Bei der Zwei-Faktor-Bestätigung bestätigen Sie beim Anmelden zusätzlich zum Passwort noch einmal, dass Sie es wirklich selbst sind. Ein Fenster auf dem Handy, das Sie antippen, stoppt über 90 % der Kontoübernahmen per Phishing. Ein SMS-Code lässt sich leichter erschleichen als dieses Fenster. Die älteren Methoden, bei denen man Fragen wie «Wo haben Sie sich zuletzt angemeldet?» oder «Wie lautet Ihre Ersatz-E-Mail?» beantworten muss, stoppen bei Phishing-Übernahmen am wenigsten, nur etwa 10 %.
Ein Passwort, das bei einer anderen Website gestohlen wurde, wird benutzt, um sich direkt bei Ihrer E-Mail anzumelden. Gelingt das, gehen alle Konten, die sich per E-Mail zurücksetzen lassen, gleich mit verloren. Deshalb braucht die E-Mail ein eigenes Passwort, das Sie sonst nirgends verwenden.
Die SIM-Karte ist die kleine Karte im Handy, über die SMS-Codes ankommen. Wenn Sie das Handy verlieren, kann der Finder diese Karte herausnehmen, in ein anderes Handy stecken, um Ihre Codes zu empfangen, und damit Ihre Konten einzeln zurücksetzen. Hat die Karte einen PIN-Code, fragt jedes andere Handy beim Einschalten zuerst danach, und dieser Weg ist versperrt.
Die Reihenfolge ist wichtiger als das Tempo. Zuerst die SIM-Karte als verloren melden; damit ist die Leitung für Ihre Bestätigungscodes gekappt. Danach das Handy aus der Ferne sperren, am Computer E-Mail- und Zahlungspasswort ändern, die Polizei rufen und die Bestätigung mitnehmen. Zum Schluss die Bankkarten einfrieren lassen, falls nötig. Haben Sie das Handy nicht bei sich, können Sie für den Anruf beim Kundendienst auch das Handy eines anderen benutzen.
«Angemeldete Geräte» sind die Handys und Computer, die Ihr Konto noch benutzen können. Taucht in der Liste ein Gerät auf, das Sie nicht kennen, oder ist eine längst ungenutzte Software noch mit Ihrem Konto verbunden, ändern Sie zuerst das Passwort und melden dann alle Geräte ab. Schauen Sie in Ihrer E-Mail außerdem nach, ob eine automatische Weiterleitung läuft, die Sie nicht selbst eingerichtet haben.
Der Weiterleitungsdienst sitzt zwischen Ihnen und dem Modellanbieter. Was Sie hinschicken und was zurückkommt, kann er sehen und verändern. Eine Studie hat mehr als 400 solcher Dienste getestet: 9 schleusten schädlichen Code in die Antworten ein, 17 nutzten Cloud-Zugangsschlüssel, die die Forscher absichtlich hinterlegt hatten. Lässt man die KI Befehle automatisch ausführen, kann schon ein einziger veränderter Befehl dazu führen, dass auf Ihrem Computer Schadcode installiert wird.
Nach der Abmeldung einer Handynummer kann der Mobilfunkanbieter sie frühestens nach 90 Tagen an einen anderen Kunden vergeben. Ein Konto, das noch mit der alten Nummer verbunden ist, schickt seine Bestätigungscodes an den neuen Besitzer dieser Nummer, und der könnte sich damit in Ihr Konto einloggen. Deshalb stellen Sie vor dem Wechsel Ihre Konten und die bei der Bank hinterlegte Nummer auf die neue Nummer um.
