WEBVTT 1 00:00:04.500 --> 00:00:08.645 Bei uns heißt es seit zwei Jahren, der zweite Faktor kommt bald. 2 00:00:08.645 --> 00:00:11.365 Und jedes Mal kippt es, weil alle stöhnen. 3 00:00:11.615 --> 00:00:19.045 Genau darum geht es heute: Zwei-Faktor-Authentifizierung einführen, ohne Murren und ohne dass am Montag die halbe Firma ausgesperrt ist. 4 00:00:19.295 --> 00:00:22.130 Gemeint ist eine zweite Bestätigung neben dem Kennwort. 5 00:00:22.130 --> 00:00:26.925 Meist ist das eine App auf dem Telefon, manchmal ein kleiner Schlüssel für den Schlüsselbund. 6 00:00:27.175 --> 00:00:29.289 Lohnt sich der Ärger überhaupt? 7 00:00:29.289 --> 00:00:31.608 Unsere Kennwörter sind lang genug. 8 00:00:31.858 --> 00:00:34.800 Ein langes Kennwort hilft nicht, wenn es gestohlen wird. 9 00:00:34.800 --> 00:00:42.679 Eine Studie von Microsoft aus zweitausenddreiundzwanzig zeigt: Mit zweitem Faktor sinkt das Risiko einer Kontoübernahme um gut neunundneunzig Prozent. 10 00:00:42.929 --> 00:00:48.937 Und selbst bei Konten, deren Kennwort schon in fremde Hände geraten war, lag der Wert noch bei über achtundneunzig Prozent. 11 00:00:49.187 --> 00:00:50.712 Und wer verlangt das von mir? 12 00:00:50.712 --> 00:00:52.448 Oder ist das nur eine Empfehlung? 13 00:00:52.698 --> 00:01:00.138 Microsoft verlangt den zweiten Faktor schon für die eigenen Verwaltungsportale, schrittweise seit Oktober zweitausendvierundzwanzig. 14 00:01:00.138 --> 00:01:07.070 Beim Verwaltungsportal von Microsoft 365 folgte das ab Februar zweitausendfünfundzwanzig, und abwählen lässt es sich nicht. 15 00:01:07.320 --> 00:01:09.603 Das betrifft dann ja nur die IT. 16 00:01:09.603 --> 00:01:11.244 Und der Rest der Firma? 17 00:01:11.494 --> 00:01:18.719 Für alle Konten rät das Bundesamt für Sicherheit in der Informationstechnik: zweiter Faktor überall, wo er angeboten wird. 18 00:01:18.719 --> 00:01:21.028 Und abschalten soll man ihn nie wieder. 19 00:01:21.278 --> 00:01:22.917 Und was nehme ich aus dieser Folge mit? 20 00:01:23.167 --> 00:01:30.520 Drei typische Fälle: der Stichtag per Rundmail, die Ausnahmen für Chef und Sammelkonto und die Bestätigung, die keiner angefordert hat. 21 00:01:30.520 --> 00:01:33.516 Am Ende stehen drei Schritte für Ihren Einführungsplan. 22 00:01:34.116 --> 00:01:36.830 Fangen wir mit dem an, was ich am liebsten machen würde. 23 00:01:36.830 --> 00:01:39.979 Freitag eine Rundmail, ab Montag gilt der zweite Faktor für alle. 24 00:01:40.229 --> 00:01:46.834 Ein typischer Fall: Eine Firma mit fünfzig Leuten schaltet an einem Freitag die Sicherheits-Grundeinstellungen von Microsoft ein. 25 00:01:46.834 --> 00:01:49.445 Die sind kostenlos, aber nur ganz an oder ganz aus. 26 00:01:49.695 --> 00:01:53.485 Eine Schonfrist gibt es dabei seit Juli zweitausendvierundzwanzig nicht mehr. 27 00:01:53.485 --> 00:01:56.437 Wer sich am Montag anmeldet, muss die App sofort einrichten. 28 00:01:56.687 --> 00:01:58.314 Und was passiert dann am Montag? 29 00:01:58.564 --> 00:02:03.567 Fünfzig Leute richten gleichzeitig eine App ein, und bei der IT steht das Telefon nicht still. 30 00:02:03.567 --> 00:02:08.517 Wer sein Handy zu Hause hat oder keins für die Firma nutzen will, kommt nicht an seine Mails. 31 00:02:08.767 --> 00:02:09.683 Also lieber gar nicht? 32 00:02:09.683 --> 00:02:10.974 Das kann es ja auch nicht sein. 33 00:02:11.224 --> 00:02:15.183 Doch, nur in der richtigen Reihenfolge: erst einsammeln, dann einschalten. 34 00:02:15.183 --> 00:02:20.265 Microsoft stellt sogar fertige Vorlagen bereit, mit denen Sie die Umstellung vorher ankündigen. 35 00:02:20.515 --> 00:02:21.607 Was heißt einsammeln? 36 00:02:21.607 --> 00:02:23.998 Ich gehe ja nicht mit einer Liste durchs Büro. 37 00:02:24.248 --> 00:02:29.770 Jeder richtet die App vorher selbst ein, auf einer Seite von Microsoft unter Sicherheitsinformationen. 38 00:02:29.770 --> 00:02:36.538 Mit Business Premium, einer größeren Microsoft-365-Lizenz, sieht die IT in einem Bericht, wer schon fertig ist und wer nicht. 39 00:02:36.788 --> 00:02:38.580 Und wer fängt an? 40 00:02:38.580 --> 00:02:39.318 Die IT? 41 00:02:39.568 --> 00:02:40.610 Die Geschäftsführung. 42 00:02:40.610 --> 00:02:46.115 Wer die meisten Rechte hat, braucht den besten Schutz, und es nimmt dem Murren im Haus den Wind aus den Segeln. 43 00:02:46.365 --> 00:02:47.996 Und danach alle auf einmal? 44 00:02:48.246 --> 00:02:49.545 Besser Gruppe für Gruppe. 45 00:02:49.545 --> 00:02:56.350 Dafür gibt es Zugriffsregeln, die erst einmal nur beobachten: Sie protokollieren, wen sie getroffen hätten, sperren aber niemanden. 46 00:02:56.600 --> 00:03:00.738 Microsoft zeigt die Wirkung wahlweise für einen Tag, eine Woche oder einen Monat. 47 00:03:00.738 --> 00:03:04.620 Erst wenn dort niemand mehr hängen bleibt, wird die Regel scharf geschaltet. 48 00:03:04.870 --> 00:03:06.070 Klingt nach Lizenzkosten. 49 00:03:06.070 --> 00:03:07.125 Was brauche ich dafür? 50 00:03:07.375 --> 00:03:10.508 Zugriffsregeln brauchen eine größere Microsoft-Lizenz. 51 00:03:10.508 --> 00:03:12.770 In Business Premium sind sie enthalten. 52 00:03:13.020 --> 00:03:14.845 Und ohne Business Premium? 53 00:03:15.095 --> 00:03:18.645 Dafür hat Microsoft die kostenlosen Grundeinstellungen vorgesehen. 54 00:03:18.645 --> 00:03:22.034 Die schützen auch, nur eben alle auf einmal und ohne Probelauf. 55 00:03:22.284 --> 00:03:26.975 Meine Leute fragen als Erstes: Muss ich das jetzt bei jeder Anmeldung machen? 56 00:03:27.225 --> 00:03:30.299 Nein, und das ist die wichtigste Botschaft gegen das Murren. 57 00:03:30.299 --> 00:03:37.114 In Office-Programmen fragt Microsoft ab Werk in der Regel erst wieder nach neunzig Tagen ohne Nutzung oder nach einem neuen Kennwort. 58 00:03:37.364 --> 00:03:39.407 Wäre öfter fragen nicht sicherer? 59 00:03:39.657 --> 00:03:41.699 Davor warnt Microsoft ausdrücklich. 60 00:03:41.699 --> 00:03:48.408 Wer ständig gefragt wird, gibt seine Anmeldedaten irgendwann ohne Nachdenken ein, auch auf einer gefälschten Seite. 61 00:03:48.658 --> 00:03:52.495 Und wenn sich bei der Umstellung die IT selbst aussperrt? 62 00:03:52.495 --> 00:03:54.178 Wer kommt dann noch rein? 63 00:03:54.428 --> 00:03:58.904 Dafür empfiehlt Microsoft mindestens zwei Notfallkonten, die keiner einzelnen Person gehören. 64 00:03:58.904 --> 00:04:03.476 Sie werden mit einem Sicherheitsschlüssel geschützt und an getrennten, sicheren Orten verwahrt. 65 00:04:03.726 --> 00:04:04.700 Warum ein Schlüssel? 66 00:04:04.700 --> 00:04:06.306 Die App hätte doch auch gereicht. 67 00:04:06.556 --> 00:04:11.764 Weil auch Notfallkonten seit Microsofts Pflicht für die Verwaltungsportale einen zweiten Faktor brauchen. 68 00:04:11.764 --> 00:04:14.939 Und der soll nicht am Handy eines einzelnen Mitarbeiters hängen. 69 00:04:15.189 --> 00:04:18.555 Das klingt nach einem Generalschlüssel für die ganze Firma. 70 00:04:18.555 --> 00:04:19.468 Wer darf da ran? 71 00:04:19.718 --> 00:04:22.232 Das legt die Geschäftsführung schriftlich fest. 72 00:04:22.232 --> 00:04:26.884 Und mindestens alle neunzig Tage wird geprüft, ob die Notfallkonten noch funktionieren. 73 00:04:27.484 --> 00:04:29.693 Zweiter Fall: die Ausnahmen. 74 00:04:29.693 --> 00:04:39.630 Bei uns hieß es sofort, der Chef braucht das nicht, das Lager hat keine Diensthandys, und ans Info-Postfach müssen drei Leute. 75 00:04:39.880 --> 00:04:44.012 Jede Ausnahme ist eine offene Tür, und Angreifer suchen genau diese eine. 76 00:04:44.012 --> 00:04:47.691 Fangen wir beim Chef an, denn der hat meist die weitesten Rechte. 77 00:04:47.941 --> 00:04:50.103 Er sagt, er hat für so etwas keine Zeit. 78 00:04:50.353 --> 00:04:56.931 Der IT-Grundschutz des Bundesamts sagt: Konten mit weitreichenden Rechten sollen mit mehreren Faktoren geschützt werden. 79 00:04:56.931 --> 00:05:01.645 Microsoft fragt Verwaltungskonten in den Grundeinstellungen sogar bei jeder Anmeldung. 80 00:05:01.895 --> 00:05:02.767 Und das Lager? 81 00:05:02.767 --> 00:05:07.561 Ich kann doch nicht verlangen, dass jemand sein privates Handy dafür hergibt. 82 00:05:07.811 --> 00:05:12.740 Ob Sie das verlangen dürfen, klären Sie mit Personal und, falls vorhanden, dem Betriebsrat. 83 00:05:12.740 --> 00:05:16.097 Oft hilft es, vorher zu erklären, was die App überhaupt sieht. 84 00:05:16.347 --> 00:05:17.142 Und was sieht sie? 85 00:05:17.392 --> 00:05:22.210 Laut Microsoft schickt die App von sich aus nur wenige Nutzungsdaten ohne Personenbezug. 86 00:05:22.210 --> 00:05:28.123 Den Standort fragt sie nur ab, wenn die Firma das eigens einstellt, und gemeldet wird ihr dann nur das Land. 87 00:05:28.373 --> 00:05:30.073 Und wer trotzdem nicht will? 88 00:05:30.323 --> 00:05:34.097 Der bekommt einen Sicherheitsschlüssel, ein kleines Gerät für den Schlüsselbund. 89 00:05:34.097 --> 00:05:37.729 Bei einem großen Hersteller kostet so ein Schlüssel rund fünfunddreißig Euro. 90 00:05:37.979 --> 00:05:41.317 Bei fünfzig Leuten wären das aber gut siebzehnhundert Euro. 91 00:05:41.567 --> 00:05:44.373 Für alle braucht es ihn nicht, die meisten nehmen die App. 92 00:05:44.373 --> 00:05:48.728 Den Schlüssel bekommen die, die nicht wollen oder kein Handy haben, und die Notfallkonten. 93 00:05:48.978 --> 00:05:50.452 Hat der Schlüssel einen Haken? 94 00:05:50.702 --> 00:05:55.446 Die IT muss ihn eigens freischalten, mit den kostenlosen Grundeinstellungen geht nur die App. 95 00:05:55.446 --> 00:05:58.813 Dafür gilt er als besonders sicher gegen gefälschte Anmeldeseiten. 96 00:05:59.063 --> 00:05:59.971 Und eine SMS? 97 00:05:59.971 --> 00:06:03.463 Ein Handy hat doch fast jeder, notfalls ein altes. 98 00:06:03.713 --> 00:06:05.521 Geht, ist aber die schwächste Wahl. 99 00:06:05.521 --> 00:06:11.203 Microsoft baut sogar eigene Erinnerungen, die Nutzer von SMS und Anruf zu sichereren Verfahren bringen sollen. 100 00:06:11.453 --> 00:06:12.309 Warum schwächer? 101 00:06:12.309 --> 00:06:14.556 Die SMS kommt doch auf mein eigenes Handy. 102 00:06:14.806 --> 00:06:16.730 Auf die Rufnummer, nicht aufs Handy. 103 00:06:16.730 --> 00:06:24.907 Die amerikanische Cyberbehörde beschreibt Angreifer, die sich beim Mobilfunkanbieter die Nummer ihres Opfers auf eine eigene SIM-Karte übertragen ließen. 104 00:06:25.157 --> 00:06:26.910 Bleibt das Info-Postfach. 105 00:06:26.910 --> 00:06:30.558 Da melden sich drei Leute mit demselben Kennwort an. 106 00:06:30.808 --> 00:06:36.227 Das ist die gefährlichste Ausnahme, denn ein zweiter Faktor gehört zu einer Person, nicht zu dreien. 107 00:06:36.227 --> 00:06:41.429 Microsoft sieht dafür ein freigegebenes Postfach vor, das jeder mit seinem eigenen Konto öffnet. 108 00:06:41.679 --> 00:06:42.772 Und was kostet mich das? 109 00:06:43.022 --> 00:06:46.609 Bis fünfzig Gigabyte braucht so ein Postfach keine eigene Lizenz. 110 00:06:46.609 --> 00:06:51.244 Die direkte Anmeldung am Postfach selbst soll laut Microsoft immer gesperrt bleiben. 111 00:06:51.494 --> 00:06:53.838 Und unser Scanner, der Mails verschickt? 112 00:06:53.838 --> 00:06:55.654 Der kann ja keine App bedienen. 113 00:06:55.904 --> 00:07:00.015 Der meldet sich oft noch auf dem alten Weg an, nur mit Name und Kennwort. 114 00:07:00.015 --> 00:07:05.929 Solche alten Anmeldewege kennen keinen zweiten Faktor, deshalb sperren Microsofts Grundeinstellungen sie. 115 00:07:06.179 --> 00:07:09.275 Dann kommt am Montag kein Scan mehr an. 116 00:07:09.525 --> 00:07:12.660 Genau deshalb gehört er vor dem Stichtag auf die Liste. 117 00:07:12.660 --> 00:07:17.448 Microsoft beschreibt für Scanner eigene Wege, die ganz ohne Personenkonto auskommen. 118 00:07:18.048 --> 00:07:23.520 Dritter Fall: Abends fragt das Handy einer Mitarbeiterin, ob sie eine Anmeldung bestätigt. 119 00:07:23.520 --> 00:07:25.890 Sie hat sich aber gar nicht angemeldet. 120 00:07:26.140 --> 00:07:30.831 Dann kennt jemand ihr Kennwort, und der zweite Faktor hat gerade genau seine Arbeit getan. 121 00:07:30.831 --> 00:07:33.124 Gefährlich wird es erst, wenn sie bestätigt. 122 00:07:33.374 --> 00:07:36.800 Warum sollte sie etwas bestätigen, das sie nicht ausgelöst hat? 123 00:07:37.050 --> 00:07:39.003 Weil die Anfragen immer wieder kommen. 124 00:07:39.003 --> 00:07:45.528 Die amerikanische Cyberbehörde beschreibt eine Gruppe, die so lange Anfragen schickte, bis Mitarbeitende auf Annehmen drückten. 125 00:07:45.778 --> 00:07:47.160 Lässt sich das technisch verhindern? 126 00:07:47.410 --> 00:07:48.006 Weitgehend. 127 00:07:48.006 --> 00:07:55.592 In Microsofts App muss man inzwischen eine Zahl eintippen, die auf dem Anmeldebildschirm steht, und die sieht nur, wer sich selbst anmeldet. 128 00:07:55.842 --> 00:07:58.088 Und wenn jemand noch eine alte Version der App hat? 129 00:07:58.338 --> 00:08:03.240 Dann klappt die Anmeldung gar nicht mehr, denn abschalten lässt sich dieser Zahlenabgleich nicht. 130 00:08:03.240 --> 00:08:06.929 Die App gehört also zu den Programmen, die immer aktuell gehalten werden. 131 00:08:07.179 --> 00:08:10.271 Und was macht die Mitarbeiterin jetzt konkret? 132 00:08:10.271 --> 00:08:12.691 Einfach ablehnen und schlafen gehen? 133 00:08:12.941 --> 00:08:15.278 Ablehnen und sofort melden, auch spätabends. 134 00:08:15.278 --> 00:08:19.156 Dann wird das Kennwort geändert, denn das kennt ja offensichtlich jemand. 135 00:08:19.406 --> 00:08:19.869 Reicht das? 136 00:08:19.869 --> 00:08:21.550 Vielleicht ist der Angreifer schon drin. 137 00:08:21.800 --> 00:08:25.754 Ein neues Kennwort beendet laut Microsoft auch laufende Anmeldungen. 138 00:08:25.754 --> 00:08:29.940 Ob vorher schon jemand drin war, prüft die IT in den Anmeldeprotokollen. 139 00:08:30.190 --> 00:08:33.084 Und wenn der Angreifer andersherum kommt? 140 00:08:33.084 --> 00:08:37.106 Er ruft beim Support an und sagt, er hat ein neues Handy. 141 00:08:37.356 --> 00:08:41.848 Genau so ging eine Gruppe vor, die Microsoft zweitausenddreiundzwanzig beschrieben hat. 142 00:08:41.848 --> 00:08:47.890 Sie gab sich am Telefon als Mitarbeiter aus, teils sogar als neue, und ließ Kennwort und zweiten Faktor zurücksetzen. 143 00:08:48.140 --> 00:08:50.115 Woran soll mein Support das denn merken? 144 00:08:50.115 --> 00:08:52.140 Die Stimme kennt er vielleicht gar nicht. 145 00:08:52.390 --> 00:08:54.560 An einer festen Regel statt am Bauchgefühl. 146 00:08:54.560 --> 00:09:00.109 Zurückgesetzt wird nur nach Rückruf über die hinterlegte Nummer oder nach Bestätigung durch die Führungskraft. 147 00:09:00.359 --> 00:09:01.766 Ist das nicht übervorsichtig? 148 00:09:01.766 --> 00:09:04.482 Der Kollege steht ja vielleicht wirklich ohne Zugang da. 149 00:09:04.732 --> 00:09:11.186 Der IT-Grundschutz sieht für das Zurücksetzen von Kennwörtern ein festgelegtes, sicheres Verfahren und geschulte Leute vor. 150 00:09:11.186 --> 00:09:17.901 Und die britische Cyberbehörde rät nach Angriffen auf Händler, zu prüfen, wie der Support Anrufer erkennt, bevor er zurücksetzt. 151 00:09:18.151 --> 00:09:21.834 Und wie kommt der echte Mitarbeiter mit neuem Handy wieder rein? 152 00:09:22.084 --> 00:09:26.216 Der Support gibt ihm einen befristeten Zugangscode, ab Werk eine Stunde gültig. 153 00:09:26.216 --> 00:09:30.452 Damit richtet er die App neu ein, und das alte Handy wird aus dem Konto entfernt. 154 00:09:30.702 --> 00:09:32.912 Und der Code geht dann einfach per Mail raus? 155 00:09:33.162 --> 00:09:38.855 Nein, auch den Code gibt es erst nach der Rückrufregel, persönlich oder am Telefon über die hinterlegte Nummer. 156 00:09:38.855 --> 00:09:41.983 Sonst hält der Angreifer gleich den neuen Zugang in der Hand. 157 00:09:42.233 --> 00:09:44.637 Kann man sich den Anruf nicht ganz sparen? 158 00:09:44.637 --> 00:09:46.640 Handys werden ja ständig getauscht. 159 00:09:46.890 --> 00:09:53.063 Nur bei denen, die neben der App einen Schlüssel haben: Die richten das neue Handy selbst unter Sicherheitsinformationen ein. 160 00:09:53.063 --> 00:09:58.890 Für alle anderen bleibt der Rückruf, und den Schlüssel als Reserve bekommen vor allem die, die oft das Handy wechseln. 161 00:09:59.490 --> 00:10:04.776 Dann bitte zum Schluss: Welche drei Schritte schreibe ich in meinen Plan? 162 00:10:05.026 --> 00:10:07.767 Erstens: erst einsammeln, dann einschalten. 163 00:10:07.767 --> 00:10:16.184 Ankündigen, die App vorher einrichten lassen, Geschäftsführung zuerst, Regeln erst beobachten lassen und zwei Notfallkonten anlegen. 164 00:10:16.434 --> 00:10:18.803 Zweitens: keine Ausnahmen für Personen. 165 00:10:18.803 --> 00:10:27.065 Wer keine App will, bekommt einen Schlüssel, Sammelkonten werden freigegebene Postfächer, und alte Anmeldewege werden vorher umgestellt. 166 00:10:27.315 --> 00:10:31.936 Drittens: Eine Anfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und gemeldet. 167 00:10:31.936 --> 00:10:36.819 Und der Support setzt den zweiten Faktor nur nach Rückruf über die hinterlegte Nummer zurück. 168 00:10:37.069 --> 00:10:39.078 Und wenn ich das nicht selbst steuern will? 169 00:10:39.328 --> 00:10:44.538 Dann achten Sie darauf, dass Regeln erst beobachten und dann greifen, damit niemand ausgesperrt wird. 170 00:10:44.538 --> 00:10:51.245 Genau so arbeitet kjello: Mit Business Premium wird der zweite Faktor je Person erst eingeschaltet, wenn die App eingerichtet ist.