Die große Mehrheit der Vorfälle kommt nicht von einer technischen Lücke, sondern von einem wiederverwendeten Passwort oder einer betrügerischen Nachricht, auf die jemand geantwortet hat. Beides lässt sich verhindern, und es verlangt keine besondere Fertigkeit.
Ein Passwort, ein einziger Dienst
Die Regel passt in eine Zeile: nie dasselbe Passwort an zwei Orten. Wird irgendeinem Dienst seine Zugangsdatenbank gestohlen, werden die Adressen und Passwörter überall sonst durchprobiert, automatisch. Ein wiederverwendetes Passwort macht aus dem Leck einer vergessenen Website das Leck aller Ihrer Konten.
Die Länge zählt mehr als die Komplexität. Ein Satz aus vier oder fünf zusammenhanglosen Wörtern hält besser stand als ein kurzes, mit Symbolen gespicktes Wort — und bleibt mühelos im Gedächtnis.
Ein Passwortverwalter löst das Problem ein für alle Mal: Er baut für jeden Dienst ein anderes, und Sie behalten nur eines — das, das den Verwalter öffnet.
Was ein Passwort schwach macht
| Praxis | Warum sie fällt |
|---|---|
| Überall dasselbe | Ein einziges Leck öffnet alle |
| Ein Wörterbuchwort, auch verformt | Die üblichen Ersetzungen werden von vornherein getestet |
| Ein Vorname, ein Datum, ein Firmenname | Das sind die ersten Versuche |
| Ein kurzes, sehr komplexes Wort | Die Länge wiegt mehr als die Symbole |
| In einer geteilten Datei oder einem Heft notiert | Das Geheimnis hört auf, eines zu sein |
Ihre E-Mail-Adresse ist der Hauptschlüssel
Über sie laufen alle Passwort-Zurücksetzungen. Wer sie kontrolliert, kontrolliert den Rest. Schützen Sie sie zuerst, schalten Sie die Zwei-Faktor-Anmeldung bei Ihrem E-Mail-Anbieter ein, wenn es sie gibt, und halten Sie sie in Ihrem Kundenbereich aktuell: Eine verwaiste Adresse ist eine offen gelassene Tür.
Eine betrügerische Nachricht erkennen
| Zeichen | Was es verrät |
|---|---|
| Eine Dringlichkeit: drohende Aussetzung, letzte Warnung | Man will das Nachdenken verhindern |
| Ein Link, dessen wirkliche Adresse nicht zur erwarteten Domain passt | Der Kern des Verfahrens |
| Eine fast richtige Domain: ein Buchstabe zu viel, ein Bindestrich, eine andere Endung | Die wirksamste Nachahmung |
| Ein unerwarteter Anhang, besonders eine Rechnung | Das übliche Vehikel der Schadsoftware |
| Die Bitte um ein Passwort, einen per Nachricht erhaltenen Code oder Bankdaten | Kein seriöser Anbieter tut das |
| Eine unpersönliche Anrede oder seltsam gedrechselte Sprache | Ein Massenversand |
Wir werden Sie nie nach Ihrem Passwort fragen. Weder per E-Mail noch am Telefon noch in einem Ticket. Keine unserer Mitteilungen wird Sie auch bitten, eine Rechnung auf ungewöhnlichem Weg oder in Eile zu begleichen.
Der Reflex, der schützt
Klicken Sie nicht; tippen Sie die Adresse selbst. Meldet eine Nachricht ein Problem mit Ihrem Konto, öffnen Sie einen neuen Tab, geben Sie die Adresse des Kundenbereichs aus dem Gedächtnis ein und sehen Sie nach. Ist das Problem echt, ist es dort. Ist es dort nicht, war die Nachricht falsch.
Fährt man mit der Maus über einen Link, zeigt der Browser unten dessen wirkliches Ziel. Am Telefon tut ein langes Drücken dasselbe.
Wenn Sie geklickt oder etwas eingegeben haben
- Ändern Sie das betroffene Passwort, von einem Gerät, dessen Sie sicher sind, und tippen Sie die Adresse selbst.
- Ändern Sie es auch überall, wo es wiederverwendet war. Das ist der Moment, in dem man den Preis der Wiederverwendung misst.
- Prüfen Sie, was verändert worden sein könnte: die E-Mail-Adresse des Kontos, die automatischen Weiterleitungsregeln Ihres Postfachs, die Verwalterkonten Ihrer Website.
- Öffnen Sie ein Ticket, auch wenn Sie glauben, alles aufgefangen zu haben. Wir sehen nach, was sich am Dienst bewegt hat.
Die Zugänge Ihrer Website
Das Hostingkonto ist nicht das einzige zu schützende. Das Verwaltungspanel Ihrer Website ist ein weiteres — oft schlechter bewacht.
- Löschen Sie die Konten früherer Dienstleister oder Mitarbeiter.
- Ein Konto pro Person, nie ein geteiltes Konto: Sonst weiß niemand mehr, wer was getan hat.
- Entfernen Sie ungenutzte Erweiterungen und Themes, statt sie nur abzuschalten — siehe Wenn Ihre Website kompromittiert wurde.
- Halten Sie das System und seine Erweiterungen aktuell: Die meisten Eindringlinge kommen durch eine alte, öffentlich dokumentierte Version.