Üblicherweise wird ein Postfach angelegt, ein Passwort festgelegt und beides an den künftigen Nutzer geschickt. Fast jeder weiß, dass das unsicher ist, und fast jeder tut es trotzdem, weil andere Verfahren lange Zeit mehr Aufwand bedeuteten. Einladungen zur Einrichtung beseitigen diese Ausrede: Der Administrator legt kein Passwort fest, und niemand muss Zugangsdaten per E-Mail oder Chat weitergeben.
Dieser Beitrag erklärt, wie Einladungen funktionieren, warum der Verzicht auf gemeinsam genutzte Passwörter wichtiger ist als zunächst gedacht und welche Folgen er für die Zwei-Faktor-Authentifizierung und den Austrittsprozess hat.
Warum Sie Passwörter nie weitergeben sollten, auch wenn bisher nichts passiert ist
Der offensichtlichste Grund ist das Risiko, dass ein Passwort abgefangen wird. Ein per E-Mail oder Chat versendetes Passwort bleibt auf unbestimmte Zeit in mindestens zwei Postfächern gespeichert, ist durchsuchbar und landet in jeder Sicherungskopie. Wer später Zugriff auf eines dieser Konten erhält, findet auch das Passwort. Die Empfehlungen des NIST raten seit Jahren davon ab, Geheimnisse auf diese Weise zu übertragen.
Das weniger offensichtliche Problem besteht darin, dass das Passwort nie geändert wird. Theoretisch legt der Nutzer bei der ersten Anmeldung ein eigenes fest. In der Praxis behält er das zugesandte Passwort, weil es funktioniert und ihn nichts zu einer Änderung zwingt. Monate später kennt der Administrator weiterhin gültige Zugangsdaten zum Postfach einer anderen Person. Damit lässt sich nicht mehr glaubhaft behaupten, dass Handlungen in diesem Postfach ausschließlich vom Nutzer stammen.
Gerade bei strittigen Vorgängen ist dieser letzte Punkt entscheidend. Kennen zwei Personen dasselbe Passwort, kann keine Aktivität in dem Konto verlässlich einer von beiden zugeordnet werden. Ein Verfahren ohne Weitergabe von Passwörtern ist daher nicht nur sicherer. Es ist die Voraussetzung dafür, dass ein Prüfprotokoll überhaupt aussagekräftig ist.
Wie Einladungen die Weitergabe von Passwörtern vermeiden
Der Administrator erstellt das Postfach vollständig ohne Passwort. Das System sendet dem vorgesehenen Nutzer einen Link per E-Mail. Dieser öffnet ihn und legt sein eigenes Passwort fest. Die Zugangsdaten gehen zu keinem Zeitpunkt durch fremde Hände.
Das Passwort existiert somit nie in einer Form, die jemand anderes gesehen hat. Es findet sich weder im Ordner „Gesendet“ noch in einem Chatverlauf, und der Administrator kennt keine Information, die er eigentlich vergessen müsste.
Einladungen lassen sich einzeln oder gesammelt versenden. Erst die Masseneinladung macht aus einer guten Idee ein alltagstaugliches Verfahren. Wenn Sie für einen neuen Kunden vierzig Postfächer bereitstellen, senden Sie in einem Vorgang vierzig Einladungen, statt vierzig Passwörter zu erzeugen, zu erfassen und zu übermitteln. Die Einzelheiten erläutern wir unter Postfächer in großer Zahl erstellen.
Zwei-Faktor-Authentifizierung vervollständigt den Schutz
Wer Passwörter nicht weitergibt, schließt eine Sicherheitslücke, lässt aber eine zweite offen. Auch ein Passwort, das nur der Nutzer kennt, kann schwach oder bereits bei einem anderen Dienst verwendet worden sein.
Die Zwei-Faktor-Authentifizierung schließt diese zweite Lücke. Der Nutzer richtet sie nach Annahme der Einladung in den Webmail-Einstellungen ein, nicht während des Einladungsvorgangs. Es handelt sich um eine separate Aufforderung und eine eigene Gewohnheit. Da der Ablauf die Einrichtung nicht erzwingt, hängt die Akzeptanz davon ab, dass Sie ausdrücklich darum bitten.
Weisen Sie bereits beim Versand der Einladung darauf hin und fragen Sie eine Woche später erneut nach. Auf der Seite zur Postfachsicherheit im Dashboard sehen Sie, für welche Postfächer die Zwei-Faktor-Authentifizierung aktiv ist und wann sie bestätigt wurde. Fehlende Einrichtungen lassen sich dadurch anhand einer Liste nachverfolgen, statt nur vermutet zu werden.
Bestehen Sie zugleich darauf, dass die Wiederherstellungscodes sicher verwahrt werden. Der Kontoinhaber kann den zweiten Faktor eines Postfachs nicht selbst im Dashboard zurücksetzen. Verliert ein Nutzer sowohl sein Gerät als auch seine Codes, muss er sich an den Support wenden. Den vollständigen Ablauf beschreibt unser Beitrag zum Beheben einer 2FA-Sperre.
Wie sich die Arbeit des Administrators verändert
Der Verzicht auf weitergegebene Passwörter verringert die Aufgaben des Administrators in erster Linie. Eine Umstellung ist allerdings nötig.
Sie bewahren keine fremden Zugangsdaten mehr auf. Damit entfällt eine ganze Art von Anfragen. Aus „Können Sie mir mein Passwort noch einmal sagen?“ wird ein Zurücksetzen, das der Nutzer selbst ausführt. Außerdem müssen Nutzer dem Administrator nicht mehr allein aufgrund seiner Rolle Zugriff auf ihre Postfächer anvertrauen. Wenn Sie Postfächer für Kunden statt für Kollegen verwalten, ist das eine spürbare Entlastung.
Die Umstellung besteht darin, dass Sie sich nicht mehr im Postfach einer anderen Person anmelden können, um etwas zu überprüfen. Beim ersten Mal fühlt sich das ungewohnt an, doch es ist jedes Mal richtig. Benötigt das Unternehmen Zugriff auf die Korrespondenz, ist ein gemeinsames Postfach mit Mitgliedschaften die passende Lösung, nicht ein Administrator, der das Passwort eines Nutzers kennt. Es sind unterschiedliche Modelle mit unterschiedlicher Verantwortlichkeit. Genau diese Trennung soll der Verzicht auf gemeinsam genutzte Passwörter sicherstellen.
Fälle, die weiterhin Aufmerksamkeit erfordern
Zwei Situationen benötigen etwas Planung und dürfen nicht einfach eingerichtet und vergessen werden. Prüfen Sie beide regelmäßig, statt sich auf Ihr Gedächtnis zu verlassen.
Nutzer, die ihre Einladung nie abschließen. Ein nicht beanspruchtes Postfach wird von niemandem gelesen, obwohl dort möglicherweise bereits Nachrichten eingehen. Dass Einladungen ablaufen, ist richtig. Jemand sollte jedoch kontrollieren, ob die vorgesehene Person die Einrichtung tatsächlich abgeschlossen hat, statt dies nur anzunehmen.
Adressen, die zu einem Objekt statt zu einer Person gehören. Bei einem Postfach für eine Immobilie oder eine Auftragsnummer gibt es keinen einzelnen Nutzer, der eingeladen werden könnte. Solche Adressen sollten von Anfang an gemeinsame Postfächer mit Mitgliedschaften sein. Dann wird der Zugriff durch eine Liste statt durch gemeinsam genutzte Zugangsdaten geregelt. Andernfalls gelangen Sie auf einem anderen Weg wieder zu einem geteilten Passwort.
Einladungen laufen ab und verhindern so eine unbeabsichtigte Passwortweitergabe
Ein unbegrenzt gültiger Einrichtungslink wäre lediglich ein Passwort mit zusätzlichen Schritten. Deshalb haben Einladungen eine Gültigkeitsdauer und funktionieren danach nicht mehr.
Wenn Postfächer lange vor dem tatsächlichen Arbeitsbeginn eingerichtet werden, sind die Links am ersten Morgen bereits abgelaufen und lösen verwirrte Rückfragen aus. Senden Sie Einladungen erst, wenn die betreffenden Personen sie verwenden können. Stellen Sie bei Bedarf eine neue aus, statt einem abgelaufenen Link nachzugehen. Das dauert nur wenige Sekunden.
Geben Sie auch anderswo keine Passwörter weiter
Sobald Postfachzugänge nicht mehr herumgereicht werden, fällt dieselbe Frage auch in anderen Systemen auf. Dort lohnt es sich, dem gleichen Prinzip zu folgen.
Gemeinsam genutzte Anmeldedaten für den Speicher, ein App-Passwort für mehrere Geräte oder ein API-Token für drei Skripte haben dieselbe Schwachstelle. Soll einem Beteiligten der Zugriff entzogen werden, müssen alle anderen ebenfalls unterbrochen werden. Gerätespezifische Zugangsdaten für den Speicher lösen das entsprechende Problem. Das Verfahren erläutern wir unter Dateien zwischen Geräten synchronisieren.
Die Regel gilt allgemein: Zugangsdaten, die mehreren Beteiligten bekannt sind, können nicht gezielt einem von ihnen entzogen werden. Ebenso lässt sich eine Handlung keinem Einzelnen zweifelsfrei zurechnen. Strukturen ohne gemeinsam genutzte Passwörter dienen deshalb nicht in erster Linie der Geheimhaltung. Sie ermöglichen es, die Entscheidung über eine Person zu ändern, ohne dadurch alle anderen zu beeinträchtigen.
