Es ist davon auszugehen, dass Google diese Funktion schon in wenigen Monaten für alle Nutzer ausrollen und den eingeschränkten Test beenden wird.
GoogleWatchBlog bei Google News abonnieren | GoogleWatchBlog-Newsletter
Teile diesen Artikel:
Wat?
„…das Smartphone, das aber noch sehr viel einfacher zugänglich ist und damit keine ganz so große Sicherheit mehr darstellt.“
„einfacher kann man es einem Dieb dann schon gar nicht mehr machen“
Sicherheitskonzepte sind nicht Euer Ding, oder?
Es geht um „Wissen“ und „Besitz“. Bei Mehrfaktorauthentifikation (MFA) wird beides benutzt. Das ist hier natürlich nicht der Fall. Was Google hier macht, ist eine Änderung von „Wissen“ hin zu „Besitz“ als Faktor.
Jetzt geht mal ehrlich in Euch – oder recherchiert ein wenig, falls die Info in Euch nicht vorhanden ist – und sagt mir: Wie oft werden Accounts gehacked, weil das Passwort erratbar/knackbar ist oder durch Phishing einfach gradaus erfragt wurde? Und jetzt vergleicht das mit der Zahl von Handy Diebstählen. Ihr kommt sicher schnell drauf, dass es wesentlich mehr erfolgreiche Account Hacks gibt als Handy Diebstähle. Und jetzt ratet mal, wie viele dieser Handydiebstähle den Zweck haben, die Hardware zu resetten und für gutes Geld weiterzuverkaufen, und wie viele den Zweck haben, einen Dateneinbruch zu starten. Und ratet mal, wie viele Hacker normalerweise im selben Gebäude sind wie der Angegriffene, und wie viele eher auf einem ganz anderen Kontinent. Klingelts ganz leise?
Dann überlegt mal weiter: Wenn jemand Euer Passwort klaut, aber nicht verändert, und fortwährend auf all Eure Daten zugreift, Euch ausspioniert und überwacht: Wie schnell bemerkt ihr das? Eine Woche? Zwei Wochen? 3 Monate? Niemals? Und wie lange braucht ihr, um zu merken, dass Euer Smartphone weg ist?
Ja, die bessere Sicherheit wäre MFA. Google hat aber wohl erkannt, dass wenn ich aufgrund Sicherheit die Bedienbarkeit einschränke, verliere ich einfach beides, weil es von den Benutzern nicht akzeptiert wird.
Richtig: Eine Authentifikation nur durch ein Smartphone erlaubt die von Euch genannten Angriffsvektoren, aber diese benötigen einen physischen Angriff. Das als „unsicherer als Passwort“ zu bezeichnen wäre, als würdet ihr behaupten, dass Passwort Tastaturen an der Haustür sicherer seien als ein mechanischer Schlüssel in der Hosentasche des Eigentümers. Oh mein Gott, mein Hausschlüssel ist ja nicht mal zusätzlich durch Pin oder Muster geschützt wie die meisten Smartphones…
Sorry, ich erwarte nicht, dass jeder Redakteur mit Sicherheitskonzepten vertraut ist, aber wenn ihr über sowas schreibt und tatsächlich niemanden an der Hand habt, den ihr vorher mal fragen könnt, wie wärs, wenn ihr einfach mal googlet?
Du sprichst mir aus der Seele. Natürlich wird es etwas einfacher eine Person gezielt zu hacken, jedoch wird der massenhack erschwert.
Ich sehe das wie Daniel – dadurch, dass der physische Besitz des Smartphones vorausgesetzt wird, werden zwei ganz wichtige Faktoren aktiviert:
1) Die bereits erwähnte „physische“ Attacke. Der Dieb muss DEIN – exakt dein Smartphone haben und (noch viel wichtiger):
2) Die ANZAHL möglicher Eindringlinge in deinen Account wird von mehreren hundert Millionen auf EINS reduziert. Ein einziger Angreifer.
Und diesen einen kennst Du oder zumindest weißt Du, WANN er dein Smartphone erlangt hat (bei einem Überfall in der UBahn (das wünsch ich niemandem) oder ein kleiner Frechdachs am Arbeitsplatz, whatever)…
Was jetzt noch fehlt, ist, ähnlich wie für Kreditkarten, eine 24/7 Hotline wo man seinen „Schlüssel“ direkt Sperren kann, um Missbrauch zu unterbinden/verhindern falls dieses Szenario tatsächlich eintritt.
Banken mit ihren SMS TANs arbeiten ja auch so – auch hier wird der Besitz vorausgesetzt – wer dein Smartphone hat, kann einen TAN abrufen.
Ich denke, das Bewusstsein, dass das Handy mehr ist als ein „Telefon mit dem man auch spielen kann“ wird immer mehr gefördert und es werden sich immer mehr Menschen dessen bewusst. Seine Kreditkarte lässt auch niemand offen liegen und geht weg.
Sicherer ist das allemal – so wie sich es liest will Google nur Smartphones unterstützen die einen Fingerprint-Sensor haben und wird vermutlich diesen auch eingschaltet voraussetzen… Ein Dieb müsste also das Smartphone klauen, raten welchen Finger ihr zum entsperren verwendet und diesen abhacken.
Ich glaube nicht, dass eine solche Aktion unerkannt bleibt.
Natürlich ist es sicherer nach der Authentifizierung durch das Smartphone auch noch auf den Besitz eines YubiKeys angewiesen zu sein, aber Google versucht hier Ersatz in einem Gerät zu finden, welches jeder User sowieso irgendwann hat.
Ich hab mein pixel über ein one plus two eingerichtet. Kollegin ein nexus 4 auf ein nexus 5 über tragen. Keines der devices hat einen fingerprintsensor bzw. Beim OnePlus two nutzt ich den nicht. Ein Fingerabdruck dient für mich nicht zur Authentifizierung.