Ihr bevorzugtes Passwort schützt möglicherweise ein Dutzend verschiedener Konten. Wenn nur einer dieser Dienste einen Datenleck erleidet, werden alle anderen zugänglich. Digitale Sicherheit im Alltag basiert nicht auf einer einzigen Handlung, sondern auf einigen konkreten Gewohnheiten, die es Angreifern erheblich erschweren.
Passkeys und FIDO2-Schlüssel: Die Authentifizierung, die gegen Phishing resistent ist
Die meisten Leitfäden zur digitalen Sicherheit empfehlen, die Zwei-Faktor-Authentifizierung zu aktivieren. Ein per SMS empfangener oder von einer App generierter Code reicht aus, um einen Großteil der Eindringversuche zu blockieren. Aber dieser Schutz hält nicht allen Angriffen stand.
Haben Sie schon einmal eine SMS erhalten, in der Sie aufgefordert wurden, eine Verbindung zu bestätigen, die Sie nicht initiiert hatten? Ein Angreifer, der eine gefälschte Anmeldeseite kontrolliert, kann den Code abfangen, den Sie eingeben, und ihn in Echtzeit verwenden. Das nennt man Echtzeit-Phishing.
Passkeys verknüpfen die Authentifizierung mit der legitimen Domain der Website. Konkret überprüft Ihr Gerät die Adresse der Website, bevor es irgendwelche Informationen sendet. Wenn die Domain nicht übereinstimmt, passiert nichts. Kein Code zum Abschreiben, kein Passwort zum Eingeben. Der technische Standard hinter diesem Ansatz heißt FIDO2/WebAuthn, und seine Einführung schreitet in den Richtlinien für starke Authentifizierung voran, auch in regulierten Kontexten.
Um mehr über diese Entwicklungen und die aktuellen Bedrohungen zu erfahren, beschreibt der Sicherheitsbereich von Cyber Huge die neuesten Angriffsmethoden und die entsprechenden Schutzmaßnahmen.
Die physischen FIDO2-Schlüssel (kleine USB- oder NFC-Geräte) funktionieren nach dem gleichen Prinzip. Sie stellen heute den widerstandsfähigsten Authentifizierungsfaktor gegen Phishing dar. Wenn Ihr E-Mail-Anbieter oder Ihre Bank Passkeys anbietet, ändert die Aktivierung tatsächlich Ihr Schutzniveau.
Passwörter und Passwortmanager: Was wirklich zählt
Ein langes und einzigartiges Passwort pro Dienst bleibt die Grundlage. Das Problem ist, dass ein Mensch sich keine Dutzenden komplexen Zeichenfolgen merken kann. Hier wird ein Passwortmanager zu einem alltäglichen Werkzeug, nicht zu einem technischen Luxus.
Wie ein Passwortmanager funktioniert
Das Prinzip ist einfach. Ein verschlüsselter Tresor speichert alle Ihre Anmeldedaten. Sie merken sich nur ein einziges Master-Passwort, das lang und persönlich ist. Der Passwortmanager füllt automatisch die Anmeldefelder auf Ihren Websites und Anwendungen aus.
- Ein einzigartiges Passwort pro Konto: Wenn ein Dienst kompromittiert wird, bleiben die anderen geschützt.
- Der Manager generiert zufällige Passwörter, die viel robuster sind als die, die Sie selbst erfinden würden.
- Anerkannte Manager verschlüsseln Ihre Daten lokal, bevor sie synchronisiert werden, was bedeutet, dass selbst der Softwarehersteller Ihre Passwörter nicht lesen kann.
- Einige Manager erkennen bereits in bekannten Leaks aufgetauchte Passwörter und warnen Sie.
Vermeiden Sie es, Ihre Passwörter direkt im Browser eines gemeinsam genutzten Computers zu speichern. Diese Bequemlichkeit öffnet den Zugang für jeden, der die Maschine nach Ihnen benutzt.
Datenlecks: Schnell reagieren begrenzt den Schaden
Daten Diebstähle betreffen jedes Jahr Verwaltungen, Unternehmen und Verbände in Deutschland. Die dominierende Bedrohung ist nicht mehr nur das schwache Passwort: Es ist die Ausnutzung von kompromittierten Konten durch Phishing und Credential Stuffing.
Was Angreifer mit Ihren Daten machen
Nach einem Datenleck dienen Ihre persönlichen Informationen (Name, E-Mail-Adresse, Steueridentifikationsnummer, Telefonnummer) dazu, glaubwürdige Nachrichten zu erstellen. Ein Betrüger kann sich als Ihr Bankberater ausgeben, indem er reale Details zu Ihrer Situation zitiert. Je personalisierter die Nachricht ist, desto schwieriger ist sie zu erkennen.
Der Tätigkeitsbericht 2025 der CNIL bestätigt, dass die Ausnutzung von kompromittierten Konten und Phishing zu den häufigsten Angriffsvektoren gehören. Dieser Trend führt die Doktrin der CNIL zu klareren Anforderungen an die Konformität in Bezug auf Authentifizierung.
Konkrete Maßnahmen nach einem Datenleck
Ändern Sie sofort die Passwörter der betroffenen Konten. Wenn Sie dasselbe Passwort anderswo verwendet haben, ändern Sie es überall. Aktivieren Sie die Zwei-Faktor-Authentifizierung (oder die Passkeys, wenn verfügbar) für sensible Dienste: E-Mail, Bank, Steuern.
Überwachen Sie Ihre Kontoauszüge mehrere Wochen lang. Melden Sie verdächtige Nachrichten Ihrer Bank und auf der Plattform Cybermalveillance.gouv.fr. Geben Sie niemals einen Bestätigungscode am Telefon weiter, selbst wenn Ihr Gesprächspartner Ihren Namen und Ihre Kontonummer kennt.
Updates und Backups: Zwei unterschätzte Gewohnheiten
Ein Gerät oder eine Software, die nicht auf dem neuesten Stand ist, weist bekannte Sicherheitslücken auf. Sicherheitsupdates existieren, um diese Lücken zu schließen. Ein Update um ein paar Tage hinauszuzögern, bedeutet, eine Tür offen zu lassen, die jedes automatisierte Skript finden kann.
Aktivieren Sie automatische Updates für Ihr Betriebssystem, Ihren Browser und Ihre Hauptanwendungen. Das ist die Einstellung, die das beste Verhältnis zwischen Aufwand und Schutz bietet.
Für Backups gilt das Prinzip in einem Satz: Jede Daten, die nur an einem einzigen Ort existiert, kann verschwinden. Ein regelmäßiges Backup auf einem externen Medium oder einem verschlüsselten Cloud-Speicherdienst schützt Sie vor Hacking, Hardwareausfällen und Diebstahl.
- Planen Sie ein wöchentliches automatisches Backup Ihrer wichtigsten Dateien.
- Testen Sie die Wiederherstellung mindestens einmal: Ein unlesbares Backup nützt nichts.
- Bewahren Sie mindestens eine Kopie offline auf, um gegen Ransomware zu bestehen, die auch Online-Backups verschlüsselt.
Digitale Sicherheit beruht selten auf einem Wundermittel. Es sind einfache Reflexe, die regelmäßig angewendet werden, die die Risiken konkret reduzieren. Passkeys aktivieren, wenn möglich, einen Passwortmanager verwenden, Software aktuell halten und ein Offline-Backup aufbewahren: Diese vier Maßnahmen decken die Mehrheit der Angriffsszenarien ab, denen eine Privatperson heute ausgesetzt ist.
