Zwei-Faktor-Authentifizierung

Eigentlich sollte sie nur die Sicherheit erhöhen, doch Twitter nutzte die Zwei-Faktor-Telefonnummer auch zu Werbezwecken, darunter gezielte Nutzer-Ansprachen von Unternehmen. Es ist nicht das erste Mal, dass Twitter Probleme mit Telefonnummern oder 2FA hat.

Die aktuelle Version 17 von Nextcloud bietet mit Virtual Data Rooms einen neuen Dienst zum Umgang mit besonders kritischen Daten an. Außerdem lassen sich nun Daten von gestohlenen Geräten löschen.

Ein Pärchen aus den USA wurde über seine gehackten Smart-Home-Geräte terrorisiert - dabei hatten sie sich die Geräte gekauft, um sich sicherer zu fühlen. Aus dem Lautsprecher der Nest-Cam tönte vulgäre Musik und die Temperatur kletterte immer weiter nach oben - wie in einem Horrorfilm, nur eben echt.

Funkende Fido2-Sticks lassen sich mit iOS 13 auch auf dem iPhone verwenden. Passwortloses Anmelden oder eine starke Zwei-Faktor-Authentifizierung per Webauthn waren bisher nur mit einer Lightning-Variante des Yubikeys möglich.

Mit zwei Steckern sorgt der neue Yubikey 5Ci für eine breite Geräteunterstützung in und außerhalb der Apple-Welt. Mit USB-C und Lightning lassen sich Apps auf iPhones schützen oder eine sichere Zwei-Faktor-Authentifizierung nutzen. Das hat seinen Preis.

Die größten Schwachstellen in technischen Systemen sind bis heute Menschen. Social Engineers machen sich ihre Sorglosigkeit zunutze - und finden auf sozialen Netzwerken alles, was sie für einen erfolgreichen Angriff brauchen.
Von Moritz Tremmel

Wer die aktuellen Betaversionen von iOS 13, iPad OS oder MacOS Catalina installiert hat, kann sich auf der Beta-Webseite von iCloud mit Gesichtsscan oder Fingerabdruck einloggen. Dabei kommt wohl kein Webauthn zum Einsatz.

Firefox-Hersteller Mozilla hat binnen weniger Tage eine zweite schwere Sicherheitslücke behoben. Die Lücken sind offenbar beide für einen Phishing-Angriff auf Mitarbeiter einer Kryptobörse genutzt worden.

Der Hersteller Yubico muss einige seiner Sticks zur Zwei-Faktor Authentifizierung wegen Sicherheitslücken zurückziehen und bei Kunden austauschen. Kurioserweise nur jene mit einer besonderen Zertifizierungen der US-Regierung.

Die neue Zahlungsdiensterichtlinie soll eigentlich ausnahmslos zum 14. September 2019 umgesetzt werden. Doch mittlerweile regt sich Widerstand in der Branche, die nicht schnell genug mit den verbundenen Umstellungen vorankommt.

Der Messengerdienst Whatsapp will stärker gegen den Missbrauch seiner Dienste vorgehen. Anbietern droht demnächst eine Klage bei Verstoß gegen die Nutzungsbedingungen.

Microsoft blockiert mit seinem Juni-Update unsichere Bluetooth-Geräte wie Googles Fido-Stick Titan. Über eine Sicherheitslücke könnten Angreifer ihre Tastatur an einem Rechner oder Smartphone per Bluetooth anmelden.

Android kann Zwei-Faktor-Authentifizierung und passwortloses Anmelden per Fido2 von Haus aus - doch ohne Onlinedienste, die die Funktion unterstützen, bringt das wenig. Mit Dropbox ändert sich das nun. Wir haben uns angeschaut, wie gut das funktioniert.
Von Moritz Tremmel

Auch GMX-Kunden können nun ihre E-Mails und Daten in der Cloud mit einem zweiten Faktor schützen. Bei Web.de soll eine Zwei-Faktor-Authentifizierung bald folgen. Der eingesetzte TOTP-Standard hat aber auch Nachteile.
Von Moritz Tremmel

Nutzer von Apple-Systemen sollen sich in Apps nicht mit Konten von Drittanbietern anmelden müssen, wenn sie dies nicht wollen. Der Hersteller bietet außerdem eine E-Mail-Weiterleitung an die Apple-ID, 2FA, und zwingt die App-Anbieter zur Mitwirkung.

Windows Hello, Android und kleine bunte USB-Sticks sollen mit Webauthn das Passwort überflüssig machen. Wir haben die passwortlose Welt mit unserem Android Smartphone erkundet und festgestellt: Sie klingt zu schön, um wahr zu sein.
Von Moritz Tremmel

Der Sicherheitsschlüssel Titan enthält in seiner Bluetooth-Variante zwei Sicherheitslücken, über welche die Zwei-Faktor-Authentifizierung oder die verwendeten Geräte angegriffen werden können. Google tauscht die Sticks kostenlos aus - bis dahin sollen Nutzer diese jedoch weiter verwenden.

Um den Anmeldeprozess für Nextcloud-Instanzen über Fido2 einfacher und sicherer zu machen, will der Hersteller der Kollaborationsplattform mit dem Hersteller der Nitrokeys zusammenarbeiten.

Laut eigenen Aussagen konnten sich anscheinend die Angreifer fast sechs Monate lang im Firmennetzwerk bewegen und personenbezogene Daten abgreifen, nachdem sie auf Citrix unbefugten Zugriff erhalten haben. Schuld am Angriff habe keine Sicherheitslücke, sondern Brute-Forcing von Passwörtern.

Groß- und Kleinbuchstaben, mindestens ein Sonderzeichen, aber nicht irgendeins? Viele Passwort-Richtlinien führen dazu, dass Nutzer genervt oder verwirrt sind, aber nicht unbedingt zu sichereren Passwörtern. Wir geben Tipps, wie Entwickler es besser machen können.
Von Hanno Böck

Die Zahlungsdienste Apple Pay und Google Pay sind nach Ansicht von Experten sicherer als klassische Kreditkarten. In der täglichen Praxis schneidet ein Dienst etwas besser ab. Einige Haftungsfragen sind aber noch juristisch ungeklärt.
Von Andreas Maisch

34 von 45 getesteten Internetdiensten unterstützen laut Stiftung Warentest Zwei-Faktor-Authentifizierung - die Techniken sind allerdings sehr unterschiedlich.

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

Ohne Passwort anmelden? Mit dem Webauthn-Standard soll das möglich werden. Die Technik steht bereit und soll das Anmelden nicht nur sicherer, sondern auch komfortabler machen.
Von Moritz Tremmel

Facebook verwendet die zur Zwei-Faktor-Authentifizierung hinterlegte Telefonnummer auch zu Werbezwecken und zum Zurücksetzen des Kontos. Hierüber lässt sich herausfinden, wem die Telefonnummer gehört.

Passwort vergessen? Kein Problem, viele Anbieter machen es Nutzern leicht, ihr Passwort zurückzusetzen - und damit auch Kriminellen. Wir haben uns angesehen, wie leicht es ist, mit der Funktion an Daten zu gelangen oder ein E-Mail- oder Social-Media-Konto zu übernehmen.
Eine Analyse von Moritz Tremmel

Mit der aktuellen Version 72 von Chrome beginnt Google den Abschied von TLS 1.0, 1.1 und FTP. HPKP wird komplett entfernt. Die Entwickler haben außerdem die Web-Authentication ausgebaut, WebRTC um eine Screen-Capture-Funktion erweitert und führen ein neues User-Activation-API ein.

Warnungen vor dem Wordpress-Plugin WP Multilingual sind am Wochenende auf dessen eigener Webseite zu lesen gewesen. Auch in Rundmails wurden Kunden gewarnt. Laut dem Plugin-Hersteller ist ein ehemaliger Mitarbeiter verantwortlich.

Der Anbieter der umfangreichen Passwortsammlung will noch viel mehr Zugangsdaten im Angebot haben. Insgesamt sollen es 4 Terabyte sein.

Weil Politiker die Zwei-Faktor-Authentifizierung ihrer Accounts bislang meiden, prüft Facebook nun eine Pflicht bei den Europawahlen. Die Bundesregierung erwägt inzwischen eine eingeschränkte Meldepflicht für Sicherheitslücken.

Golem.de-Wochenrückblick Neue Prozessoren, Grafikkarten, Notebooks, TVs und Autos: Das Jahr startet in Las Vegas mit neuer Technik - und in Deutschland mit einem umfassenden Datenleak eines Scriptkiddies auf politischem Feldzug.

Eine täuschend echte Phishing-Seite, die sogar Zwei-Faktor-Authentifizierung umgehen kann: Mit dem Tool Modlishka lassen sich automatisierte Phishing-Kampagnen betreiben - auch von sogenannten Scriptkiddies.

35C3 Mit Sicherheitsversprechen geizen die Hersteller von Gesundheitsapps wahrlich nicht. Sie halten sie jedoch oft nicht.
Von Moritz Tremmel

Ein polizeibekanntes Skriptkiddie hat offenbar jahrelang unbemerkt Politiker und Prominente ausspähen können und deren Daten veröffentlicht. Welche Konsequenzen sollten für die Sicherheit von Daten aus dem Datenleak gezogen werden?
Eine Analyse von Friedhelm Greis

Der Youtuber Unge hatte bei seinem Twitter-Account Zwei-Faktor-Authentifizierung aktiviert. Doch sie half ihm nichts, sein Account wurde trotzdem gehackt. Der Twitter-Support schaltete diese einfach auf Anfrage hin ab.

Das Datenleck bei zahlreichen Politikern und Prominenten hat die Bundespolitik aufgeschreckt. Innenminister Seehofer verspricht "volle Transparenz". Grünen-Chef Habeck zieht drastische Konsequenzen.

Wer steckt hinter dem Leak persönlicher Daten von Politikern und Promis? Die aufwendige Aufbereitung der Daten lässt eine Nutzung für politische Kampagnen vermuten. Doch ein Youtuber soll dahinter stecken, der lediglich Aufmerksamkeit wollte.
Ein Bericht von Friedhelm Greis

Zwei Jahre nach ihrer besorgniserregenden Recherche zu Sicherheitsmängeln in Industrieanlagen sind die Sicherheitsforscher Sebastian Neef und Tim Philipp Schäfers erneut fündig geworden. Ein Klärwerk hätten sie sogar komplett über das Internet übernehmen können.
Von Moritz Tremmel

Das US-Raketenabwehrsystem ist nur unzureichend gegen Angriffe geschützt. Fehlende Antiviren-Software, mangelhaft umgesetzte Zwei-Faktor-Authentifizierung und eine seit 28 Jahren offene Sicherheitslücke sind nur einige der Schwachpunkte, die ein Untersuchungsbericht offenlegt.

Hacker verschafften sich Zugriff auf das E-Mail-Postfach eines Angestellten der Kinderhilfsorganisation und legten dessen Kollegen mit gefälschten Zahlungsanweisungen herein. Dabei sind sie nicht alleine.

In der neuen Version der freien Kollaborationsplattform Nextcloud können Nutzer direkt in den Twitter-Konkurrenten Mastodon posten und Admins Zwei-Faktor-Authentifizierung erzwingen. Außerdem wurde das gemeinsame Bearbeiten von Dokumenten mit Videochat angereichert.

Der Desktop-Client von Nextcloud ist in Version 2.5 erschienen. Diese bringt unter anderem eine Ende-zu-Ende-Verschlüsselung mit und die aktuelle Version vereinfacht die Bedienung.

Der neue Botschutz Recaptcha v3 blendet keine Bildabfragen mehr ein. Stattdessen läuft das auf Javascript basierende Tool im Hintergrund und analysiert Nutzerverhalten - es ist keine Interaktion mehr notwendig. Allerdings könnte ein so verstecktes System auf Misstrauen stoßen.

Entwickler von Apps unter Android oder Chrome-Erweiterungen kommen schnell an Daten, die die Nutzer ihnen eigentlich gar nicht geben wollten. Google schränkt den Zugriff ein und gibt den Anwendern mehr Kontrolle. Googles Datensammlung dürften sie jedoch nicht gefährden.

Keylogger sammeln Tastatureingaben und weitere Daten von betroffenen Rechnern. Einer Studie zufolge versenden sie die Informationen bevorzugt über Maildienste von Zoho, dessen Domain kürzlich gesperrt wurde.

Bösartiger Code in der Chrome-Erweiterung des Filehosters Mega greift Zugangsdaten ab. Die Erweiterung wurde automatisch über den Chrome Web Store verteilt. Mittlerweile steht ein Update bereit.

Das freie Linux-Smartphone Librem 5 von Purism soll eine eigene Chat-Anwendung bekommen, die SMS sowie verschlüsselte Verbindungen per XMPP unterstützt. Das Programm soll von Beginn an auf dem Smartphone laufen, da der Matrix-Client noch auf sich warten lässt.

Beim beliebten Paketmanager Homebrew für MacOS ist es möglich gewesen, unbefugt Commits im offiziellen Github-Repo des Projekts einzufügen. Grund war ein öffentlich einsehbarer Github-API-Token.

Die Betaversion 69 von Googles Chrome-Browser enthält einen Decoder für den neuen freien Videocodec AV1. Das Team liefert außerdem die Unterstützung für eine neue Art von Hardwareschlüssel, aktiviert den Bild-in-Bild-Modus für Videos und CSS umfließt Display-Notches.

Angreifern ist es gelungen, Nutzerdaten, Nachrichten sowie alte Passwort-Hashes aus einem Backup der Webseite Reddit zu kopieren. Offenbar reichte das Abfangen einer SMS zur Zwei-Faktor-Authentifizierung zum Eindringen in die Systeme.