Apple: Der Wiederherstellungsschlüssel ist die Lebensversicherung des Accounts

Apples Sicherheitsmechanismen befinden sich derzeit wieder einmal in der Kritik. Recht spät führte man die Möglichkeit ein, den eigenen Account per Zwei-Faktor-Authentifizierung zu schützen. Hierbei ist dann nicht nur der Nutzername und ein Passwort zum Einloggen nötig, sondern auch eine zweite Instanz, die in Form eines Codes daherkommt.

Apple

Dieser Code kann auf ein von euch definiertes, vertrautes Gerät gepusht werden, alternativ klassisch per SMS ankommen. Wie beispielsweise Google bietet auch Apple bei der Einrichtung der Zwei-Faktor-Authentifizierung den Heiligen Gral an: den Superschlüssel. Diesen sollte man unbedingt aufbewahren. Digital und analog. Machen, unbedingt.

Seid nicht so unvorsichtig, dieses Schlüssel zu übergehen – vielleicht mit dem Gedanken „Den brauche ich nicht“. Ihr werdet ihn brauchen – irgendwann. Die Zwei-Faktor-Authentifizierung ist ein wichtiges Sicherheits-Feature in der heutigen Zeit, gehen wir davon aus, dass Angreifer nicht auf den Server eines Anbieters Zugriff haben, dann versuchen sie dieses mit Pech über die Accounts der Nutzer. Accounts mit dem Schutz „Nutzernamen und Passwörter“ sind um Weiten angreifbarer als die Zwei-Faktor-Authentifizierung, bei der ein gesendeter Code als zusätzliche Instanz absichert.

Nun zur Sache, die Owen Williams passierte. Ich kürze das Ganze mal ab: jeder, der eure Apple ID kennt, kann euch derzeit aussperren. Versuche ich in euren Google-Account zu kommen, dann wird mich Google langsamer machen, nach einer gewissen Anzahl der Fehleingaben erscheinen Captchas, die den mutmaßlichen, vielleicht sogar automatisierten Angreifer ausbremsen. Auch wird eine Kontosperrung nicht vorgenommen – zumindest konnte ich das trotz zahlreicher Captcha-Eingaben nicht bei mir nachvollziehen.

Der Account bleibt in Nutzerhand, selbst wenn Angreifer X Mal das Passwort ändert. Anders bei Apple. Bei aktivierter Zwei-Faktor-Authentifizierung wird dort nach circa 10 Fehleingaben das Konto gesperrt. Keine Captchas – sondern eine direkte Sperre. Diese Sperre betrifft dann auch den Nutzer, da der Zugriff auf Dienste, die über iCloud laufen, nicht mehr möglich ist.

Hier kommt nun das Entscheidende: der Nutzer kann – und dies ist halt ein Sicherheitsaspekt – sein Konto nur noch aktivieren, sofern er Zugriff auf seinen Sicherheitscode hat, den er hoffentlich bei der Einrichtung der Zwei-Faktor-Authentifizierung irgendwo sicher abgelegt hat. Selbst Zweit-Instanzen wie der gepushte Code auf autorisierte Geräte oder die klassische SMS helfen in diesem Moment nicht, zur Freischaltung muss der Code zwingend eingegeben werden.

Was, wenn der Code nicht mehr vorliegt? Owen Williams berichtet von zwei Anrufen, die er mit Apple führte. Kurzum: man könne ihm nicht helfen, er möge eine neue ID anlegen. Heißt: Unter Umständen Mail-Adresse futsch, Apps, Musik und Filme – nicht zu vergessen: die Zeit, die für etwaige Neueinrichtung draufgeht. Für Apple spricht, dass ein Sicherheitssystem funktioniert, wie beschrieben. Ist der Key weg, hat man Pech gehabt.

Meine Meinung dazu: Das Problem ist, dass jeder Vollhorst den Account einer anderen Person sperren kann, die die  Zwei-Faktor-Authentifizierung nutzt. Hier hätten Captchas greifen dürfen, ein Account nicht gleich gesperrt werden müssen, beziehungsweise hätte die Konstellation Passwort und Trusted Device ausreichen dürfen, um den rechtmäßigen Besitzer wieder mit Zugriff auf einen Account zu segnen.

Was sagt ihr dazu?

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Hallo, ich bin Carsten! Ich bin gelernter IT-Systemelektroniker und habe das Blog 2005 gegründet. Seit 2008 ist es Beruf(ung). Baujahr 1977, Dortmunder im Norden, BVB-Fan und Vater eines Sohnes. Auch zu finden bei Twitter, Facebook, Instagram und YouTube. PayPal-Kaffeespende. Mail: carsten@caschys.blog

Neueste Beiträge

Mit dem Absenden eines Kommentars stimmst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.

48 Kommentare

  1. @Ralf: Wenn du nicht fähig bist einen Wiederherstellungsschlüssel sicher zu hinterlegen, solltest du es vielleicht ganz mit dem Internet lassen 😉

  2. @Kalle Aber soweit ich weiß, ist die Apple ID doch eine ganz normale E-Mail Adresse oder? Und es werden sicherlich sehr sehr viele Menschen diese E-Mail Adresse neben der Funktion als Apple ID auch zur normalen Kommunikation mit anderen benutzen. Z. B. Mit email, imessage, facetime usw. Also an eine Apple ID zu gelangen, halte ich jetzt nicht für unmöglich.

    Und es kann ja durchaus auch jemand aus dem privaten Umfeld sein, dem deine Apple ID bekannt ist.

  3. Was offenbar nicht verstanden worden ist: Die Apple-ID ist Teil des Sicherheitskonzepts und ist somit möglichst geheim zu halten. Wer blöd überall seine einzige Mail-Adresse eingibt, braucht sich nicht zu wundern, wenn es zu Datenmissbrauch kommt.

  4. Also ich muss sagen, dass die Infos doch sehr missverständlich formuliert sind. Egal wen ich zu dem Thema befrage, hat komischer Weise jeder etwas anderes verstanden.

    Apple hat eine FAQ Seite ( http://support.apple.com/de-de/HT5570 ), auf der ebenfalls eine Formulierung verwendet wird, die ich einmal aufzeigen möchte … „Apple kann nach der Aktivierung der Zwei-Faktor-Authentifizierung Ihr Kennwort nicht mehr zurücksetzen.“

    Das heißt dann aber auch, dass wenn ich die Zwei-Faktor-Authentifizierung NICHT aktiviert habe, kann mir der Apple Support SEHR WOHL weiterhelfen, wenn mein Account gesperrt ist.

    Ich bin mir auf jeden Fall sehr unsicher, welche Vor- und vor allem Nachteile entstehen können, wenn ich die zusätzliche Authentifizierung aktiviere.

  5. Vorteil ist klar die erhöhte Sicherheit, allerdings musst du eben auch den Wiederherstellungsschlüssel sicher aufbewahren. Wenn du dazu nicht fähig bist, solltest du lieber ohne die Zwei-Faktor-Authentifizierung auskommen.

    Wie ich schonmal anmerkte: Sicherheit vs. Benutzerfreundlichkeit

    Mehr Sicherheit, weniger Benutzerfreundlichkeit oder Mehr Benutzerfreundlichkeit, weniger Sicherheit. Beides geht in der Regel nicht.

  6. @r0m123 Das ist Satire oder? Eine ganz normale E-Mail Adresse die u. U. mehrfach im Apple Universum benutzt wird, ist Teil des Sicherheitskonzepts? Sorry. Dieses Konzept taugt genau 0. Apple selbst weißt mich beim erstellen einer Apple ID nirgends darauf hin, daß ich die E-Mail super duper geheim zu halten habe, da diese Teil ihres hochkomplexen Sicherheitskonzepts ist.

    http://store.apple.com/de/help/your_account

    @Peter Genau diese Argumentation verleitet mich immer wieder von Apple Jüngern zu sprechen. Dieses Konzept mit dem sofortigen sperren des Kontos ist doch absoluter Mist. Es kann nicht sein, dass jemand, der nur meine Apple ID E-Mail zu kennen braucht, einfach mein Konto sperren kann. Und das womöglich für immer. Da gibt es bei anderen Anbietern viel bessere Lösungen. Und anstatt Apple zu kritisieren und eine bessere Lösung zu fordern, wird alles schön geredet und der User als selbst schuld hingestellt.

  7. @Savantorian: ich auch 😀

  8. Bin gespannt wann der erste bot Millionen von Accounts sperrt. Mail-listen gibt es ja genügend im Netz…

Es werden alle Kommentare moderiert. Lies auch bitte unsere Kommentarregeln:

Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen. Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte - gerne auch mit Humor.

Du willst nichts verpassen?

Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren.