Zugänge absichern¶

Mit wenigen Einstellungen schützt du deine Zugänge deutlich besser. Du brauchst dafür keine Technikkenntnisse, und der Aufwand liegt bei einer knappen halben Stunde.

Die Punkte stehen in der Reihenfolge ihrer Wirkung. Wenn du nur einen davon machst, nimm den ersten.

1. Für jeden Zugang ein eigenes Passwort¶

Lang schlägt kompliziert. Vier zufällige Wörter sind besser als P@ssw0rt!. Ab etwa vierzehn Zeichen wird es ernsthaft schwer zu knacken.
Jedes Passwort nur einmal verwenden. Nirgendwo sonst, auch nicht abgewandelt.
Einen Passwortmanager nutzen. Dann musst du dir nur noch ein einziges merken.

Warum die Wiederverwendung so gefährlich ist

Wird irgendein Dienst im Netz gehackt, landen die erbeuteten Zugangsdaten in Sammlungen, die frei zirkulieren. Automatisierte Programme probieren diese Kombinationen dann bei tausenden anderen Anbietern durch.

Das ist kein Angriff auf dich persönlich, sondern läuft vollautomatisch über Millionen von Konten. Wenn dein Passwort dort dabei ist und du es mehrfach verwendest, fällt eine ganze Kette gleichzeitig.

Ob deine Adresse in solch einer Sammlung auftaucht, kannst du bei haveibeenpwned.com nachsehen. Die Prüfung ist kostenlos.

Dein Postfach ist der Generalschlüssel zu allem anderen

Überlege einmal, was passiert, wenn jemand Zugriff auf dein E-Mail-Konto hat. Er muss deine anderen Passwörter gar nicht kennen. Er klickt bei jedem beliebigen Dienst auf Passwort vergessen, und der Link dazu landet in deinem Postfach.

Bank, Onlineshops, soziale Netzwerke, deine Domainverwaltung, das Kundenportal, der Steuerberater: Alles hängt an dieser einen Adresse. Wer sie kontrolliert, kontrolliert nacheinander den Rest. Und weil er die Bestätigungsmails ebenfalls sieht und löschen kann, merkst du es unter Umständen wochenlang nicht.

Deshalb bekommt jedes E-Mail-Konto ein eigenes, langes Passwort, das nirgendwo sonst verwendet wird. Kein anderes Passwort ist so viel wert wie dieses.

Passwörter niemals per E-Mail verschicken

Es gibt Schadprogramme, die nichts anderes tun, als Postfächer mitzulesen und gezielt nach Zugangsdaten zu suchen. Und hier liegt der entscheidende Punkt: Über den Rechner des Empfängers hast du keinerlei Kontrolle.

Du weißt nicht, ob dort ein Virenschutz läuft, ob das Betriebssystem aktuell ist, wer sonst noch Zugriff auf das Gerät hat und ob das Postfach vielleicht zusätzlich auf einem alten Handy eingerichtet ist, das seit Jahren keine Updates mehr bekommt. Du kannst deinen eigenen Rechner absichern, den fremden nicht. Sobald das Passwort dein Postfach verlässt, ist es außerhalb deines Einflussbereichs.

Dazu kommt: Eine E-Mail bleibt jahrelang liegen, im Gesendet-Ordner, im Posteingang des Empfängers und in jeder Sicherung. Ein Passwort, das du vor drei Jahren einmal verschickt hast, ist heute noch auffindbar.

Wenn du ein Passwort übermitteln musst, dann telefonisch oder über einen Dienst, der es nach einmaligem Abruf löscht. Wir selbst schicken dir aus demselben Grund keine Passwörter per E-Mail, sondern hinterlegen sie im Kundenportal.

Im Zweifel ändern

Wenn du unsicher bist, ob ein Passwort noch sicher ist, ändere es lieber einmal zu viel als zu wenig.

2. Die Anmeldung in zwei Schritten einschalten¶

Damit reicht ein gestohlenes Passwort allein nicht mehr aus. Zusätzlich braucht es einen Code, der sich alle dreißig Sekunden ändert und nur auf deinem Handy steht.

Das ist der wirksamste Einzelschritt überhaupt, denn er macht genau den Angriff wirkungslos, der oben beschrieben ist.

Was du brauchst: eine App auf dem Handy, die diese Codes erzeugt. Es gibt mehrere kostenlose, und viele Passwortmanager können es gleich mit.

Im Kundenportal¶

Hier lohnt es sich besonders, denn darüber laufen Verträge, Domains und Kündigungen.

Im Kundenportal anmelden
Oben rechts auf deinen Namen klicken, dort steht „Hallo" und dein Vorname
Sicherheitseinstellungen öffnen
Zwei-Faktor-Anmeldung aktivieren und den QR-Code mit deiner App abfotografieren

Im cPanel¶

cPanel öffnen → wie das geht
Im Bereich Sicherheit die Zwei-Faktor-Authentifizierung öffnen
Den QR-Code mit deiner App abfotografieren
Den angezeigten Code eintragen und bestätigen

Im Webmail, für jedes Postfach einzeln¶

Das wird fast immer übersehen: Auch jedes einzelne Postfach kann die Anmeldung in zwei Schritten. Das lohnt sich besonders bei Adressen, über die Geschäftliches läuft.

Im Webmail anmelden
Den Bereich Sicherheit öffnen
Die Zwei-Faktor-Anmeldung einrichten

Nutzt du Zimbra, findest du dieselbe Einstellung dort in deinem Konto. Für Mailprogramme, die keinen Code abfragen können, legst du ein eigenes Anwendungspasswort an. → Zimbra

Die Notfallcodes sofort ausdrucken

Beim Einrichten bekommst du Ersatzcodes angezeigt. Druck sie aus oder schreib sie ab, und leg sie an einen Ort, an den du auch ohne Handy kommst.

Ohne diese Codes und ohne Handy kommst du nicht mehr hinein, und wir können dich nicht einfach durchwinken, denn genau das ist ja der Sinn der Sache.

Speichere sie nicht auf demselben Handy. Wenn das weg ist, ist beides weg.

Zimbra (E-Mail)¶

Wenn 2FA in deinem Zimbra-Account verfügbar ist, aktiviere es im Zimbra-Webmail unter den Account-/Sicherheits-Einstellungen.

Outlook / Mailprogramme mit 2FA (App-Passwörter)¶

Viele Mailprogramme (Outlook/ActiveSync/IMAP) können keinen „2FA-Code“ abfragen. Dafür nutzt du in Zimbra App-Passwörter (auch „Application Codes“ genannt):

In Zimbra-Webmail einloggen
2FA aktivieren
App-Passwort / Application Code für z. B. „Outlook“ erstellen
In Outlook als Passwort das App-Passwort eintragen (nicht dein normales Konto-Passwort)

Hinweis

Ein App‑Passwort ist wie ein eigenes Passwort nur für dieses Gerät/Programm. Wenn du ein Gerät verlierst, kannst du genau dieses App‑Passwort im Zimbra‑Account wieder deaktivieren, ohne dein normales Passwort zu ändern.

Kundenportal¶

Auch das Kundenportal kann eine Zwei-Faktor-Anmeldung — und dort lohnt sie sich besonders, weil darüber Verträge, Domains und Kündigungen laufen.

Im Kundenportal anmelden
Oben rechts auf deinen Namen klicken, dort steht „Hallo" und dein Vorname
Sicherheitseinstellungen öffnen
Zwei-Faktor-Anmeldung aktivieren und den QR-Code mit deiner Authenticator-App scannen

Denk an die Verbindung zum cPanel

Aus dem Kundenportal kommst du mit einem Klick ins cPanel, ohne dich dort erneut anzumelden. Das ist bequem — bedeutet aber auch: Wer in dein Kundenportal gelangt, kommt damit auch in dein Hosting. Wie du das steuerst, steht unter Kundenportal und cPanel: der direkte Zugang.

3. Dich benachrichtigen lassen, wenn sich jemand anmeldet¶

Diese Einstellung ist gut versteckt und deshalb kaum jemandem bekannt. Dabei ist sie der einfachste Frühwarnmelder, den du haben kannst.

Im cPanel: Einstellungen → Kontaktinformationen

Scroll zu Benachrichtigungseinstellungen und setz die Haken so:

„Jemand meldet sich an meinem Konto an." → anhaken
„Die Benachrichtigungen bei erfolgreicher Anmeldung deaktivieren." → Haken entfernen

Unten auf Speichern, fertig.

Ab Werk ist das ausgeschaltet

Standardmäßig ist der obere Haken nicht gesetzt und der untere doch, also genau andersherum. Ohne diese Umstellung erfährst du nie, wenn sich jemand anmeldet.

Die mittlere Zeile lässt du bewusst frei. Sonst bekommst du auch bei jeder eigenen Anmeldung aus dem gewohnten Netz eine Nachricht, und nach einer Woche liest sie niemand mehr. So meldet sich das System nur, wenn die Anmeldung von woanders kommt.

4. Die hinterlegte Kontaktadresse prüfen¶

Warnungen und Hinweise gehen an die Adresse, die im cPanel hinterlegt ist. Steht dort etwas Veraltetes, erfährst du von Problemen erst, wenn sie schon groß sind.

cPanel öffnen und Kontaktinformationen aufrufen
Eine Adresse eintragen, die du wirklich liest

Nicht die Adresse desselben Tarifs eintragen

Ein häufiger Fehler: Als Kontaktadresse steht ein Postfach, das auf genau diesem Hosting liegt. Wenn dort etwas klemmt, etwa weil das Postfach voll ist, kommt die Warnung genau deshalb nicht an.

Nimm eine Adresse bei einem anderen Anbieter oder wenigstens aus einem anderen Vertrag.

5. Zugänge aufräumen, die niemand mehr braucht¶

Ein vergessener Zugang ist ein offener Zugang. Geh einmal im halben Jahr durch:

FTP-Konten von Aufträgen, die längst erledigt sind
Postfächer von Personen, die nicht mehr da sind
Kontakte im Kundenportal, die keinen Zugriff mehr brauchen
Weiterleitungen, die niemand eingerichtet haben will

Solche Zugänge werden gezielt gesucht und durchprobiert. Ein Konto von vor drei Jahren, dessen Passwort inzwischen in einer Datensammlung steht, ist einer der häufigsten Wege, auf denen fremder Code auf eine Website gelangt.

Statt Passwörter weiterzugeben

Wenn jemand mitarbeiten soll, gib ihm einen eigenen Zugang, begrenzt auf das Nötige. Dann siehst du, wer was tut, und kannst ihn einzeln wieder entziehen. → Zweiter Zugang für die Agentur · Team Manager

Wenn du vermutest, dass jemand Zugriff hatte¶

In dieser Reihenfolge:

Passwort ändern, und zwar bei allem, was betroffen sein könnte
Die Anmeldung in zwei Schritten einschalten, falls noch nicht geschehen
Weiterleitungen prüfen. Das ist der Punkt, den fast alle vergessen: Wer sich Zugang verschafft, richtet oft eine stille Weiterleitung ein, die alle Nachrichten mitkopiert. Sieh im cPanel unter Weiterleitungen und bei der Standardadresse nach.
Nach neuen Postfächern sehen, die du nicht angelegt hast
Uns Bescheid geben, mit Datum und Uhrzeit der verdächtigen Aktivität

→ Über mein Postfach wurde Spam verschickt

Wir fordern dich niemals unter Zeitdruck zu etwas auf

Eine echte Nachricht von uns verlangt nie, dass du sofort irgendwo klickst, um etwas freizuschalten oder eine Sperre abzuwenden. Wer Druck macht, will genau das: dass du nicht nachdenkst.

Im Zweifel klick nichts an, sondern melde dich selbst im Kundenportal an, indem du die Adresse von Hand eintippst. Wenn es die Sache wirklich gibt, siehst du sie dort. → Phishing erkennen

Das könnte auch weiterhelfen¶

SSH-Schlüssel anlegen: sicherer als ein Passwort
Phishing erkennen
Ich habe keinen Zugang
Die schlimmsten Dinge, die du tun kannst
Eigene IP-Adresse herausfinden: für Freischaltungen
Kundenportal und cPanel: der direkte Zugang