2FA und Passkeys für Krypto-Konten

Für 2FA auf einem Krypto-Konto nutzen Sie einen Passkey oder einen Hardware-Sicherheitsschlüssel, wo der Dienst das anbietet, eine Authenticator-App, wo nicht, und SMS-Codes nur als letzten Ausweg. Der Unterschied ist Phishing: Ein Passkey oder Sicherheitsschlüssel ist an die echte Website gebunden und funktioniert auf einer gefälschten schlicht nicht, während sich ein sechsstelliger Code auf einer gefälschten Seite genauso leicht eintippen lässt wie auf der echten.

Zwei-Faktor-Authentifizierung, nach Stärke geordnet

SMS-Codes — am schwächsten. Ein per SMS gesendeter Code kann durch einen SIM-Swap gestohlen werden, bei dem ein Angreifer Ihren Mobilfunkanbieter dazu bringt, Ihre Nummer auf seine SIM zu übertragen. Krypto-Besitzer sind ein beliebtes Ziel dafür. SMS ist besser als nichts, sollte aber nichts schützen, dessen Verlust Sie hart treffen würde.

Authenticator-Apps (TOTP) — gut. Eine App erzeugt alle 30 Sekunden einen neuen sechsstelligen Code aus einem Geheimnis, das auf Ihrem Handy gespeichert ist. Kein Mobilfunkanbieter ist beteiligt, also funktionieren SIM-Swaps nicht. Ein gestohlenes Passwort allein reicht nicht mehr, aber eine gefälschte Seite kann den Code trotzdem abfragen und innerhalb dieser 30 Sekunden an die echte weiterreichen. Bewahren Sie die Einrichtungscodes offline auf: Geht das Handy verloren, kommen Sie damit wieder hinein.

Hardware-Sicherheitsschlüssel — stark. Ein kleiner USB- oder NFC-Schlüssel, den Sie zum Anmelden antippen, nach dem FIDO2-Standard. Der Schlüssel prüft, welche Website fragt, also bekommt eine Doppelgänger-Domain nichts. Registrieren Sie zwei Schlüssel und bewahren Sie den Ersatz sicher auf.

Passkeys — stark und einfacher. Ein Passkey ist dieselbe FIDO-Idee, verwahrt von Ihrem Handy, Computer oder Passwortmanager, entsperrt mit Fingerabdruck, Gesicht oder Geräte-PIN. Er kann das Passwort ganz ersetzen, ist an die Domain der echten Seite gebunden, und es gibt nichts, was man in eine gefälschte Seite tippen könnte. Die FIDO Alliance erklärt, wie sie funktionieren. Bietet ein Dienst Passkeys an, nutzen Sie sie.

Die Einstellungen, die genauso zählen

• Whitelist für Auszahlungsadressen. Viele Börsen erlauben Auszahlungen nur an Adressen, die Sie vorher hinzugefügt haben, oft mit einer Wartezeit für neue. Kommt jemand in das Konto, kann er nicht sofort Coins an sich selbst schicken.
• Ihr E-Mail-Konto. Passwort-Resets gehen an Ihre E-Mail, also braucht sie denselben Schutz: ein starkes, einzigartiges Passwort und einen Passkey oder Sicherheitsschlüssel.
• Anti-Phishing-Code. Bei manchen Börsen können Sie ein Wort festlegen, das in jeder echten E-Mail von ihnen erscheint. Eine E-Mail ohne dieses Wort stammt nicht von ihnen.
• Einzigartige Passwörter. Nutzen Sie einen Passwortmanager und überall ein anderes Passwort, damit eine gehackte Seite nicht den Rest öffnet.
• API-Keys. Haben Sie Börsen-API-Keys für einen Bot oder Tracker angelegt, löschen Sie die, die Sie nicht mehr nutzen, und geben Sie nie einem davon Auszahlungsrechte.

Einrichtung, der Reihe nach

• Zuerst die E-Mail. Geben Sie Ihrem E-Mail-Konto ein starkes, einzigartiges Passwort und einen Passkey oder Sicherheitsschlüssel, denn jeder andere Reset läuft darüber.
• Dann jede Börse. Fügen Sie einen Passkey oder Sicherheitsschlüssel hinzu, wo angeboten, sonst eine Authenticator-App.
• Sichern Sie die Backup-Codes, die jeder Dienst Ihnen zeigt, auf Papier, bei Ihren anderen Offline-Backups.
• Entfernen Sie SMS als Ausweichmethode, sobald eine stärkere funktioniert, sofern der Dienst es zulässt.
• Schalten Sie die Auszahlungs-Whitelist ein und fügen Sie die Adressen Ihrer eigenen Wallets hinzu.

Was 2FA nicht schützt

2FA schützt Konten: Börsen, E-Mail, Tracker. Für eine Wallet, die Sie selbst kontrollieren, tut sie nichts, denn dort ist die Seed-Phrase der einzige Schlüssel, der zählt — wie Sie sie aufbewahren. Und sie hindert Sie nicht daran, einen Transfer zu bestätigen, zu dem man Sie verleitet hat; häufige Krypto-Betrugsmaschen behandelt die Tricks.

Diese Anleitung erklärt, wie die Dinge funktionieren. Sie ist keine Finanz-, Anlage- oder Steuerberatung. Etwas stimmt nicht? Schreiben Sie an hi@perly.io, und wir korrigieren es.