Jemand ersetzt sein Smartphone, setzt es zurück oder löscht beim Aufräumen einfach die Authenticator-App. Das Passwort funktioniert weiterhin, aber der zweite Faktor ist verschwunden. Der Zugriff auf die E-Mails ist damit gesperrt. Eine Webmail-2FA-Sperre gehört in jeder Organisation, die Informationssicherheit ernst nimmt, zu den häufigsten Supportanfragen und ist vollständig vorhersehbar.
Dieser Beitrag erklärt, wie Sie den Zugriff wiederherstellen, warum dies bewusst statt automatisch geschehen muss und mit welchen kleinen Vorbereitungen aus einem halben Tag Arbeit eine Angelegenheit von zwei Minuten wird.
Warum das so häufig geschieht
Die Zwei-Faktor-Authentifizierung wird einmal auf einem Gerät eingerichtet. In diesem Moment möchte der Nutzer vor allem seine E-Mails öffnen und denkt nicht darüber nach, was beim Verlust des Geräts geschehen wird.
Wiederherstellungscodes werden angeboten und meist ignoriert, weil sie zu diesem Zeitpunkt wie eine zusätzliche Aufgabe wirken. Smartphones werden ungefähr alle drei Jahre ersetzt. Wurde die Authenticator-App nicht gesichert oder bewusst übertragen, gelangen die Codes nicht auf das neue Gerät. Eine Webmail-2FA-Sperre bedeutet deshalb nicht, dass jemand einen Fehler gemacht hat. Sie ist eine vorhersehbare Folge des Gerätelebenszyklus.
Daran sollten Sie denken, wenn es passiert. Die ausgesperrte Person fühlt sich meist unnötig ungeschickt, obwohl sie nichts Dummes getan hat.
Die zwei Wege zurück ins Postfach
Es gibt genau zwei. Nur den ersten kann der Nutzer selbst beschreiten.
Ein Wiederherstellungscode. Diese Codes werden bei der Einrichtung ausgegeben und ermöglichen die Wiederherstellung ohne fremde Hilfe. Der Nutzer meldet sich mit seinem Passwort an und gibt statt des Codes aus der Authenticator-App einen Wiederherstellungscode ein. Danach kann er in den Webmail-Einstellungen den bisherigen zweiten Faktor entfernen und ein neues Gerät einrichten. Ein Administrator ist an keinem Schritt beteiligt.
Kontakt mit unserem Support. Sind auch die Wiederherstellungscodes verloren, muss der zweite Faktor von uns zurückgesetzt werden. Diese Funktion steht bewusst nicht im Dashboard zur Selbstbedienung bereit, sondern wird vom Support ausgeführt. Ein Kontoinhaber, der unbemerkt die 2FA eines beliebigen Postfachs entfernen könnte, wäre für einen Angreifer ein wertvolleres Ziel als das Postfach selbst.
Es lohnt sich, genau zu wissen, was das Kundendashboard hier ermöglicht und was nicht. Auf den ersten Blick scheint es helfen zu können. Die Seite zur Postfachsicherheit zeigt, ob die Zwei-Faktor-Authentifizierung aktiv ist und wann sie bestätigt wurde. Außerdem lässt sich dort das Postfachpasswort ändern. Den zweiten Faktor kann sie nicht zurücksetzen. Ein neues Passwort behebt die Webmail-2FA-Sperre nicht, denn das Passwort hat den Zugang nie verhindert.
Unabhängig davon, wie der Faktor entfernt wurde, sollte der Nutzer die 2FA sofort und nicht erst "später" neu einrichten. Gerade ein Postfach, das nach einer Webmail-2FA-Sperre nur noch durch sein Passwort geschützt ist, sollte nicht in diesem Zustand bleiben.
Prüfen Sie, mit wem Sie sprechen
Bevor Sie eine Webmail-2FA-Sperre im Namen einer anderen Person eskalieren, prüfen Sie, ob die Anfrage echt ist. Dieser Schritt wird häufig übersprungen, obwohl er entscheidend ist.
Aus Sicht eines Angreifers gehört die Bitte, den zweiten Faktor einer anderen Person entfernen zu lassen, zu den wertvollsten Handlungen, zu denen sich ein Kollege bewegen lässt. Die Anfrage kommt per E-Mail oder Chat, klingt alltäglich und wird weitergeleitet, weil der Absender den Eindruck erweckt, die Umstände genau zu kennen.
Bestätigen Sie die Identität deshalb über einen getrennten Kommunikationskanal. Kam die Anfrage per E-Mail, rufen Sie die Person an. Kam sie im Chat, stellen Sie eine Frage, die ein Hochstapler nicht beantworten könnte, oder bestätigen Sie den Vorgang persönlich. Diese Prüfung dauert eine Minute. Dass der endgültige Eingriff beim Support liegt, ist eine zweite Schutzschicht und kein Grund, die erste auszulassen.
Seien Sie besonders vorsichtig, wenn die Anfrage dringend, entschuldigend und leicht hektisch wirkt. So klingt eine echte Webmail-2FA-Sperre. Genau so wird jedoch auch ein Social-Engineering-Angriff inszeniert, weil Dringlichkeit dazu verleitet, die Identitätsprüfung auszulassen.
Mit Vorbereitung wird die Wiederherstellung zur Routine
Drei kleine Maßnahmen machen aus einem Vorfall eine kurze Erledigung.
Machen Sie Wiederherstellungscodes zum Bestandteil der Einrichtung. Sie sind keine freiwillige Zusatzaufgabe für später, sondern gehören in dasselbe Gespräch. Legen Sie dabei einen konkreten Aufbewahrungsort fest. Ein Passwortmanager ist die naheliegende Wahl, aber auch ein sicher verwahrter Ausdruck ist völlig vernünftig.
Empfehlen Sie, wenn sinnvoll, ein zweites eingerichtetes Gerät. Mit einem Tablet oder einem zweiten Smartphone wird der Verlust eines Geräts zum Ärgernis statt zur vollständigen Sperre.
Dokumentieren Sie den Eskalationsweg. Bei einer Webmail-2FA-Sperre muss der Nutzer wissen, wen er informiert. Diese Person wiederum muss wissen, dass der Weg über den Support und nicht über das Dashboard führt. Das erst während des Vorfalls herauszufinden kostet einen halben Tag.
Keine dieser Maßnahmen verhindert Sperren, und das ist auch nicht ihr Ziel. Sie machen die Wiederherstellung günstig. Wiederherstellungscodes sind das eine Mittel, das aus einem Supportfall eine zweiminütige Selbsthilfe macht. Deshalb sollten Sie stärker auf ihre Aufbewahrung bestehen, als es gewöhnlich geschieht.
Zwei Fälle, die nur wie eine Sperre aussehen
Zwei Situationen sehen für den Nutzer gleich aus, verlangen aber völlig unterschiedliche Maßnahmen.
Codes werden abgelehnt, obwohl die App noch funktioniert. Meist liegt eine Zeitabweichung vor. Zeitbasierte Einmalpasswörter nach RFC 6238 setzen eine annähernd korrekte Gerätezeit voraus. Weicht die Uhr eines Smartphones um mehr als eine Minute ab, sind die erzeugten Codes ungültig. Aktivieren Sie die automatische Zeitsynchronisierung. Ein Zurücksetzen ist nicht erforderlich.
Das falsche Konto wird verwendet. Nutzer mit mehreren Adressen richten die 2FA manchmal für eine Adresse ein und versuchen dann, sich bei einer anderen anzumelden. Möglich ist auch der falsche Eintrag in der Authenticator-App. Prüfen Sie beides, bevor Sie etwas zurücksetzen.
Es kommt außerdem vor, dass sich ein Nutzer an der völlig falschen Stelle anmeldet. Postfachnutzer verwenden die Webmail-Anmeldung und nicht das Konto-Dashboard. Ein Passwort, das in einem Bereich funktioniert, gilt nicht automatisch im anderen. Für den Nutzer sieht das nach einem unerklärlichen Fehler aus und nicht nach einer offensichtlich falschen Anmeldeseite.
Sollte 2FA überhaupt vorgeschrieben werden?
Wenn Sperren die Kosten der zusätzlichen Sicherheit darstellen, ist die Frage berechtigt, ob der Nutzen sie rechtfertigt.
Für jedes Postfach, das Nachrichten zum Zurücksetzen von Passwörtern anderer Dienste empfängt, also für fast alle, lautet die Antwort eindeutig ja. Das E-Mail-Konto ist der Wiederherstellungsweg für alle anderen Konten und verdient deshalb den stärksten Schutz. Eine mit einem Wiederherstellungscode behobene Webmail-2FA-Sperre ist ein geringer Preis im Vergleich zu einem kompromittierten Postfach.
Wirklich umständlich wird es bei gemeinsamen betrieblichen Adressen, die mehrere Personen verwenden. Die richtige Lösung besteht nicht darin, auf den zweiten Faktor zu verzichten. Stattdessen sollte es überhaupt keine gemeinsam genutzte Anmeldung geben. Verwenden Sie ein gemeinsames Postfach mit Mitgliedschaften, damit sich jede Person mit ihrer eigenen Identität authentifiziert.
Dasselbe Prinzip gilt allgemein für die Einrichtung: Zugangsdaten sollten einer Person gehören. Deshalb legen Nutzer ihre eigenen Daten über Einladungen fest und Administratoren müssen sie nie kennen. Unser Beitrag zum Einrichten von Postfächern ohne Passwortweitergabe erläutert das Verfahren.
