Viele Apps, die ich benutze, brauchen eine Zwei-Faktor-Authentifizierung (ein zusätzlicher Schritt beim Einloggen, um zu bestätigen, dass du der bist, der du bist). Früher musste ich dafür mein Handy rausholen, eine Anwendung öffnen und einen einzigartigen Code manuell eingeben. Und wenn ich am Code herumfummelte – was, seien wir ehrlich, oft vorkam –, musste ich den Vorgang wiederholen.
Bei Zapier benutzen wir dafür aber einen YubiKey. Es ist viel bequemer. Und unser Sicherheitsteam freut sich, dass es sicherer ist als andere Geräte für die Zwei-Faktor-Authentifizierung. Hier erfahren Sie, warum und wie Sie Ihren YubiKey auch einrichten können.
Inhalt:
Was ist ein YubiKey?
Der YubiKey ist ein Gerät, das die Zwei-Faktor-Authentifizierung (2FA) so einfach wie möglich macht. Viele Anwendungen, Online-Dienste und Computer setzen jedes Mal, wenn ein Benutzer eine Verbindung herstellen möchte, „ 2“ FA durch. Anstatt dass dir ein Code per SMS geschickt oder von einer Authentifizierungs-Anwendung generiert wird, drückst du einfach auf eine Taste deines YubiKey und schon bist du eingeloggt. Das wars.
Wir könnten in die Mathematik einsteigen und die verschiedenen Protokolle aufschlüsseln, die von solchen Geräten unterstützt werden, aber alles, was Sie wahrscheinlich wissen müssen, ist, dass in jedes Gerät ein eindeutiger Code integriert ist, der verwendet wird, um Codes zu generieren, die helfen, Ihre Identität zu bestätigen.
YubiKey ist nicht die einzige Hardware 2FA-Gerät auf dem Markt – nur die beliebteste. Es gibt eine Reihe ähnlicher Geräte, und die meisten der in diesem Artikel beschriebenen Informationen gelten für sie.
Was ist eine Zwei-Faktor-Authentifizierung?
Wir haben schon viel über die Zwei-Faktor-Authentifizierung geschrieben, aber bevor wir erklären können, warum Hardware- 2-FA-Geräte eine gute Idee sind, müssen wir erst mal die Grundlagen durchgehen.
Passwörter sind schrecklich. Die meisten sind für Hacker zu leicht zu erraten, und der Rest ist zu lang oder kompliziert, als dass man sich den Menschen daran erinnern könnte. Selbst sichere Passwörter sind nutzlos, wenn sie einmal durchgesickert sind, und Lecks sind im Grunde unvermeidlich. Aus diesen und weiteren Gründen ist es eine gute Idee, sich nicht ausschließlich auf Passwörter zu verlassen. Das ist die ganze Idee hinter der Zwei-Faktor-Authentifizierung.
Bei der Zwei-Faktor-Authentifizierung brauchst du zwei Sachen, um dich anzumelden: dein Passwort, klar, aber auch noch was anderes, das beweist, dass du wirklich bist, wer du sagst, dass du bist. Sie kennen wahrscheinlich zwei Möglichkeiten, 2FA durchzuführen:
SMS- oder E-Mail-Codes. Apps schicken dir einen Code, den du eingeben musst, bevor du dich anmelden kannst. Dies ist die einfachste Methode zur Einrichtung, da Sie keine Software installieren oder Hardware kaufen müssen. Es ist auch am wenigsten sicher, weil E-Mails und SMS nicht verschlüsselt sind und leicht abgefangen werden können.
Authentifizierungsanwendungen. Apps, bei denen du dich anmelden willst, fragen dich nach einem Code, den du in einer Anwendung auf deinem Handy abrufen kannst, z. B. Google Authenticator oder Authy. Das ist viel sicherer als SMS oder E-Mails, aber nicht gerade praktisch – du musst dein Handy holen, eine Anwendung öffnen und dann einen Code eingeben.
Der YubiKey stellt eine dritte Möglichkeit dar, 2FA durchzuführen: die Hardware-Authentifizierung. Apps bitten dich, ein Tool wie einen YubiKey an dein Gerät anzuschließen und einen Knopf zu drücken. Der YubiKey sendet dann einen eindeutigen Code, den der Dienst zur Bestätigung Ihrer Identität verwenden kann.
Es gibt natürlich noch viel mehr Nuancen als das. Aber in den meisten Fällen müssen Sie nur wissen, dass Hardware 2FA sicherer und einfacher zu bedienen ist.
Warum ist ein YubiKey besser als andere 2FA-Geräte?
Wir haben das schon kurz angesprochen, aber lass uns noch mal darüber reden, warum ein YubiKey (und ähnliche Geräte) besser ist als andere Formen der 2FA. Um nur einige zu nennen:
Bequemlichkeit. SMS, E-Mails und Authentifizierungsanwendungen erfordern alle, dass Sie einen Code manuell eingeben oder kopieren und einfügen. Mit dem YubiKey drücken Sie einfach eine Taste auf einem Gerät, das an Ihren Computer angeschlossen ist, um den Code einzugeben.
Viel längere Codes. Andere 2FA-Methoden senden Ihnen in der Regel nur einen sechsstelligen Code, um Ihre Identität zu bestätigen, vor allem, weil es unvernünftig wäre, von Menschen zu erwarten, dass sie viel mehr als das eingeben. Bei YubiKeys müssen Sie keinen Code manuell eingeben, sodass sie viel längere Codes verwenden können. Das ist sicherer.
Einfach zu migrieren. Haben Sie einen neuen Computer bekommen? Trennen Sie einfach Ihren YubiKey vom alten und stecken Sie ihn in den neuen. Du kannst dich weiterhin wie bisher bei allen deinen Anwendungen anmelden. Du kannst dich auch mit einem einzigen Schlüssel auf mehreren Computern in dein Konto einloggen.
Wirklich schwer zu hacken. Es ist für Hacker ziemlich einfach,deine E-Mails oder SMS zu hacken. Es ist viel schwieriger – mit der aktuellen Technologie nahezu unmöglich – die Codes zu fälschen, die von einem einzigartigen Hardwaregerät generiert werden.
Auchhier gibt es wieder viele Feinheiten, aber das sind die wichtigsten Vorteile des YubiKey gegenüber anderen Arten der 2-FA.
So richtest du deinen YubiKey ein
Die Einrichtung deines YubiKey unterscheidet sich nicht wesentlich von der Einrichtung einer 2FA-Anwendung. Wenn du einen YubiKey (keinen anderen Hardware-Authentifikator) benutzt, musst du Folgendes tun:
Stecken Sie Ihren YubiKey ein.
Geh auf Yubico.com/setup und klick auf dein Gerät.
Schau dir im Abschnitt „Kompatible Konten und Anwendungen“ die Liste der unterstützten Anwendungen und Dienste an und wähl die aus, die du mit deinem Gerät sichern willst.
Deine Auswahl wird in einer Liste neben den verfügbaren Anwendungen angezeigt.
Klick auf das Wiedergabesymbol neben der ausgewählten Anwendung und folge den Anweisungen im Video zur Einrichtung. Oder klick auf den schrägen Pfeil in einem Kasten, um die Textversion zu sehen.
Die Einrichtung hängt von der Anwendung und dem Gerät ab, aber ich zeig dir mal, wie ich Google auf meinem Computer eingerichtet habe.
Klick einfach auf den Link mit den Anweisungen.
Du siehst jetzt die Anweisungen, wie du deinen YubiKey zu deinem Google-Konto hinzufügst.
Klick auf „Deinen Sicherheitsschlüssel registrieren“.
Stecken Sie Ihren YubiKey in den USB-Anschluss Ihres Computers und berühren Sie ihn oder drücken Sie die Taste darauf.
Gib deinem Browser die Erlaubnis, auf deinen YubiKey zuzugreifen, falls nötig.
Optional kannst du deinem YubiKey einen Namen geben, was nützlich ist, wenn du mehrere Sicherheitsschlüssel hast.
Das wars. Jetzt kannst du dich mit deinem YubiKey auf jedem Gerät bei deinem Google-Konto anmelden. Mach das für jedes Konto, das du so sperren willst.
Was ist ein YubiKey: Häufig gestellte Fragen
Haben Sie noch Fragen zur Verwendung Ihres YubiKey? Sehen Sie sich die Antworten auf diese häufig gestellten Fragen an.
Wie kann ich verhindern, dass ich meinen YubiKey aus Versehen trigger?
Ich besitze den YubiKey 5C Nano, einen winzigen USB-C-Dongle, den ich an meinen Laptop angeschlossen lasse. Es ist nicht wirklich ein Knopf, sondern eher ein dünner Metallstreifen, der beim Berühren getriggert wird – was bei mir jedes Mal passiert, wenn ich meinen Laptop in die Hand nehme.
Wenn du den YubiKey berührst, denkt er, dass du dich irgendwo anmelden willst. Dann wird ein sicherer Code in das Textfeld eingegeben, das gerade geöffnet ist, und die Eingabetaste wird gedrückt (")." Das Ergebnis auf Slack sieht folgendermaßen aus:
Diese Codes werden von OTP generiert, einem der Protokolle, die Ihr YubiKey verwendet, um sich mit Servern zu verbinden. Du kannst das ganz einfach verhindern, indem du OTP deaktivierst, aber dann kannst du dich vielleicht nicht mehr bei einigen Diensten anmelden.
Ich denke, für die meisten Benutzer ist es besser, OTP so einzustellen, dass es erst triggert, wenn man den Knopf drei Sekunden lang gedrückt hält. YubiKey bietet Anweisungen zur Behebung dieses Problems, aber sie sind schwer zu befolgen, daher hier eine Zusammenfassung.
Laden Sie den YubiKey Manager auf Ihren Computer herunter.
Installieren Sie es.
Öffnen Sie das Programm.
Klick auf Anwendungen und dann auf OTP.
Standardmäßig ist der Short Touch in Slot- 1 konfiguriert. Die lange Berührung in Slot 2 ist leer. Klick auf „Tauschen“, um das zu ändern.
Jetzt hast du dir „ 2“ gekauft. Das heißt, du hast9 Sekunden Zeit, um deinen YubiKey anzufassen, ohne dass er aus Versehen irgendwelchen Quatsch in deinen Team-Chat-Anwendung spuckt.
Hinweis: Wenn du die Slot- 2e n schon für was anderes eingerichtet hast, wird die Einrichtung etwas komplizierter. Hier ist die Anleitung von Yubico.
Ist es wirklich schlimm, wenn ich meinen YubiKey aus Versehen in einem Chat auslöse?
Wenn du deinen YubiKey-Code aus Versehen in Slack oder einen Texteditor kopierst, musst du nicht gleich in Panik geraten – es ist nicht ganz klar, wem er gehört oder wofür er zum Einloggen verwendet werden kann. Und wenn du es in Slack gepostet hast, hoffen wir, dass deine Mitarbeiter nicht versuchen, dich zu hacken.
Allerdings besteht immer die Möglichkeit, dass ein durchgesickerter 2FA-Code einen besonders kreativen Hacker ermöglicht, also versuchen Sie, dies nicht zur Gewohnheit zu machen.
Du bist auch nicht hilflos, wenn es passiert. Jeder YubiKey-Code ist einzigartig und wird jedes Mal ungültig, wenn du dich mit dem Gerät irgendwo anmeldest. Wenn Sie sich jedoch Sorgen machen, können Sie Codes manuell ungültig machen. Kleb einfach deinen durchgesickerten Code auf diese Website.
Kann ich einen YubiKey mit mehreren Geräten verwenden?
Ja! Du kannst deinen YubiKey auf so vielen Geräten anmelden, wie du willst, solange sie einen Steckplatz dafür haben. Steck einfach deinen YubiKey in einen beliebigen Computer und logg dich wie gewohnt ein.
Was ist, wenn ich meinen YubiKey verliere?
Das ist nicht toll. Ohne deinen YubiKey kannst du dich wahrscheinlich nicht anmelden. Aber es gibt ein paar Dinge, die Sie tun können, um das Risiko zu verringern.
Backup-Codes verwenden. Die meisten Dienste, die die FA ( 2) unterstützen (einschließlich YubiKey), bieten dir die Möglichkeit, Backup-Codes zu erstellen. Stellen Sie sicher, dass Sie dies tun und dass Sie die Codes an einem sicheren Ort aufbewahren – idealerweise offline. Erwägen Sie, sie auszudrucken und in ein Schließfach zu legen, wenn Sie können.
Füge einen Backup-Sicherheitsschlüssel hinzu. Du kannst dir einen zweiten YubiKey als Ersatz kaufen, ihn als Option für alle deine Dienste hinzufügen und ihn dann an einem sicheren Ort aufbewahren (vielleicht in einem anderen Schließfach als dem, in dem sich deine Backup-Codes befinden?). Oder du kannst eine andere App-basierte 2FA-Anwendung zu jedem Dienst hinzufügen, den du mit deinem YubiKey eingerichtet hast.
2Wenn du keine Backup-Codes oder eine andere 2-Faktor-Authentifizierungsmethode hast und deinen YubiKey schon verloren hast, ist das noch nicht das Ende der Welt. Die meisten Dienste, die 2FA anbieten, haben eine Art Verifizierungsprozess für die Anmeldung nach dem Verlust Ihrer Anmeldedaten, aber seien Sie gewarnt: Es wird eine Weile dauern und eine Menge Ärger geben. Es ist immer besser, vorbereitet zu sein. Also, speicher deine Backup-Codes an einem sicheren Ort oder richte dir eine zweite FA-Methode unter 2ein.
Vergiss nicht, deinen verlorenen YubiKey als „ 2”-FA-Methode zu löschen, sobald du wieder Zugriff auf dein Konto hast. Wahrscheinlich weiß derjenige, der deinen YubiKey findet, nicht, auf welche Konten er damit zugreifen kann, aber sicher ist sicher.
Zur Klarstellung: Dein Yubikey speichert keine identifizierbaren Benutzernamen und keine deiner Passwörter. Wer deinen YubiKey findet, hat absolut keine Möglichkeit zu wissen, bei welchen Konten er sich damit anmelden kann. Dies ändert sich ein wenig, wenn die Person, die es "findet", weiß, dass es Ihnen gehört – sagen wir, weil sie es aus Ihrem Haus oder Büro gestohlen hat. Doch wer einen YubiKey auf der Straße oder am Flughafen findet, wird nicht herausfinden können, um wessen Schlüssel es sich handelt.
Mach deine digitale Sicherheit automatisch
Niemand steht unter der Aufmerksamkeit von Hackern und anderen kriminellen Akteuren im Bereich der Cybersicherheit. Jeder, auch Kleinunternehmer, kann Probleme mit der digitalen Sicherheit haben. Proaktive Schritte können die Effektivität deiner digitalen Sicherheit gegen alle Bedrohungen verbessern. Erfahre mehr darüber, wie du deine digitale Sicherheit mit Automatisierung verbessern kannst.
Verwandte Lektüre:
Dieser Artikel wurde ursprünglich im Juli 2020 von Justin Pot veröffentlicht. Das letzte Update war im November 2023.
