Was ist die kürzeste Antwort?
Kontosicherheit beruht auf einem Gedanken: Der Angreifer muss alles bekommen, was du zum Anmelden brauchst. Deine Aufgabe ist es, mindestens eine dieser Sachen so zu gestalten, dass man sie nicht aus der Ferne stehlen kann. Deshalb lautet die Rangfolge der Qualität des zweiten Faktors: Hardware-Schlüssel oder Passkey > App mit Einmalcodes > SMS. SMS ist das Schwächste von dem, was üblicherweise angeboten wird.
Diese Lektion handelt von Konten (Börse, E-Mail, Cloud), nicht von einer eigenständigen Wallet. Bei einer nicht-verwahrten (non-custodial) Wallet entscheidet die Seed-Phrase, und die erklären wir gesondert im Glossar unter dem Stichwort seed-phrase.
Was ist eigentlich 2FA und warum kommt es auf den Typ an?
2FA (Zwei-Faktor-Authentifizierung) bedeutet, dass du dich mit zwei unabhängigen Dingen anmeldest: üblicherweise mit etwas, das du kennst (Passwort), und etwas, das du hast (Telefon, Schlüssel). Der Sinn ist, dass ein gestohlenes Passwort allein nicht ausreicht.
Der Haken ist, dass nicht jeder "zweite Faktor" gleich stark ist. Der Unterschied ist konkret:
| Typ 2FA | Was der Angreifer braucht | Schwachstelle |
|---|---|---|
| SMS-Code | Deine Telefonnummer umleiten oder den Code abfangen | Anfällig für SIM-Swap und Phishing |
| App mit Codes (TOTP) | Dir den sechsstelligen Code in Echtzeit entlocken | Der Code lässt sich auf einer gefälschten Seite abgreifen |
| Hardware-Schlüssel / Passkey | Den Schlüssel physisch besitzen und auf der echten Domain sein | Praktisch resistent gegen Fern-Phishing |
Das entscheidende Detail bei Hardware-Schlüssel und Passkey: Die Prüfung ist an die Adresse der Website gebunden. Wenn dich eine Phishing-Seite nachahmt, verweigert der Schlüssel die Bestätigung, weil die Domain nicht übereinstimmt. Damit fällt der Angriff weg, der bei SMS- und TOTP-Codes funktioniert.
Wie sieht Phishing in der Praxis aus, an einem Szenario?
Stell dir eine E-Mail vor: "Wir haben eine ungewöhnliche Anmeldung festgestellt, bestätige dein Konto innerhalb von 24 Stunden." Der Link führt auf eine Seite, die aussieht wie deine Börse. Du gibst das Passwort ein. Die Seite sagt dann "gib den 2FA-Code ein". Du gibst auch den sechsstelligen Code aus der App ein.
Was gerade passiert ist: Der Angreifer sitzt in der Mitte. Dein Passwort und den Code leitet er sofort an die echte Seite weiter und meldet sich an deiner Stelle an. Der TOTP-Code gilt nur kurz, aber diese paar Dutzend Sekunden reichen. Deshalb sagen wir, dass eine App mit Codes besser ist als SMS, aber Phishing an sich nicht stoppt.
Zwei Gewohnheiten, die dieses Szenario zerschlagen:
- Niemals auf einen Link aus einer Aufforderung klicken und sich nur über das eigene Lesezeichen oder eine von Hand eingegebene Adresse anmelden.
- Einen Hardware-Schlüssel oder Passkey verwenden, denn der funktioniert auf einer gefälschten Domain nicht, selbst wenn du auf den Link geklickt hättest.
Was ist ein SIM-Swap und warum bricht er den SMS-Schutz?
SIM-Swap ist ein Betrug, bei dem der Angreifer den Mobilfunkanbieter überzeugt (oder besticht), deine Telefonnummer auf seine SIM-Karte zu übertragen. Ab diesem Moment gehen deine SMS-Codes an ihn, nicht an dich. Dein Telefon verliert dabei meist das Signal, das ist oft das erste sichtbare Anzeichen.
Sobald er die Nummer hat, kann er "Passwort vergessen" bei E-Mail und Konten auslösen, bei denen der Reset per SMS läuft, und nach und nach alles übernehmen, was an diese Nummer gebunden ist. Deshalb ist es gefährlich, die Telefonnummer als Wiederherstellungsmethode für wichtige Konten zu haben.
Verteidigung, die hier wirklich etwas ändert:
- SMS als 2FA und als Wiederherstellungsmethode entfernen, wo es geht.
- Beim Anbieter einen Schutz der Nummer gegen Übertragung einrichten (PIN / Passwort zum Konto, falls angeboten).
- Das sensibelste Konto, also deine Haupt-E-Mail, mit dem stärksten Faktor schützen, denn über sie wird fast alles andere zurückgesetzt.
Welches Konto zuerst schützen?
Nicht die Börse. Die E-Mail. Deine Haupt-E-Mail ist das Rückgrat deiner gesamten Online-Identität: Über sie läuft die Passwortwiederherstellung der meisten anderen Dienste. Wenn der Angreifer die E-Mail beherrscht, beherrscht er die ganze Kette. Die Prioritätenreihenfolge in der Praxis:
- Haupt-E-Mail (stärkstes 2FA, einzigartiges Passwort).
- Konten bei Börsen und Finanzdiensten.
- Cloud / Passwortmanager, falls du darin sensible Dinge hältst.
Was zuerst tun, wenn etwas schiefgeht?
Das Ziel der ersten Minuten ist einfach: dem Angreifer den Zugriff entziehen. Nicht in Panik Guthaben verschieben, denn eine überstürzte Überweisung an die falsche Adresse ist ein weiterer, eigenständiger Fehler.
Eine sinnvolle Reihenfolge der Schritte:
- Passwort ändern beim betroffenen Konto und vor allem bei der E-Mail, an die es gebunden ist.
- Alle Geräte / aktiven Sitzungen abmelden, wenn der Dienst das kann. Sonst bleibt der Angreifer angemeldet, auch wenn du das Passwort änderst.
- Fremde 2FA und API-Schlüssel prüfen und entfernen, die der Angreifer hinzugefügt haben könnte, um sich den Zugriff zu erhalten.
- Hast du das Signal verloren? Den Anbieter von einem anderen Telefon anrufen und den möglichen SIM-Swap klären, deine Nummer wiederherstellen.
- E-Mail-Regeln prüfen (Weiterleitung, Filter). Angreifer richten oft eine stille Weiterleitung der Post ein, um Wiederherstellungscodes auch nach deiner Passwortänderung zu sehen.
- Den Support des Dienstes kontaktieren auf offiziellem Weg von einer verifizierten Adresse, nicht über einen Link, den dir jemand geschickt hat.
Ein Hinweis auf die Grenze, die charliedesk niemals überschreitet: Es gibt keine "Support-Hotline", die von dir die Seed-Phrase, Codes oder Fernzugriff auf den Bildschirm verlangt. Wer danach fragt, ist ein Angriff. Echter Support braucht diese Dinge niemals.
Was solltest du jetzt können?
Nach dieser Lektion solltest du:
- die drei Typen von 2FA unterscheiden und wissen, warum SMS das Schwächste ist,
- ein Phishing- und SIM-Swap-Szenario an einem konkreten Ablauf erkennen,
- wissen, dass die Haupt-E-Mail Konto Nummer eins ist,
- die Reihenfolge der ersten Schritte im Kopf haben, wenn etwas schiefgeht, beginnend mit dem Entzug des Zugriffs, nicht mit Verschiebungen.
Was bleibt unsicher?
Sicherheit ist kein Zustand, sondern ein Wettlauf. Konkrete Angriffstechniken ändern sich, und was heute "gut genug" ist, muss nicht für immer gelten. Wir haben keine belastbare Zahl dazu, wie oft welche Methode versagt, und erfinden bewusst keine. Es gilt auch, dass keine Kombination von Maßnahmen 100 % Sicherheit gibt; das Ziel ist, den Angriff so teuer zu machen, dass er sich nicht lohnt. Und Vorsicht vor dem Verwechseln zweier Welten: Diese Lektion handelt von Konten, wo dir Support und Wiederherstellung helfen können. Bei einer nicht-verwahrten Wallet existiert nichts dergleichen, dort entscheidet die Seed-Phrase, die wir im Glossar behandeln.