Googles 2-step verification einfach erklärt
von caschy | 27 Kommentare
Heute morgen beschrieb ich schon einmal, wie ihr die doppelte Sicherheit von Google aktivieren könnt. Ich wollte diesen Beitrag nutzen, um ein paar Screenshots des Ganzen zu zeigen – vielleicht als kleine Hilfe für die, die bisher am Sicherheitsfeature von Google zweifeln oder bisher nicht wissen, was sie sich darunter vorstellen sollen. Fakt ist: nichts für ganz Faule: ihr benötigt in Zukunft für jeden Browser und für jedes Programm einen speziellen Code. Unterwegs Mail abfragen aber kein Telefon oder ausgedruckten Code dabei? Pech gehabt.
Ok, ihr habt also Bock auf die doppelte Sicherheit und habt, wie im ersten Beitrag beschrieben, den Vorgang zur 2-step verification angeschmissen. Ein Info-Bildschirm erzählt euch noch einmal, was in den folgenden Minuten passieren wird.
Weiter zur Auswahl des Telefons. Für Android, BlackBerry und iPhone gibt es eine App, die euch in Zukunft die Codes generieren kann. Andere Handys bekommen die Codes per SMS.
Danach geht es zum Backup – kann ja sein, dass euer Telefon wegkommt. Ihr bekommt ausdruckbare Codes und die Möglichkeit, eine weitere Telefonnummer als Backup anzugeben.
Danach seid ihr fertig – sofern ihr nur Google Mail via Web nutzt. Was aber, wenn ihr Anwendungen wie Outlook, Thunderbird und Co für den Mailabruf nutzt? Oder einen Feedleser? Oder Picasa? Oder sonstige Software, zu deren Benutzung die Google Zugangsdaten eingegeben werden müssen? Dann müsst ihr für jede Anwendung eine Berechtigung erstellen. Für jede. Auf jedem Rechner. Begebt euch auf diese Seite und legt für eure Programme Token an.
Bei der Einrichtung eines solchen Programms gebt ihr also in Zukunft nicht das Passwort eures Accounts an, sondern euren Benutzernamen von Google und den Token. Die namen der Token könnt ihr für die bessere Übersicht selbst benennen. Bei Nichtgebrauch könnt ihr so auch einfach Applikationen den Zugriff entziehen.
Ich selber haben zwar einen ganzen Schwung Geräte und Browser zum Testen, werde aber die doppelte Sicherheit auf jeden Fall nutzen – ihr auch? Kleiner Tipp übrigens: ihr könnt jederzeit zurück zur alten Abfrage mit einem Passwort…
Fragen? Anregungen? Rein damit in die Kommentare!
Wird geladen ...
Für Themen rund um Sicherheit bin ich immer zu haben. Werde es auf jeden Fall mal genauer anschauen und auch testen.
Da ich eh praktisch nur noch die Google Mail Oberfläche sowie mein Android Handy benutze sollte ich keine Probleme damit haben.
Spätestens bis Ende 2011 werden Banken, ebay, amazon … nachziehen. Wetten?
Hi Caschy,
du kannst einen Code mehrfach nutzen. Ich habe pro Rechner/Mobiltelefon/Gerät einen Code erzeugt. Der wird in alle jeweils laufenden Apps gespeichert.
So kann ich im Bedarfsfall ein komplettes Gerät von meinem Google Account trennen.
Viele Grüße
Rob
Also mir gefällt es… hat alles sehr gut geklappt… schöne neue Sicherheit 🙂
@Robert: Ja, auch noch ein guter Tipp!
Sehr unkompliziert erklärt und bisschen knapper gehalten als meine Variante, die ich in folge deines heute früh veröffentlichten Artikels auf meinem Blog geschrieben habe. Und die Screenshots sind dir auch um einiges besser gelungen. 😀
Beste Grüße
Malte
Ich würde ja eigentlich sagen ich bin zu faul, aber wenn man es ja jederzeit schnell wieder abschalten kann, werde ich es vielleicht doch mal testen…
Ich nutze die Zwei-Faktor-Authentifizierung jetzt bereits über eine Woche.
Ein absolutes Killer-Feature!
Klar, am Anfang dauert die Einrichtung ein paar Minuten, aber der Sicherheitsgewinn ist enorm und man schläft wieder eine Spur ruhiger.
Wie ist das denn mit dem Abschalten, angenommen ich möchte für zwei Wochen im Urlaub einen unkomplizierten Zugang haben und schalte es ab. Muss ich anschließend, wenn ich es wieder anschalte alle Geräte erneut einrichten?
Einiges ist doch noch etwas buggy:
1. Bei der Einrichtung habe ich korrekt eine SMS bekommen – beim Einloggen geht’s aber nicht. Ich musste auf den automatischen Anruf umschalten – der ging dann wieder.
2. Die Tokens sollten nach Google nur einmal pro Programm eingegeben und nicht gespeichert werden müssen. Im Thunderbird musste ich den Code aber viermal eingeben (offenbar weil alles einzeln abgeglichen wird) und doch auch speichern.
Irgendwie hat das die Sicherheit also m. E. kein Stück verbessert außer wenn man ALLE Google-Dienste ausschließlich aus dem Browser heraus nutzt.
Ich überlege daher, es wieder abzuschalten, da ich diese Sicherheit für Mails, Kontakte und Kalender nicht benötige. Bei PayPal nutze ich es schon lange und beim Homebanking fände ich es nicht schlecht – auch wenn man da Mobile TANs nutzen kann. Aber sonst…
Wenn die SMS-Sache weiter hängt, isses leider für mich nicht Bürotauglich und ich müsste es deaktivieren… Da hat Google sich echt wat eingefahren…
Android App klappt perfekt, danke für den Hinweis. 🙂
Die iPhone App kann aber nicht offline codes generieren oder? 😀
Klappt mit der Android App scheinbar.
Die Idee finde ich klasse und ich werde es wohl auch nutzen, aber letztendlich machen die Tokens/Passwörter das ganze Konzept doch wieder zu nichte da sie auch mit einem beliebig anderen Programm verwendet werden könnten.
Von daher werde ich es wohl ausschließlich für meinen Hauptaccount verwenden, an dessen Sicherheit mir viel liegt, und bei diesem auch auf jegliche Drittanbiter Software und die dafür nötigen Tokens verzichten.
Benutze das Feature seit 1 Woche mit meinem Blackberry Torch … der Token Generator klappt suuuper … klar das Set-up inkl. aller Gmail-Zugriffe (Google Talk, Latitude, etc.) dauert ca. 15min … aber ich wuerde mich jetzt (wenn ich sie denn verwenden wuerde) bei einem oeffentlich zugaenglichen Computer (Hotel, Internet Café, etc.) sicherer fuehlen was z.B. das Thema Keylogger angeht
@paradonym
SMS scheint nun zu funktionieren, evtl. war Gateway gestern überlastet
Nutze es schon ein Weilchen und von absolut begeistert. Viel weniger Aufwand als ich gedacht hatte.
Fühlt sich sehr viel sicherer an, wenn nicht alle Mails etc an einen Passwort hängen!
Kann ich jedem nur sehr empfehlen. Zumindest die Android App funktioniert super.
Blöd dass das Cookie-basiert läuft – da ich meine Cookies generell mind. einmal am Tag lösche & mehrere Browser benutze muss ich den Code jeden Tag neu eingeben – auf mehreren Rechnern (Büro, privat). SMS kommen auch nicht, immerhin gibts ja ‚TAN’s“ zum ausdrucken. Möchte nicht wissen was Google da an SMS-Aufkommen generiert…
Dennoch sollte man den Login besser an der MAC-Adresse o.Ä. festmachen, nicht am Cookie.
Kann mir einer sagen, wie hoch der zusätzliche Nutzen ist gegenüber einem Google-Passwort mit 12 Stellen (große und kleine Buchstaben, Zahlen, Sonderzeichen), das nur in meinem Kopf gespeichert ist?
Wurde oben schon angesprochen: Keylogger…