Angenommener Super-Gau "Handy verloren" - was tun mit den ganzen Authentifizierungaufgaben?

[SpamBot]

gefundenen oder gestohlenem

Darum ging es mir nicht. Mir ging es eher darum das es selbst dann gefährlich ist wenn man das Smartphone noch besitzt.

 

[sikarr]

@SpamBot wenn es darum geht dürfte man gar kein Handy, Computer Co mehr nutzen. Ich weiß halt nicht was die Provider tun um solche Dinge zu vermeiden. Es sollte mMn nicht Möglich sein z.B. in Rumänien eine Deutsche Nummer zu beantragen.

 

[SpamBot]

Nummer zu beantragen.

Die Nummer wird ja nicht beantragt, sondern nur im Netz in Rumänien eingewählt....

Der Vergleich hinkt. Das ist ja so wie jedes Schloss kann genkackt werden, also nutze ich eins das völlig veraltet ist....

Wenn man eben weiß das es bessere Technik gibt warum nicht gleich umsteigen.

 

[lolinternet]

was ist eigentlich mit den vielen Authentifizierungsaufgaben die ein/mein Smartphone mittlerweile so hat ("Bestätige deine Echtheit...") wenn das Handy mal verloren geht?

Kommt jetzt ja erst einmal darauf an um welchen "Service" es sich dabei handelt.
So grundsätzlich sollte es, sofern man in Deutschland ist, immer eine Möglichkeit geben das zu klären.

Schlimmer wird es im fernen Ausland und du z.B. vergessen hast dementsprechend vorbereitet zu sein. Da ist man dann eben weder via Post noch SMS zu erreichen und mal schnell persönlich vorbeigehen ist auch nicht drin. Da kannst du schnell in einem Kreislauf feststecken. Irgendein Service will dich per SMS verifizieren, da du aber eben keine SMS empfangen kannst wählst du "Verifizierung über E-Mail" nur um dann festzustellen, dass deine E-Mail ebenfalls neu verifiziert werden möchte, weil du im Ausland bist.
Wenn es dann schnell gehen soll, wird die Zeitverschiebung und schlechtes Internet noch ein zusätzliches Problem. Ich habe mich damals am Ende mit Skype "durchtelefoniert" aber selbst so war das Problem am Ende zu lösen.
Also in der Regel ist es nicht "unlösbar". Nur sollte bei wichtigen Dingen dann auch richtige Daten angegeben sein. Ist halt denkbar schlecht, wenn man seine E-Mail im Grunde nicht mehr abrufen kann, weil man die Identität eines Max Mustermanns halt einfach nicht nachweisen kann..

 

[Looniversity]

Ich bin hier drei Wochen zu spät aber vielleicht hilft es noch wem. Vor zwei Jahren sind wir zur Familie meiner Frau geflogen. Beim Umstieg war an der Grenze mein Handy... weg. Schade Marmelade.

Auf der anderen Seite der Welt auf einem unbekannten Gerät in Google und Microsoft anmelden klappt nicht gut, da waren die Konten gesperrt. Aus Erfahrung in anderen Ecken der Welt ist das aber kein zuverlässiger Schutz.

Zu Hause hatte ich noch die Google Recovery Codes. Mit denen nach der Rückkehr also Google wiederhergestellt, die Anmeldedaten für den Provider rausgeholt, neue Sim bekommen, und damit Whatsapp etc aufs neue Handy übertragen. Außerdem natürlich in Google das verlorene Handy gesperrt und gelöscht (falls es mal wieder online kommen sollte). Ein Bild von den Codes hatte ich nicht, das soll ja nicht mit dem Handy geklaut werden! Und mitnehmen wollte ich sie aus ähnlichen Gründen auch nicht, das hatte ich tatsächlich beim Packen für die Reise im Kopf. Für den Fall der Fälle, lol.

Ohne die recovery codes für Google und dann die neue Sim für das Microsoft-Konto wäre ich noch zu Hause auf dem Desktop angemeldet gewesen (Google, Microsoft, Whatsapp Web, Telegram, Signal), aber da kann man sich nicht drauf verlassen - das kann echt schief gehen. Bei allen Diensten habe ich dann auch alle anderen Sessions beendet (niemand hatte sich am verlorenen Handy irgendwo angemeldet, aber man weiß ja nie). Dabei Vorsicht: Manche Dienste melden nicht alle anderen Sessions ab, sondern alle Sessions. Whoops.

Aus dem Urlaub musste ich auch gleich noch auf Arbeit anrufen um die Authenticator App auf dem privaten Handy (explizit gestattet) sperren zu lassen. Den habe ich dann auf Arbeit auf dem neuen Handy neu eingerichtet, auf dem normalen Weg dafür. Den Crypto-Token habe ich natürlich nicht mit in den Urlaub genommen.

Edit: Fast vergessen: Die Bank-App war auch auf dem Handy. Also aus dem Urlaub bei der Bank angerufen und die sperren lassen. Zu Hause wiederherstellen/auf neuem Handy einrichten geht ganz einfach auf der Webseite, auf der man sich natürlich mit dem Handy anmeldet. Oder halt nicht, da musste erst ein Brief mit PIN für die Neu-Authorisierung her. Den kann man theoretisch schon aus dem Urlaub telefonisch beantragen, damit er bei der Rückkehr zu Hause im Briefkasten liegt... aber dann liegt der halt auch bis zur Rückkehr im Briefkasten, was auch nicht so ganz das Wahre sein kann. In meinem Fall kannte ich meinen Kontostand, die erwarteten Ausgaben, anstehende Überweisungen, und erwartete Einnahmen und habe ein paar Tage ohne Bankzugang überstanden. Meine Kreditkarte hatte ich ja zum Glück noch.

Google Pay hatte ich zu dem Zeitpunkt noch nicht. Wie man das ohne Zugang zum Google-Account sperren könnte weiß ich gerade ehrlich gesagt gar nicht. Auch mit Anruf bei der eigenen Bank? Ansonsten ist blöd.

Ein Tipp für die Ersatz-Sim: Die Addresse und der Name darin müssen genau stimmen, sonst kommt die neue Sim nicht an. Ich hatte meine Daten beim Sim-Provider nach der Hochzeit einfach nie auf meinen neuen Namen ("wozu auch?") und schon gar nicht auf die neue Adresse geändert und musste erstmal das Formular hinschicken bevor ich die neue Sim beantragen konnte. Ohne Ersatz-Sim ist doof. (Mich hat es überrascht, dass Änderung der Daten und zwei Tage später Ersatz-Sim ohne Prüfung oder Nachfrage einfach so ging. Da hatte ich eigentlich mehr Stress erwartet.)

Ausgeschrieben list sich das alles ganz machbar. Aber ich habe mir sehr intensiv den Kopf darüber zerbrochen, was alles gemacht und gesperrt werden muss, was wie wiederhergestellt werden kann, und, am wichtigsten, was davon wie von anderen Dingen abhängt. Je nach eigenen Umständen kann sich beim Sperren ganz vorzüglich in die Verlegenheit bringen, die Wiederherstellung des einen (z. B. Online-Login beim Provider für den SIM-Ersatz?) durch das Sperren des anderen (z. B. Wiederherstellungs-Email Account mit, rate mal, SMS-Code, oder der Authentificator-App auf dem Handy) und umgekehrt zu zerschießen ("Was passiert, wenn ich auf diesen Knop-oohh!").

Jedenfalls- So begab es sich, dass Looniversity in zwei Wochen auf Hawaii kein einziges Foto gemacht hat. 🙈 Na gut so ganz stimmt das nicht, meine Frau hat mir ihr Handy fürs Fotografieren ausgeliehen, aber das wollte sie naturgemäß oft genug auch selbst tun.

 

[norKoeri]

Authentifizierungsaufgaben die ein/mein Smartphone mittlerweile so hat ("Bestätige deine Echtheit...")

Auch wenn der Thread schon ein wenig älter ist, bitte liste jene Dienste auf, wenigstens ein paar, damit wir Deine Frage (überhaupt) verstehen. Oder anders formuliert: @lolinternet hat das schon ganz passend beantwortet, Du musst verstehen, welcher Dienst Dein Smartphone wie nutzt.

Wenn Du für 2FA noch das Verfahren SMS nutzt, ist der Vertrauensanker nicht Dein Smartphone sondern Deine Rufnummer, also Deine SIM beim Mobilfunk-Anbieter gekoppelt.

Ein besseres Verfahren für 2FA ist TOTP. Das kannst Du vergleichsweise einfach Backup-en, indem Du den QR-Code kopierst bzw. das Secret extrahierst und aufschreibst. Hattest Du das vergessen, solltest Du 2FA erneut einrichten. Aber dieses Verfahren scheinst Du gar nicht zu verwenden.

Ausnahmen sind Dein Apple Account bzw. Google Konto auf Deinem Smartphone. Jene Dienste probieren für 2FA zuerst das Verfahren Push-Notifications. Sollte kein Backup-Gerät funktionieren, fallen jene Dienste dann auf alternative 2FA-Verfahren zurück. Um Deine Frage für Dein Konto beantworten zu können, müsstest im Konto nachschauen, welche Kontakt-Möglichkeiten Du hinterlegt hast (Rufnummer, E-Mail oder Post-Adresse). Die einfachste Backup-Strategie wäre, Du hinterlegst ein zweites Mobiltelefon, und lädst es alle acht Monate für eine Viertel-Stunde auf, damit der Akku nicht tief entlädt.

Problematisch sind eher jene Dienste, bei denen man nicht merkt, dass sie 2FA einsetzen. Facebook ist so ein Chaos-Haufen, die ihre zahllosen Smartphone-Apps unbemerkt für 2FA nutzen (Facebook Messenger).

wenn du Authentificator sagst stellen sich alle Körperhaare hoch.

TOTP-2FA ist eigentlich der Weg. Wir sollten verstehen, warum Du damals Probleme hattest, denn das sollte Dein bevorzugter Weg sein. Besser wäre nur noch Token-2FA. Wichtig ist, dass Du von App-2FA wegkommst, weil das ist unberechenbar. Wichtig ist, dass Du von SMS-2FA wegkommst, denn das ist einfach nicht mehr zeitgemäß.