Passwort und Zwei-Faktor-Authentifizierung

Modul 8: Sicher und sorgenfrei · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, was ein starkes Passwort für Ihr Postfach ausmacht, was Sie nach einer Änderung auf Ihren Geräten tun müssen, wie ein Code aus einer Authenticator-App entsteht und was die Zwei-Faktor-Authentifizierung in der Webmail schützt und was nicht.

Kernbegriffe: Postfachpasswort, Passwort-Manager, Zwei-Faktor-Authentifizierung, TOTP, gemeinsames Geheimnis, QR-Code, Wiederherstellungscode, Uhrabweichung, IMAP und SMTP ohne zweiten Schritt

Warum Ihr Postfach das wichtigste Konto ist

Ihr Postfach ist der Schlüsselbund Ihres Online-Lebens. Fast jeder Dienst schickt einen Link zum Zurücksetzen Ihres Passworts an Ihre E-Mail-Adresse. Wer Ihr Postfach hat, kann also auch Ihren Onlineshop, Ihre Buchhaltung und Ihre sozialen Medien übernehmen. Außerdem kann er in Ihrem Namen E-Mails verschicken, an Kunden, die Ihnen vertrauen. Ein gestohlenes Postfach wird deshalb oft für Rechnungsbetrug oder zum Versenden von Spam missbraucht. Letzteres bringt Ihre ganze Domain in Schwierigkeiten: Andere Server lehnen dann Ihre E-Mails ab.

Zwei Dinge halten einen Eindringling fern: ein gutes Passwort und ein zweiter Schritt bei der Anmeldung.

Ein starkes Passwort ist vor allem lang und einzigartig

Ihr Postfachpasswort gehört zu genau einer E-Mail-Adresse. Es ist nicht dasselbe wie das Passwort Ihres Kundenkontos oder des Verwaltungspanels Ihres Pakets (Lektion 1.3).

Was macht ein Passwort stark? Nicht ein Ausrufezeichen hinter einem Wort, sondern Länge und Zufall. Angreifer probieren geleakte Passwörter und Listen mit häufig verwendeten Wörtern und Mustern aus. "Sommer2026!" steht in so einer Liste, eine Folge von vier zufälligen Wörtern oder zwanzig zufälligen Zeichen dagegen nicht. Genauso wichtig ist, dass das Passwort einzigartig ist. Wird ein Onlineshop gehackt, bei dem Sie dasselbe Passwort verwendet haben, probieren Kriminelle es auch bei Ihrem Postfach aus.

Die praktische Lösung ist ein Passwort-Manager: ein Programm, das für jeden Dienst ein langes, zufälliges Passwort erstellt und sich merkt. Sie selbst merken sich dann nur noch ein starkes Master-Passwort.

Nach der Änderung: alle Geräte aktualisieren

Sie ändern das Passwort in der Webmail unter Einstellungen > Passwort oder im Verwaltungspanel Ihres Pakets, wenn Sie das alte nicht mehr wissen. Ab diesem Moment gilt das neue Passwort überall: in der Webmail, auf Ihrem Telefon und in Ihrem E-Mail-Programm.

Genau hier geht oft etwas schief. Julia Schneider ändert am Montag das Passwort von julia@example.com. Ihren Laptop aktualisiert sie sofort. Ihr altes Tablet in der Küche vergisst sie. Dieses Tablet meldet sich weiterhin alle paar Minuten mit dem alten Passwort an. Nach einigen fehlgeschlagenen Versuchen erkennt die Firewall des Servers eine Verbindung, die ständig ein falsches Passwort probiert, und sperrt die IP-Adresse. Weil Tablet und Laptop zu Hause dieselbe IP-Adresse teilen, kommt Julia plötzlich auch auf ihrem Laptop nicht mehr an ihre E-Mails und manchmal auch nicht mehr an ihre Website.

Aktualisieren Sie deshalb nach einer Änderung sofort alle Geräte: Telefon, Tablet, E-Mail-Programm auf Ihrem Computer und gegebenenfalls einen Drucker oder Scanner, der E-Mails versendet.

Zwei-Faktor-Authentifizierung: etwas, das Sie wissen, und etwas, das Sie haben

Mit der Zwei-Faktor-Authentifizierung (in der Webmail heißt sie Zwei-Faktor-Authentifizierung) brauchen Sie bei der Anmeldung zwei Dinge: Ihr Passwort (etwas, das Sie wissen) und einen Code von Ihrem Telefon (etwas, das Sie haben). Wer Ihr Passwort durch Phishing oder ein Datenleck erbeutet, kommt damit allein noch nicht hinein.

Der Code stammt aus einer Authenticator-App, etwa der App Ihres Passwort-Managers oder einer eigenen App für solche Codes. Das Verfahren heißt TOTP, time-based one-time password, und ist in RFC 6238 beschrieben. So funktioniert es:

1. Beim Einschalten erzeugt die Webmail ein gemeinsames Geheimnis: eine zufällige Zeichenfolge. Sie sehen es als geheimen Schlüssel und als QR-Code.
2. Sie scannen den QR-Code mit der App. Ab jetzt kennen der Server und Ihr Telefon beide dasselbe Geheimnis.
3. Alle 30 Sekunden berechnen beide aus dem Geheimnis und der aktuellen Uhrzeit einen sechsstelligen Code.
4. Bei der Anmeldung vergleicht der Server Ihren Code mit seinem eigenen Ergebnis.

Daraus folgen zwei Dinge. Die App braucht kein Internet: Sie rechnet nur mit dem Geheimnis und der Uhr. Und die Uhr muss stimmen. Geht Ihr Telefon ein paar Minuten vor oder nach, rechnet es mit einem anderen Zeitfenster und der Code passt nicht. Stellen Sie die Uhrzeit auf Ihrem Telefon auf automatisch.

Eine dritte Folge: Der QR-Code ist das Geheimnis. Wer ein Foto oder einen Screenshot davon hat, kann dieselben Codes erzeugen. Teilen Sie ihn also nie und speichern Sie ihn nicht als Bild.

Die Abbildung zeigt den Bildschirm, in dem Sie die Zwei-Faktor-Authentifizierung einschalten, mit dem geheimen Schlüssel, den Wiederherstellungscodes und dem QR-Code.

Wiederherstellungscodes und ein verlorenes Telefon

Beim Einschalten erhalten Sie außerdem vier Wiederherstellungscodes. Jeder funktioniert genau einmal, anstelle eines Codes aus der App. Sie sind Ihr Ersatzschlüssel, wenn Ihr Telefon kaputt, gestohlen oder ersetzt ist. Bewahren Sie sie an einem anderen Ort als Ihr Telefon auf: in Ihrem Passwort-Manager oder auf Papier in einer Schublade.

Wenn Sie einen Wiederherstellungscode verwenden, richten Sie die Zwei-Faktor-Authentifizierung sofort mit Ihrem neuen Telefon neu ein. Dann erhalten Sie auch neue Wiederherstellungscodes. Haben Sie keine Wiederherstellungscodes mehr, kann Ihr E-Mail-Anbieter den zweiten Schritt für Ihr Postfach abschalten, nachdem er Ihre Identität geprüft hat.

Auf Ihrem eigenen Computer können Sie bei der Anmeldung festlegen, dass die Webmail 30 Tage lang nicht erneut nach einem Code fragt. Auf einem gemeinsam genutzten Computer tun Sie das nie.

Was die Zwei-Faktor-Authentifizierung nicht schützt

Das ist die wichtigste Falle, und viele Menschen kennen sie nicht. Die Zwei-Faktor-Authentifizierung in der Webmail gilt nur für die Webmail. Ihr E-Mail-Programm und die Mail-App auf Ihrem Telefon melden sich über IMAP (Abrufen) und SMTP (Versenden) an, und diese fragen nur nach Ihrem Passwort. Ein Angreifer mit Ihrem Passwort kann also über ein E-Mail-Programm weiterhin Ihre E-Mails lesen und in Ihrem Namen versenden.

Deshalb ist die Zwei-Faktor-Authentifizierung eine Ergänzung, kein Ersatz. Ihr Passwort muss weiterhin lang und einzigartig sein. Die Zwei-Faktor-Authentifizierung für Ihr Kundenkonto richten Sie separat ein, denn das ist ein anderes Konto mit eigener Absicherung.

Bei großen Diensten wie Gmail oder Outlook.com funktioniert es etwas anders: Dort gilt der zweite Schritt oft für das gesamte Konto, und ein E-Mail-Programm braucht ein eigenes App-Passwort oder ein eigenes Anmeldeverfahren. Die Idee ist dieselbe: Passwort plus etwas, das Sie haben.

In der Praxis: So funktioniert es in der Webmail

Das Passwort ändern Sie unter Einstellungen > Passwort, die Zwei-Faktor-Authentifizierung schalten Sie unter Einstellungen > Zwei-Faktor-Authentifizierung ein. Dort setzen Sie das Häkchen bei Aktivieren, lassen die Webmail die Felder ausfüllen, scannen den QR-Code, prüfen einen Code und speichern. Die Schritte finden Sie im Roundcube-Handbuch (10.3, 10.4 und 10.5). Andere Webmail-Programme haben vergleichbare Einstellungen, oft unter Sicherheit.

Zusammenfassung

• Ihr Postfach ist der Schlüssel zu Ihren anderen Konten: Schützen Sie es mit einem langen, einzigartigen Passwort aus einem Passwort-Manager.
• Nach einer Passwortänderung aktualisieren Sie alle Geräte; ein Gerät mit dem alten Passwort kann dazu führen, dass Ihre IP-Adresse gesperrt wird.
• TOTP erzeugt alle 30 Sekunden einen Code aus einem gemeinsamen Geheimnis und der Uhrzeit; die Uhr Ihres Telefons muss stimmen, und der QR-Code ist das Geheimnis.
• Bewahren Sie die vier Wiederherstellungscodes außerhalb Ihres Telefons auf; jeder Code funktioniert einmal.
• Die Zwei-Faktor-Authentifizierung in der Webmail schützt nur die Webmail, nicht IMAP und SMTP in Ihrem E-Mail-Programm.

Quiz

Aufgabe

Aufgabe A8.1: Mit einer Authenticator-App üben. Klicken Sie auf die Schaltfläche für ein Übungsgeheimnis. Sie erhalten einen QR-Code eines Übungskontos. Scannen Sie ihn mit einer Authenticator-App Ihrer Wahl (oder tippen Sie den angezeigten Schlüssel ab) und geben Sie den sechsstelligen Code ein, den die App anzeigt. Das Programm rechnet mit demselben Übungsgeheimnis und der Uhrzeit nach, ob Ihr Code stimmt; ein Code aus dem vorherigen oder nächsten Zeitfenster zählt ebenfalls als richtig, sodass eine kleine Uhrabweichung kein Problem ist. Grün: Der Code stimmt. Rot: Der Code stimmt nicht; prüfen Sie dann die Uhr Ihres Telefons und ob Sie die richtige Zeile in der App verwenden. Das Übungsgeheimnis gehört nicht zu Ihrem Postfach, hat keinen Wert und verschwindet innerhalb von 24 Stunden. Entfernen Sie das Übungskonto danach aus Ihrer App.

Weiterführende Informationen

Wo Schritte in der Webmail beschrieben sind, gelten sie für die Webmail von WebOké; in anderen Webmail-Programmen funktioniert es ähnlich.

• Roundcube Webmail 10.3: Zwei-Faktor-Authentifizierung aktivieren
• Roundcube Webmail 10.4: Anmelden mit Zwei-Faktor-Authentifizierung
• Roundcube Webmail 10.5: Das Passwort Ihres Postfachs ändern
• Passwort oder Limits einer E-Mail-Adresse ändern
• Passwortmanager und Passkeys: So gestalten Sie Ihre Anmeldung sicher
• Kostenloser Kurs Sicher online für Unternehmer 2.1: Was ein starkes Passwort wirklich ausmacht
• Kostenloser Kurs Sicher online für Unternehmer 2.3: Zwei-Faktor-Authentifizierung: Codes, Apps und SMS
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (Englisch): https://www.rfc-editor.org/rfc/rfc6238