Vielen Dank für deinen Beitrag. Ich finde deine Videos mega stark. An diesem Beispiel: das Video ist nicht zu lang, nicht zu kurz, sehr informativ aber trotzdem nicht zu komplex, alles schön knackig gehalten dass man super konzentriert den Inhalt aufnehmen kann und die Werbung finde ich auch gut eingebunden, ohne dass es nervig wird oder unseriös wirkt. Du machst eine wichtige und tolle Bildungsarbeit auf gut verständliche und angenehm unterhaltsame Weise. Danke dafür!
Ich finde das Video super. Ich bin jedoch erschrocken das ich selbst nicht mehr mitkommen obwohl ich früher immer auf dem laufenden war. Ich fände ein Video hilfreich wo erklärt wird wie man denn dann die Apps mit einem bestehenden Passwort Manager zusammen bringt. Mag für viele die hier zuschauen eine Lach immer sein, aber ich denke es würde einigen doch weiterhelfen die Sicherheit ihrer Accounts zu erhöhen.
@@diemitdemrotenhalsband2131 Könnte man damit umgehen dass man außen einen (verdeckten) Platz zum induktiven Laden für sich selbst anbietet, der Dank Smart Home nur dann aktiv ist wenn das Handy - normalerweise ständig online - aus ist. Dann ist nur noch ein defektes/gestohlenes Handy ein Problem. 😄
Jede 2FA-Variante ist besser als keine :-) Bei mir nehme ich die Time-Code-Geschichte (TOTP, die ist in Bitwarden dabei, funktioniert tadellos, auch mit meiner Nextcloud. Yubikey hatte ich für ein paar Wochen - war absolut nicht mein Ding. Ständig noch was mitschleppen oder im USB-Stecker haben, 2 Schlüssel kaufen wegen Backup usw. usw. - Das mag für Firmen interessant sein. Für meinen Privatbereich sehe ich da nur Nachteile. Egal - Deine Videos sind immer interessant - Daumen hoch! :-)
Danke für deine guten Aufklärungsvideos. Leute die sich für ihre Sicherheit interessieren, können auf jeden Fall gut von dir lernen. Ich verstehe die Leute nicht denen ihre Sicherheit egal ist und erst gar nicht damit beschäftigen. Na ja, sollte jeder selbst für sich entscheiden. Du erklärst es in deinen Videos sehr ausführlich und eigentlich für jeden der ein bisschen Ahnung hat, sind sie sehr wertvoll. Danke,dass du dir so viel Mühe machst und die Zeit nimmst neben deinem Hauptberuf. LG
Eine andere Lösung ist eine neue SIM-Karre die Mobile ID unterstützt. Mit Mobile ID kannst du dich bei verschiedenen Online-Diensten über dein Handy authentifizieren. Schütze deine Daten und nutze Mobile ID. Aktiviere die Zwei-Faktor-Authentifizierung (2FA ), um dich beim Login zu identifizieren. Die Nutzung von Mobile ID ist kostenlos. Die Daten werden auf der SIM-Karte verschlüsselt und gelten daher als sicher.
Das Blöde am Yubico Authenticator ist aber, dass die 2FA Keys auf dem Yubikey selbst gespeichert werden und nicht auf dem Gerät. Man hat also kein Backup. Es sei denn, ich packe die gleichen Codes nochmal auch auf den 2. Yubikey. Außerdem kann der Yubikey nur maximal 30 solcher Codes abspeichern.
So Cedric, jetz bin ich nach 5 Jahren wegen DIR von Google Auth auf Aegis gewechselt *ggg* Thx für den Tipp. Google Auth hängt ein wenig beim Start wenn man keine Google-Dienste installiert hat, Aegis flutscht ganz ordentlich... Hab bei der Gelegenheit auch mal ausgemistet - wer alles schon wieder aus dem Netz verschwunden ist..., unglaublich...
Bin von Google Authenticator auf Aegis umgestiegen, das ging ohne Probleme. Kann Aegis nur empfehlen (wenn Security Keys nicht verwendet werden können)
Seit einem Jahr rede ich schon davon, mir Yubikeys zu holen. Gestern hab ich sie mir bestellt, die gibt's dann quasi zu Weihnachten. Witzig, dass das passende Video dazu Heute kommt😂
Ich versuche immer noch alle in meinem Bekanntenkreis von 2FA zu überzeugen. Das ist leider nicht so leicht, da viele ältere es einfach nicht verstehen🥲 Über ein Video über Zero Trust würde ich mich freuen 👍
Ich mach hier mal Werbung für Authenticator Pro: - Ist OpenSource - Wird regelmäßig geupdated - Wearable Kompatibel - Verschlüsselte Backups möglich / Mit automatischem Import (z.B über Dropbox) - Man kann Gruppen bilden (z.B Für Privat und Beruflich, Server / Clients) - Kann (mit Tricks) auch Steam Authenticator ersetzen Bisher für mich, der beste OTP-Generator und in jedem Fall mal ein Blick wert!
Ich sehe zwar die Notwendigkeit für 2FA ,aber ich kann auch sagen, als einziger Computernerd der für alle Geräte der Familie verantwortlich ist, hat dieser Mist mir schon sehr viel Nerven gekostet. 😭 Jedes mal wenn irgendwo Probleme oder Anliegen anstehen, muss ich mir ne Packung Beruhigungstabletten daneben legen.
Ich selbst nutze auch den Yubico Key - versuche auch alle im Freundes und Bekanntenkreis dafür zu begeistern, mit NULL Erfolg :/ zu kompliziert, vergesse/verliere ich bestimmt, ach, wer hackt mich schon und vieles mehr. Das größte Problem ist aber, dass man das Ding von sich aus gar nicht nutzen kann. Ich mache 95 % über den YubiAtentificator. :( Echt Schade... Es ginge so viel mehr
Ja, kenn ich. Wieso sollte man denn ausgerechnet MICH hacken? Und was hat er denn dann davon? Wow, meinen Steam-Account. Ja genau, deinen Steam-Account wo du über 300€ in Games reingesteckt hast, am besten noch deinen Google-Account mit all deinen E-Mails... Aber diesen Leuten muss man meistens erstmal erklären, dass man bei verschiedenen Accounts nicht das gleiche Passwort benutzen sollte...
Was ist mit TOTP-Generatoren, zB Reiner SCT Authenticator? Die interne Uhr kann über einen permanent wechselnden QR-Code auf der Reiner-Website neu kalibriert werden. Die schleichende Desynchronisierung ist damit keinProblem mehr.
Ich freue mich, dass du erneut den Yubikey erwähnst. Könntest du nicht ein Einstellungsvideo machen für alles was er kann?, damit nicht IT-ler es nachbauen können. Mehr als ein Amazon, Google und Microsoft absichern ist bei mir nicht drinnen, da ich keine Ahnung habe für was die anderen Optionen sind.
geht auch mit einem hackrf und einem modilfunkmasten den man über laptop hochfährt dann kann man per wireshark die sms auch lesen wenn der 2fa ankommt ;-) und dank 1tb download über frankreich kann man auch die komplette gsm verschlüsselungstables laden und life mithören bei telefonaten ... ist aber dann aufwendiger da du im laptop eine schnelle 1tb platte brauchst und und dun aber nicht unmöglich hab es in einer nacht mit viel red bull nachgebaut ;-)
Nutze 2Fas. Die App hat alles was man braucht außer deutsche Sprache, die aber kommen soll. Gibt's auch schon ewig. Es kommen auch öfters Updates. Es gibt sogar Browsererweiterung zu der App
Eine andere Lösung ist eine neue SIM-Karre die Mobile ID unterstützt. Mit Mobile ID kannst du dich bei verschiedenen Online-Diensten über dein Handy authentifizieren. Schütze deine Daten und nutze Mobile ID. Aktiviere die Zwei-Faktor-Authentifizierung (2FA ), um dich beim Login zu identifizieren. Die Nutzung von Mobile ID ist kostenlos. Die Daten werden auf der SIM-Karte verschlüsselt und gelten daher als sicher.
@@kiritotayler3277 Bei anderen Banksystemen gibst du auch deine Nummer bekannt. Zumal man in der Schweiz hier nur überprüfen kann ob die SIM Mobile ID unterstützt. Danach kann man sich bei der Bank mit der Mobile Nummer registrieren, kommt aufs Handy eine Systenaufforderung zur Eingabe eines beliebigen PIN -Code.gibt dort einen frei gewählten Pin ein bestätig ihn nochmals fertig. Nach der Eingabe des Zugangsnamens und Passwort. Kommt jetzt eine Systemanforderung aufs Handy wo man die Aufforderung mit seinem PIN bestätigt. (Die Komuniation findet verschlüsselt per Flash SMS statt) Und schon bist du im Onlinbanking eingeloggt.
@@stuckclamp dann lass ich das. Danke für die Info. Aber will so wenig wie möglich bis garnicht meine Nummer irgendwo hinter legen. Bei meiner Bank muss ich keine Nummer hinterlegen.
Sehr eindrückliches Video! Vor allem überrascht mich extrem, dass PW Manager 2FA-Apps (KeePass?) und MS / Google Authetificator besser abschneiden als Authy (wegen Datenschutz?) Muss ich jetzt alles auf KeePass umstellen? Was mich negativ überrascht, ist die fehlende Präsenz der Open-Source-Apps auf iOS :(
Also ich wollte mir schon lange einen Key zulegen wegen Authentifizierung. Jedoch benötige ich für ein paar sachen diesen Key: GoTrust Idem Key FIDO2. Leider unterstützen die anderen Keys das noch nicht.
Die Passkeys von Apple sind eigentlich wie die keys nur das die halt Software seitig sind, ist das nicht eigentlich eine supper 2fa option oder gibt es daran Probleme?
Ein weiteres Problem mit SMS 2FA ist, dass wenn man man im Ausland ist, SMS zum Teil nicht ankommen. Dann kommt man nicht mehr ins Online-Banking, was echt problematisch sein kann. Hatte dieses Problem in Australien und Costa Rica.
danke mein KIT Info bro, jetzt bin ich dank Dir auf Bitwarden umgestiegen :) Als Dankeschön würde ich dir einen Bartrasierer kaufen, dann können deine Lippen auch mal wieder atmen :D
Google Authenticator hat doch mal ein Backup auf Papier angeboten, gibt's das nicht mehr? Und ich hab es auch auf mehreren meiner Geräte laufen. Ein weiteres Problem mit Google und Microsoft Authenticator könnte sein, das wenn es mit dem Googlekonto verknüpft ist weg ist wie alle Daten, wenn deren KI etwas unschönes in den Privaten Fotos zu erkennen glaub,
Zu Freeopt gibt es einen Fork, Freeopt+ dieser erhält regelmäßige Updates. Auch ein Export ist möglich, aber leider nicht automatisch und nicht in die (eigene) Cloud
Klasse Video, mal wieder was was gelernt. Wie du schon im Video gesagt hast, dass Clouds ein eigenes Video wert seien, kann ich dem nur voll und ganz zu stimmen. Es wäre praktisch zu wissen was denn jetzt genau die beste und vor allem sicherste Cloud ist.
Hi Morpheus. Klasse Video, wieder mal bin ich von deiner Lieferung begeistert. Jetzt aber doch ne Frage zum Yubikey: Ich nutze ihn seit einiger Zeit, habe auch einen zweiten als Backup gekauft, kriege ihn aber iwie nicht eingerichtet, außer halt als zweiten, unabhängig vom ersten arbeitenden Key. könntest Du das Thema auch mal angehen, wie ich einen vernünftigen Zweitschlüssel einrichte? Viele Grüße aus dem Ruhrpott
moin zusammen, ich habe mir gerade aegis installiert, um vom ms auth. weg zu wechseln. um meine bisherigen verlinkungen zu übernehmen, fragt aegis jetzt nach root-zugang, wovon ich vorher noch nicht gehört habe, habe jetzt nur ca. 15 Minuten recherche betrieben und bin nicht wirklich weiter gekommnen, hat da zufällig jemand kurz die Muße mir zu erklären wie genau ich das anstelle?
Bei 8:35 redest du davon, dass mit 2FA via E-Mail die Mail-Adresse zu einem "single-point of failure" wird. Aber machem nicht alle 2FA-Apps das Handy zu einem single-point of failure, wenn man die 2FA-Tokens in der App auf dem Handy und die Passwörter im Passwortmanager hat?
Yubi Keys. Ich habe die Dinger mal getestet. Ich empfinde die Teile als extrem unpraktisch und für den Hausgebrauch absoluter Overkill. Und seit wann kann man die Yubi Auth App sichern? Das war neben der Sache mit den Keys der Hauptgrund, warum ich sie nie verwendet habe. Auch nach stundenlangen Googeln konnte ich keinen Weg finden. Ist aber schon ein paar Jahre her, seit ich das getestet habe.
@The Morpheus - Kann man den QR-Export-Code von Google Authenticator auch mit einer anderen App bzw. Programm einlesen oder wie ist der Wechsel möglich?
Da habe ich gerade ein Flashback. Damals bei der Ausbildung. 2003 rum - gabs einen Rechner mit dem man sich in einen großen Chemiekonzern einloggen konnte. Dafür gab es einen RSA SecurID Token Stick dingens, der die Nummer direkt auf dem Stick anzeigt - natürlich offline. Nachdem der korrekt war musste man eine klassische TAN Nummer eingeben und diese weg streichen. Der RSA Stick und der TAN Bogen waren an unterschiedlichen Stellen verschlossen und es haben auch nur 2-3 Leute aufschließen können. Glaube die TAN Listen wurden auch jedes Monat neu geschickt, auch wenn noch nicht aufgebraucht. Ob man das heute auch noch so macht?
Bitte etwas über 2-Faktor-Authentifikation OHNE Handy. Das wäre mega! Oder geht dein Favorit ohne Handy? Ich raffs noch nicht ganz. Mir geht es auf den Keks, dass ich ständig das Handy benötige für Bank etc. Herzlichen Dank für deine großartige Arbeit!
Er sagte doch ungefähr bei 4:20, dass auch mails gehen. Du kannst es dir aber nicht aussuchen. Welche 2FA Methoden unterstützt werden, hängt von dem Anbieter (in dem Fall die Bank) ab. Ich kenne keine die mit mails arbeitet. Früher hatte man halt die TAN-Listen, welche praktisch auch 2FA sind bzw. waren. Und ja, mich nervt es auch für alles mein Handy nutzen zu müssen ABER da kommt man nicht drum herum. Manche Dienste bieten die Möglichkeit dein Gerät zu speichern (für begrenzte Zeit), sodass du z.B. nur einmal im Monat 2FA nutzen musst. Fürs Banking kenne ich das aber auch nicht, da muss ich selbst jede Transaktion mit 2FA bestätigen (es sei denn ich speicher es für die Session, dann nur einmal für alle Transaktionen)
@@Valnuss Bin mir nicht ganz sicher, ob du das meintest, aber Dashlane (Passwort-Manager) hat auch einen "Authenticator", der die Codes überall da anzeigt und ausfüllen kann, wo man Dashlane installiert hat, bzw. man angemeldet ist. Wie sinnvoll es ist, die 2FA-Codes im Passwort-Manager zu speichern, musst du selbst entscheiden, aber wenn man aufs Handy verzichten will, wäre das evtl. eine Option
Sehr gutes Video, nutze seither Authy und steige nun auf Aegis bis ich mich zwischen dem Titan und dem yubikey entschieden habe. Ein Vergleichsvideo hierzu wäre interessant.
Danke für dein gutes und informatives Video. Hast du bewusst die Möglichkeit bei iOS den Passwortmanager zu nutzen weggelassen, oder ist die Sicherheit dort eher auf Ebene der SMS angesiedelt. Würde mich als iOS Nutzer sehr interessieren. Besten Dank.
Hm.. ich würde gerne Passkeys von der Apple Keychain verwenden (auch nicht optimal weil Cloud-Lösung + Apple -> America), aber entweder stelle ich mich doof an, oder z.B. Google erkennt das nicht. Wenn ich dort beim Einrichten einen Sicherheitsschlüssel auswählen will, dann soll ich ein Gerät (Yubikey) einstecken, was aber eigentlich ja das OS mit der Apple Keychain machen sollte. Ooooder ich verwechsle da was.
Letztens erst von meiner Bank erstaunt gewesen. Die haben tatsächlich SMS-TAN seit Mitte des Jahres abgeschaltet. Ob die Bank-eigene Authenticator App jetzt so viel besser ist, überlasse ich mal den Experten, aber Hut ab, dass diese Methode endlich tot ist bei meiner Bank.
Bei MS gibt es nun ja ein 2FA Verfahren, bei dem zusätzlich ein auf der Webseite angezeigter Code eingegeben werden muss. Gibt es dafür auch schon Open Source Programme? Und gibt es einen Namen für dieses Verfahren?
Danke für das Inforeiche Video, kann mir jemand sagen, wo ich diesen Security Key kaufen kann bzw. muss man da auch auf etwas bestimmtes achten beim kauf?
Das Video hat mich daran erinnert, dass ich mal den Rest meiner 2FA OTP auf den Yubikey Authenticator umziehe und ich hab mit Paypal angefangen. Paypal hat mich doch tatsächlich auch den Yubikey hinterlegen lassen...dumm nur, dass ich nur einen meiner beiden Yubikeys hinterlegen konnte, ein zweiter ist nicht möglich. War aber trotzdem überrascht, dass ich überhaupt einen Sicherheitsschlüssel hinterlegen konnte.
Lieber Morpheus Ich nutze einen Yubikey und bin sehr zufrieden damit. Leider habe ich festgestellt, dass man bei vielen bei denen ich den Yubikey nutzen kann keinen zweiten als Backup hinterlegen kann dafür aber SMS Authy usw. was auch völlig schwachsinnig ist. Wie löst du das?
Das 2FA von Yubikey ist nicht korrekt! der Code für des OTP wird im Schlüssel selbst gespeichert, die App zeit nur an, was auf dem Schlüssel gespeichert ist. Bedeutet, ich kann auf einen Yubikey 5 OTP haben und diesen über die Smartphone App anzeigen lassen. Ich kann den selben Key aber auch in den PC stecken und mir da die OTPs anzeigen lassen. Vorteil: die App hat keine Codes, macht also auch kein Backup und es kann nichts geklaut werden Nachteil: Verliere ich einen Schlüssel, könnte ein Finder / Dieb die OTPs auslesen und hat hoffentlich nicht mehr Daten von meinen Accounts
@@d3f3kt52 Bin leider kein Experte um sagen zu können ob es gut oder besser ist als das original. Aber wenn gar keine Update mehr kommen halte ich es immer für die schlechtere Wahl.
@@creytax9802 Es ist im Prinzip das gleiche, nur dass es eben noch Updates erhält. Ein paar Verbesserungen wurden auch eingebaut um die App mit einem modernen Featureset auszustatten und auch optisch modern zu halten. Bin mir nicht sicher ob du meinen letzten Beitrag missverstanden hast, ich nutze auch FreeOTP+, da dieses eben noch Updates erhält. FreeOTP scheint tot zu sein.
Was ist eigentlich mit der guten alten PFX-Datei? Wenn man sich statt mit Username und Passwort einfach mit PFX-Datei und Passwort einloggt, dann sollte es ja auch sicher sein, weil die PFX-Datei ja physisch auf dem Rechner vorliegen muss. Das bedeutet ein Angreifer braucht die PFX-Datei (und damit zugriff auf deinen Rechner) und das Passwort. Müsste das nicht sogar sicherer als 2FA sein?
Das würd aber auch nichts helfen wenn man die PFX-Datei aus Versehen auf einer Phishing-Seite hochlädt, oder? Wenn man den 2FA-Code auf einer Phishing-Seite eingeben würde, könnten die sich zwar (wenn sie schnell sind) auch einloggen, aber immerhin nur ein einziges Mal (was allerdings zugegebenermaßen meistens ausreichen dürfte, erheblichen Schaden anzurichten).
Ich nutze yubio auth. Was mich davon abhält überall 2FA zu nutzen: Viele Seiten (auch online banking) wollen mir ihre eigenen Apps unterjubeln ohne alternative. Ich kann und will mir die aber nicht alle installieren.
FreeOTP+ ist aktiv gewartet, kann Backups (verschlüsseln muss man selber), App sperren mit PIN oder Fingerabdruck und sieht einfach besser aus als Aegis.
Kannst du auch ein Video über Proxys machen Z.B welche sind gut, wo findet man die Proxy Adressen und ob bzw. welche für den Router z.b geeignet sind usw. Wäre echt cool.
Was ich beim Microsoft Authenticator ganz nice finde ist einerseits dir Option die ab Biometrisch zu sperren und dass ich mich bei Microsoft Diensten mit einer weiteren Bestätigung anmelden muss (Bei der anmeldeseite wird eine zweistellige Zahl angezeigt und diese muss ich dann in der App eingeben)
Security keys - was passiert wenn er kaputt geht oder ich ihn verliere? Dann komm ich nirgends mehr rein. Mein persönlicher Grund, warum ich lieber bei einer Softwarelösung bleibe... 😬
Es wäre so schön wenn Banken offene 2FA standards unterstützen würden als Alternatives Tan Verfahren, oder gibt es da Probleme? Ich würde es sehr begrüßen wenn baken Fido2 unterstützen würden, das wäre sicherer als bestehende Techniken und offen. Ich bekomme jedes Mal einen Wutanfall wenn bei Banken die Tan mal wieder gesperrt sind und man alles wieder neu beantragen muss, besonders toll wenn man im Urlaub ist. Deutsche Banken sind echt noch in der Steinzeit.
Ja - da bei Konto Transaktionen, die IBAN und Betrag ausgewiesen sein muss. Daher Apps oder Chip Tan - Fido2 z.B. würde da nicht gehen Aber z.B. die DKB nutz als zweiten Faktor nur den Finger - Revoult auch.
@@Tom-fy8lw Verstehe, aber technisch sollte das doch trotzdem möglich sein Fido als zweiten Faktor zu nutzen. Letztendlich Authentifiziert man dadurch ja seine Transaktionen bei der Bank und wie die Bank die Transaktionen Authentifiziert ist im backend ja erstmal egal. In der Tam müssen ja keine Informationen wie IBAN etc. gespeichert werden. Natürlich wäre das ein größerer Aufwand für Banken einen offenen Standort zu implementieren aber ich denen es hätte definitiv einen Mehrwert, und auf lange Sicht könnte das alles günstiger und sicherer werden wenn deutsche Banken zusammen an einer gemeinsamen Lösung arbeiten würden.
@@maxmustermann9858 naja es muss bei dir auf dem zweiten Faktor die Iban daneben stehen (was wirklich Sinn macht) Klar könnte man Fido eventuell so erweitern, dass es zusätzliche Informationen anzeigen kann - das wäre aber sehr viel Arbeit
@@Tom-fy8lw Ich verstehe was du meinst. Aber es muss ja nicht im zweiten Faktor die IBAN gespeichert werden. Wenn man eine sms Tan bekommt ist darin ja auch keine IBAN etc. gespeichert. In der App oder auf der Webseite wird der IBAN dann die Tam zugeordnet was ja im Backend der Bank passiert. Somit müsste ein offener Standard wie Fido technisch gesehen kein Problem sein.
@@maxmustermann9858 Ja aber wenn du bestätigst z.B. auf ein Tan Generator muss dort die teil Iban stehen (um z.B. zu verhindern, dass die Bank Webseite manipuliert wurde - Nachbau und man leitet alles ans Backend weiter, bei der Überweisung auf dem PC steht - 50€ im Hintergrund geht es aber um 5000€ dein Tan Generatoren würde dir das anzeigen) Letztendlich ist das auch so festgelegt in der 2FA Verordnung für Banken. Bei der SMS Tan steht es übrings auch dabei: Die Tan für die Überweisung an xx über Betrag yy Es geht hier bei auch nicht um darum das der Zweite Faktor die IBAN ist - es muss bei der Tan genierung (also dort wo die Nummer bekommst) explizit dabei stehen wofür jene Transaktionen ist. (Also würde z.B. OTP auch nicht gehen da du dort nur einen code bekommst, dieser aber nicht explizit sagt für welche Transaktionen er ist)
Für die eigene Plattform? Hab's schon ein paar Mal probiert und kein zuverlässiges framework gefunden. Die werden die ganze Zeit überarbeitet noch und ändern sich
Was mich mal interessieren würde wäre, wie findest du die Absicherungen der Neo-Broker? Also z.B. Scailable, Trade Republic etc. diese haben so wie ich es sehe keinen wirklichen 2-FA.
Hi, sehr interessantes Video. Yubico werd ich mir mal anschauen. :) Dennoch würde mich eines interessieren. Vor weg tl:dr, runterscrollen und ein Kurzfassung wird es leider nicht geben. :D Intro: Gehen wir davon aus, dass Authy (die App habe ich z.Zt.) nicht gehackt wird und "nicht kanckbar" ist. Aber mein Samung-Smartphone wird gehackt und der Hacker hat Zugriff auf meine verlängerte Lebensader. Ich habe Authy im "sicheren Ordner" von Samsung-Knox mit biometrischer Sicherung. Zudem ist die App ebenfalls mit der biometrischen Sicherung ausgestattet oder mit Passworteingabe als Alternative. Danach erst würde die App den 2FA-Code anzeigen. Lt. Samsung sind meine Fingerabdrücke gesichert gespeichert durch Knox. Frage: Wie sicher ist diese Vorgehensweise, dass ein Hacker erstmal zu rudern hat um an meine Fingerabdrücke zu kommen, um meinen "sicheren Ordner" zu entsperren und dann auch sicherlich Authy? Dankeschön für eure Antworten, im Voraus und bin gespannt welche Antworten kommen. :) THX
Ich nutze für „unwichtige“ 2FA Passwörter noch die App „OTP-Auth“ . Gibts zumindest bei Apple (Android habe ich keine Erfahrung). Das letzte Update gabs vor nem Jahr zu den iOS 15 Anpassungen. Es kann, je nachdem was man möchte, iCloud Sync und verschlüsselte Backups der Schlüssel. Die App nutze ich schon lange und hat immer gut Funktioniert. Seit einem Jahr nutze ich auch 2 Yubikeys (v 5 NFC), mit dem ich alles was wichtig ist (Banking, Windows & MacOS Logon,…) schon umgestellt habe, und vermutlich jetzt in den Weihnachtsferien auch den Rest umziehe. Wo es geht und unterstützt wird nutze ich Passwortlosen Login mit den Sticks (zb bei meinen Wordpress Blog, usw). Inzwischen habe ich die 2 Keys auch für die iCloud in verwendung, was ja jetzt seit der neuen B1 (iso 16.3,…) unterstützt wird.
@@TheMorpheusVlogs Ich selbst nutze Vaultwarden selbst gehostet. Die Möglichkeit in Bitwarden auch 2FA zu hinterlegen halte ich für einen sehr guten Komfort Sicherheitsgewinn. Weil es so einfach und schnell an zu wenden ist, benutze ich es bei allen möglichen Seiten. Dazu habe ich Vaultwarden mit freeOTP+ abgesichert. Die Wahrscheinlichkeit das jemand meinen Server findet halte ich für gering. Müsste dann also schon sehr abhandenkommen. Adresse für Server, Zugangsdaten zum Server, Masterpasswort welches nur dafür verwendet wird, freeOPT+ welches per Fingerabdruck gesichert ist und erst dann wären alle passwörter benutzbar. Da ist die Wahrscheinlichkeit das einfach ein Dienst gehackt wird deutlich höher. Hier dann einfach hoffen das 2FA aktiv war und man nach Bekanntgabe die Passwörter auswechselt. AEGIS als alternative zu freeOTP+ schaue ich mir an. Danke für die tollen Videos.
Super Video, fast alle Fragen beantwortet, die ich mir gestellt habe. Nur um sicherzugehen, dass ich alles richtig verstanden habe: Für iOS ist bisher die beste Lösung, wenn ich mir 3 Yubico Authenticator Keys kaufe und einen davon beispielsweise in ein Bankfach lege, um auf Nummer sicher zu gehen. Ich hatte in einem Kommentar gelesen, dass man auch dort ab und an ein neues Backup erstellen muss, weshalb man dann einen recht hohen Aufwand hätte. Stimmt das so, oder habe ich etwas falsch verstanden? Ich wäre sehr dankbar, hätten wir Aegis auch für iOS - das wäre vielleicht nicht ganz so sicher, aber dennoch etwas bequemer. Oder gibt es mittlerweile etwas Vergleichbares für iOS?
Danke für das Video :) Sollte man eigentlich für die maximale Sicherheit immer nur eine 2FA Variante einrichten? Hab alle wichtigen Konten mittlerweile mit Security Keys gesichert, wenn ich bei Google dann aber z.B. den Authenticator oder sogar SMS noch als Alternative zulasse, habe ich meine Sicherheit praktisch nicht verändert, da SMS bzw. Authenticator ja das schwächere Glied ist, richtig?
Du hast es etwas verbessert, weil wenn du dein Passwort auf einer Phishing Seite eingibst und Key auswählst, die damit nicht so viel anfangen können. Aber ja, es ist immer noch wesentlich schlechter SMS aktiviert zu haben
Vielen Dank für deinen Beitrag. Ich finde deine Videos mega stark. An diesem Beispiel: das Video ist nicht zu lang, nicht zu kurz, sehr informativ aber trotzdem nicht zu komplex, alles schön knackig gehalten dass man super konzentriert den Inhalt aufnehmen kann und die Werbung finde ich auch gut eingebunden, ohne dass es nervig wird oder unseriös wirkt.
Du machst eine wichtige und tolle Bildungsarbeit auf gut verständliche und angenehm unterhaltsame Weise. Danke dafür!
Ich finde das Video super. Ich bin jedoch erschrocken das ich selbst nicht mehr mitkommen obwohl ich früher immer auf dem laufenden war. Ich fände ein Video hilfreich wo erklärt wird wie man denn dann die Apps mit einem bestehenden Passwort Manager zusammen bringt. Mag für viele die hier zuschauen eine Lach immer sein, aber ich denke es würde einigen doch weiterhelfen die Sicherheit ihrer Accounts zu erhöhen.
Du sprichst mir aus dem Herzen. Früher war ich bei vielem auf dem Laufenden, mittlerweile fällt es mir immer schwerer, mitzukommen.
Demnächst auch für den Hauseingang. Erst Schlüssel, dann noch Handy. Blöd nur wenn man Handy in der Wohnung gelassen hat 😂
?
Ich hoffe du hast noch dein zweites Händy im Safe bei der Bank, denn sonst kommst du nur noch über den Balkon und ein Stück holz ins haus.
@@Kirides da isr das Akku leer, zudem isr es nach 17 Uhr und die Bank isr zu
Gut das es noch Uhren gibt ☺️
@@diemitdemrotenhalsband2131 Könnte man damit umgehen dass man außen einen (verdeckten) Platz zum induktiven Laden für sich selbst anbietet, der Dank Smart Home nur dann aktiv ist wenn das Handy - normalerweise ständig online - aus ist.
Dann ist nur noch ein defektes/gestohlenes Handy ein Problem. 😄
Jede 2FA-Variante ist besser als keine :-) Bei mir nehme ich die Time-Code-Geschichte (TOTP, die ist in Bitwarden dabei, funktioniert tadellos, auch mit meiner Nextcloud. Yubikey hatte ich für ein paar Wochen - war absolut nicht mein Ding. Ständig noch was mitschleppen oder im USB-Stecker haben, 2 Schlüssel kaufen wegen Backup usw. usw. - Das mag für Firmen interessant sein. Für meinen Privatbereich sehe ich da nur Nachteile. Egal - Deine Videos sind immer interessant - Daumen hoch! :-)
Danke für all deine Videos❤
Immer inhaltlich vollgepackt, mit Humor und geiler Animierter Umsetzung.
Danke für deine guten Aufklärungsvideos. Leute die sich für ihre Sicherheit interessieren, können auf jeden Fall gut von dir lernen. Ich verstehe die Leute nicht denen ihre Sicherheit egal ist und erst gar nicht damit beschäftigen. Na ja, sollte jeder selbst für sich entscheiden. Du erklärst es in deinen Videos sehr ausführlich und eigentlich für jeden der ein bisschen Ahnung hat, sind sie sehr wertvoll. Danke,dass du dir so viel Mühe machst und die Zeit nimmst neben deinem Hauptberuf. LG
Eine andere Lösung ist eine neue SIM-Karre die Mobile ID unterstützt.
Mit Mobile ID kannst du dich bei verschiedenen Online-Diensten über dein Handy authentifizieren.
Schütze deine Daten und nutze Mobile ID. Aktiviere die Zwei-Faktor-Authentifizierung (2FA ), um dich beim Login zu identifizieren.
Die Nutzung von Mobile ID ist kostenlos. Die Daten werden auf der SIM-Karte verschlüsselt und gelten daher als sicher.
Das Blöde am Yubico Authenticator ist aber, dass die 2FA Keys auf dem Yubikey selbst gespeichert werden und nicht auf dem Gerät.
Man hat also kein Backup. Es sei denn, ich packe die gleichen Codes nochmal auch auf den 2. Yubikey.
Außerdem kann der Yubikey nur maximal 30 solcher Codes abspeichern.
Ich habs auf 3 Keys gespeichert. Einer am Schlüsselbund, einer am PC und einer im Safe.
So Cedric, jetz bin ich nach 5 Jahren wegen DIR von Google Auth auf Aegis gewechselt *ggg*
Thx für den Tipp. Google Auth hängt ein wenig beim Start wenn man keine Google-Dienste installiert hat, Aegis flutscht ganz ordentlich...
Hab bei der Gelegenheit auch mal ausgemistet - wer alles schon wieder aus dem Netz verschwunden ist..., unglaublich...
Bin von Google Authenticator auf Aegis umgestiegen, das ging ohne Probleme. Kann Aegis nur empfehlen (wenn Security Keys nicht verwendet werden können)
Hab ich auch getan, allerdings bin ich mir nicht sicher ob und wie dir App mit anderem Geräten synchronisiert werden kann. Weißt du da mehr ?
Seit einem Jahr rede ich schon davon, mir Yubikeys zu holen. Gestern hab ich sie mir bestellt, die gibt's dann quasi zu Weihnachten. Witzig, dass das passende Video dazu Heute kommt😂
Als bisheriger Authy Only Nutzer danke ich dir für dieses Video👍
Ich versuche immer noch alle in meinem Bekanntenkreis von 2FA zu überzeugen. Das ist leider nicht so leicht, da viele ältere es einfach nicht verstehen🥲
Über ein Video über Zero Trust würde ich mich freuen 👍
Was sind den bei den Herrschaften die Bedenken? Oder verstehen sie die Erklärung nicht?
"Clouds sind nochmal ein Thema für ein anderes Video" kannst du vielleicht ein Video zu sicheren cloud Lösungen machen? Wäre nice
Ich mach hier mal Werbung für Authenticator Pro:
- Ist OpenSource
- Wird regelmäßig geupdated
- Wearable Kompatibel
- Verschlüsselte Backups möglich / Mit automatischem Import (z.B über Dropbox)
- Man kann Gruppen bilden (z.B Für Privat und Beruflich, Server / Clients)
- Kann (mit Tricks) auch Steam Authenticator ersetzen
Bisher für mich, der beste OTP-Generator und in jedem Fall mal ein Blick wert!
Ich sehe zwar die Notwendigkeit für 2FA ,aber ich kann auch sagen, als einziger Computernerd der für alle Geräte der Familie verantwortlich ist, hat dieser Mist mir schon sehr viel Nerven gekostet. 😭
Jedes mal wenn irgendwo Probleme oder Anliegen anstehen, muss ich mir ne Packung Beruhigungstabletten daneben legen.
Man kennts...
@@mortem6889 und die anderen wollen kein Passwort merken, fürs Smartphone. Es nervt denen.
Habe lange auf dieses Video gewartet! Danke.
Ich selbst nutze auch den Yubico Key - versuche auch alle im Freundes und Bekanntenkreis dafür zu begeistern, mit NULL Erfolg :/ zu kompliziert, vergesse/verliere ich bestimmt, ach, wer hackt mich schon und vieles mehr. Das größte Problem ist aber, dass man das Ding von sich aus gar nicht nutzen kann. Ich mache 95 % über den YubiAtentificator. :( Echt Schade... Es ginge so viel mehr
Ja, kenn ich. Wieso sollte man denn ausgerechnet MICH hacken? Und was hat er denn dann davon? Wow, meinen Steam-Account. Ja genau, deinen Steam-Account wo du über 300€ in Games reingesteckt hast, am besten noch deinen Google-Account mit all deinen E-Mails... Aber diesen Leuten muss man meistens erstmal erklären, dass man bei verschiedenen Accounts nicht das gleiche Passwort benutzen sollte...
Was ist mit TOTP-Generatoren, zB Reiner SCT Authenticator?
Die interne Uhr kann über einen permanent wechselnden QR-Code auf der Reiner-Website neu kalibriert werden. Die schleichende Desynchronisierung ist damit keinProblem mehr.
Ich freue mich, dass du erneut den Yubikey erwähnst. Könntest du nicht ein Einstellungsvideo machen für alles was er kann?, damit nicht IT-ler es nachbauen können. Mehr als ein Amazon, Google und Microsoft absichern ist bei mir nicht drinnen, da ich keine Ahnung habe für was die anderen Optionen sind.
geht auch mit einem hackrf und einem modilfunkmasten den man über laptop hochfährt dann kann man per wireshark die sms auch lesen wenn der 2fa ankommt ;-) und dank 1tb download über frankreich kann man auch die komplette gsm verschlüsselungstables laden und life mithören bei telefonaten ... ist aber dann aufwendiger da du im laptop eine schnelle 1tb platte brauchst und und dun aber nicht unmöglich hab es in einer nacht mit viel red bull nachgebaut ;-)
Authy hält übrigens eure 2FA Codes als Geisel. Sie zu exportieren, bzw. in eine anderen App mitzunehmen ist quasi unmöglich.
Aegis kannte ich noch nicht, hatte bisher FreeOTP+ und KeePassXC.
Ubrigens bietet die telekom eine mündliche Passwort Abfrage für alle Änderungen am account via Telefon an. Wer es nicht kennt, kann nichts ändern
Nutze 2Fas. Die App hat alles was man braucht außer deutsche Sprache, die aber kommen soll. Gibt's auch schon ewig. Es kommen auch öfters Updates. Es gibt sogar Browsererweiterung zu der App
Du hast noch eine Methode vergessen, die mit Security Keys (fast) gleichzieht: Biometrischer 2FA (Fingerabdruck, Gesichtserkennung) via WebAuthn. 😏
Darüber wäre ein Video toll
Eine andere Lösung ist eine neue SIM-Karre die Mobile ID unterstützt.
Mit Mobile ID kannst du dich bei verschiedenen Online-Diensten über dein Handy authentifizieren.
Schütze deine Daten und nutze Mobile ID. Aktiviere die Zwei-Faktor-Authentifizierung (2FA ), um dich beim Login zu identifizieren.
Die Nutzung von Mobile ID ist kostenlos. Die Daten werden auf der SIM-Karte verschlüsselt und gelten daher als sicher.
@@stuckclamp ohne Meine Nummer preis zu geben ?
@@kiritotayler3277 Bei anderen Banksystemen gibst du auch deine Nummer bekannt. Zumal man in der Schweiz hier nur überprüfen kann ob die SIM Mobile ID unterstützt.
Danach kann man sich bei der Bank mit der Mobile Nummer registrieren, kommt aufs Handy eine Systenaufforderung zur Eingabe eines beliebigen PIN -Code.gibt dort einen frei gewählten Pin ein bestätig ihn nochmals fertig.
Nach der Eingabe des Zugangsnamens und Passwort.
Kommt jetzt eine Systemanforderung aufs Handy wo man die Aufforderung mit seinem PIN bestätigt. (Die Komuniation findet verschlüsselt per Flash SMS statt) Und schon bist du im Onlinbanking eingeloggt.
@@stuckclamp dann lass ich das. Danke für die Info. Aber will so wenig wie möglich bis garnicht meine Nummer irgendwo hinter legen.
Bei meiner Bank muss ich keine Nummer hinterlegen.
Sehr eindrückliches Video!
Vor allem überrascht mich extrem, dass PW Manager 2FA-Apps (KeePass?) und MS / Google Authetificator besser abschneiden als Authy (wegen Datenschutz?)
Muss ich jetzt alles auf KeePass umstellen?
Was mich negativ überrascht, ist die fehlende Präsenz der Open-Source-Apps auf iOS :(
Also ich wollte mir schon lange einen Key zulegen wegen Authentifizierung. Jedoch benötige ich für ein paar sachen diesen Key: GoTrust Idem Key FIDO2. Leider unterstützen die anderen Keys das noch nicht.
Die Passkeys von Apple sind eigentlich wie die keys nur das die halt Software seitig sind, ist das nicht eigentlich eine supper 2fa option oder gibt es daran Probleme?
Nutze auch Aegis ist mega praktisch und super angenehm. Datenbank ist natürlich gesichert, falls das Handy verloren geht
was ist mit dem Apple 2fa wo man das andere Apple gerät brauch und der neuen endzuend Verschlüsslung von Apple
Ein weiteres Problem mit SMS 2FA ist, dass wenn man man im Ausland ist, SMS zum Teil nicht ankommen. Dann kommt man nicht mehr ins Online-Banking, was echt problematisch sein kann. Hatte dieses Problem in Australien und Costa Rica.
danke mein KIT Info bro, jetzt bin ich dank Dir auf Bitwarden umgestiegen :) Als Dankeschön würde ich dir einen Bartrasierer kaufen, dann können deine Lippen auch mal wieder atmen :D
Google Authenticator hat doch mal ein Backup auf Papier angeboten, gibt's das nicht mehr? Und ich hab es auch auf mehreren meiner Geräte laufen.
Ein weiteres Problem mit Google und Microsoft Authenticator könnte sein, das wenn es mit dem Googlekonto verknüpft ist weg ist wie alle Daten, wenn deren KI etwas unschönes in den Privaten Fotos zu erkennen glaub,
Zu Freeopt gibt es einen Fork, Freeopt+ dieser erhält regelmäßige Updates. Auch ein Export ist möglich, aber leider nicht automatisch und nicht in die (eigene) Cloud
für mich als ITler nicht immer neu, allerdings bereitest du die infos schön auf sodass ich es gerne zum "Entertainment" anschaue.
Als du von der YubiKey App erzählt hast, ich habe direkt pausiert und heruntergeladen. VIELEN DANK
Klasse Video, mal wieder was was gelernt.
Wie du schon im Video gesagt hast, dass Clouds ein eigenes Video wert seien, kann ich dem nur voll und ganz zu stimmen. Es wäre praktisch zu wissen was denn jetzt genau die beste und vor allem sicherste Cloud ist.
Sehr gutes Video. Leite ich weiter an meine Pappenheimer... Danke! Kleine Korrektur: Spear-Fishing statt Spare-Fishing
Ich nutze den Google Authenticator, habe aber alle Konten zusätzlich auf mein altes Handy exportiert. Dazu gibt jede Webseite ja Backup-Codes raus...
Hi Morpheus.
Klasse Video, wieder mal bin ich von deiner Lieferung begeistert.
Jetzt aber doch ne Frage zum Yubikey: Ich nutze ihn seit einiger Zeit, habe auch einen zweiten als Backup gekauft, kriege ihn aber iwie nicht eingerichtet, außer halt als zweiten, unabhängig vom ersten arbeitenden Key. könntest Du das Thema auch mal angehen, wie ich einen vernünftigen Zweitschlüssel einrichte?
Viele Grüße aus dem Ruhrpott
moin zusammen, ich habe mir gerade aegis installiert, um vom ms auth. weg zu wechseln.
um meine bisherigen verlinkungen zu übernehmen, fragt aegis jetzt nach root-zugang, wovon ich vorher noch nicht gehört habe, habe jetzt nur ca. 15 Minuten recherche betrieben und bin nicht wirklich weiter gekommnen, hat da zufällig jemand kurz die Muße mir zu erklären wie genau ich das anstelle?
Bei 8:35 redest du davon, dass mit 2FA via E-Mail die Mail-Adresse zu einem "single-point of failure" wird. Aber machem nicht alle 2FA-Apps das Handy zu einem single-point of failure, wenn man die 2FA-Tokens in der App auf dem Handy und die Passwörter im Passwortmanager hat?
Mir gefallen am besten Signaturkarten mit Klasse 3 Lesegerät. Zur Signaturerzeugung ist eine PIN erforderlich, die dem PC nicht bekannt wird.
Die typischen 2FA-Methoden finde ich auch ziemlich nervig. Ich möchte nicht jedes Mal manuell eine TAN eingeben müssen.
Yubi Keys. Ich habe die Dinger mal getestet. Ich empfinde die Teile als extrem unpraktisch und für den Hausgebrauch absoluter Overkill. Und seit wann kann man die Yubi Auth App sichern? Das war neben der Sache mit den Keys der Hauptgrund, warum ich sie nie verwendet habe. Auch nach stundenlangen Googeln konnte ich keinen Weg finden. Ist aber schon ein paar Jahre her, seit ich das getestet habe.
@The Morpheus - Kann man den QR-Export-Code von Google Authenticator auch mit einer anderen App bzw. Programm einlesen oder wie ist der Wechsel möglich?
Warum wurde keine Open Source App für iOS vorgestellt? Gibt doch Raivo als gute OTP Lösung
Da habe ich gerade ein Flashback. Damals bei der Ausbildung. 2003 rum - gabs einen Rechner mit dem man sich in einen großen Chemiekonzern einloggen konnte.
Dafür gab es einen RSA SecurID Token Stick dingens, der die Nummer direkt auf dem Stick anzeigt - natürlich offline.
Nachdem der korrekt war musste man eine klassische TAN Nummer eingeben und diese weg streichen. Der RSA Stick und der TAN Bogen waren an unterschiedlichen Stellen verschlossen und es haben auch nur 2-3 Leute aufschließen können. Glaube die TAN Listen wurden auch jedes Monat neu geschickt, auch wenn noch nicht aufgebraucht.
Ob man das heute auch noch so macht?
Vielen Dank für die immer wieder guten und vorallem kostenlosen Informationen! ❤
Wieso nicht 3FA? Z.B. mit Biometrie, meine Debitkarte läuft damit, braucht aber noch die Unterstützung der Shop-Webseite.
Das bieten noch viel weniger Websites an 😅
Bitte etwas über 2-Faktor-Authentifikation OHNE Handy. Das wäre mega! Oder geht dein Favorit ohne Handy? Ich raffs noch nicht ganz.
Mir geht es auf den Keks, dass ich ständig das Handy benötige für Bank etc.
Herzlichen Dank für deine großartige Arbeit!
Er sagte doch ungefähr bei 4:20, dass auch mails gehen. Du kannst es dir aber nicht aussuchen. Welche 2FA Methoden unterstützt werden, hängt von dem Anbieter (in dem Fall die Bank) ab. Ich kenne keine die mit mails arbeitet.
Früher hatte man halt die TAN-Listen, welche praktisch auch 2FA sind bzw. waren.
Und ja, mich nervt es auch für alles mein Handy nutzen zu müssen ABER da kommt man nicht drum herum. Manche Dienste bieten die Möglichkeit dein Gerät zu speichern (für begrenzte Zeit), sodass du z.B. nur einmal im Monat 2FA nutzen musst. Fürs Banking kenne ich das aber auch nicht, da muss ich selbst jede Transaktion mit 2FA bestätigen (es sei denn ich speicher es für die Session, dann nur einmal für alle Transaktionen)
@@Valnuss Bin mir nicht ganz sicher, ob du das meintest, aber Dashlane (Passwort-Manager) hat auch einen "Authenticator", der die Codes überall da anzeigt und ausfüllen kann, wo man Dashlane installiert hat, bzw. man angemeldet ist. Wie sinnvoll es ist, die 2FA-Codes im Passwort-Manager zu speichern, musst du selbst entscheiden, aber wenn man aufs Handy verzichten will, wäre das evtl. eine Option
@@jonashofmann7975 geht bei Bitwarden ebenfalls.
@@BeamDeam nice, hab ich nicht gewusst
Du kannst dir ja mal Etopa anschauen (funktioniert im Browser und als App)
Sehr gutes Video, nutze seither Authy und steige nun auf Aegis bis ich mich zwischen dem Titan und dem yubikey entschieden habe. Ein Vergleichsvideo hierzu wäre interessant.
gute idee, danke!
Ich kann als iOS-Alternative für Aegis übrigens Raivo empfehlen.
Danke für dein gutes und informatives Video. Hast du bewusst die Möglichkeit bei iOS den Passwortmanager zu nutzen weggelassen, oder ist die Sicherheit dort eher auf Ebene der SMS angesiedelt. Würde mich als iOS Nutzer sehr interessieren. Besten Dank.
Hm.. ich würde gerne Passkeys von der Apple Keychain verwenden (auch nicht optimal weil Cloud-Lösung + Apple -> America), aber entweder stelle ich mich doof an, oder z.B. Google erkennt das nicht. Wenn ich dort beim Einrichten einen Sicherheitsschlüssel auswählen will, dann soll ich ein Gerät (Yubikey) einstecken, was aber eigentlich ja das OS mit der Apple Keychain machen sollte. Ooooder ich verwechsle da was.
schönes Video - AEGIS wird installiert. ;)
Letztens erst von meiner Bank erstaunt gewesen. Die haben tatsächlich SMS-TAN seit Mitte des Jahres abgeschaltet.
Ob die Bank-eigene Authenticator App jetzt so viel besser ist, überlasse ich mal den Experten, aber Hut ab, dass diese Methode endlich tot ist bei meiner Bank.
Würde gerne von MS zu Aegis wechseln, aber finde bei MS keine Export Funktion. Alle OTPs einzeln neu einzurichten ist viel Arbeit... Weiß jemand mehr?
Bei MS gibt es nun ja ein 2FA Verfahren, bei dem zusätzlich ein auf der Webseite angezeigter Code eingegeben werden muss.
Gibt es dafür auch schon Open Source Programme? Und gibt es einen Namen für dieses Verfahren?
Der Name ist OATH TOPT.
Die Frage nach der alternativen App habe ich auch gerade gestellt ;)
Danke für das Inforeiche Video, kann mir jemand sagen, wo ich diesen Security Key kaufen kann bzw. muss man da auch auf etwas bestimmtes achten beim kauf?
6:26 und ja bei der Tcom geht das furchtbar gut😈🤣🤣
Für apple gitb es Raivo OTP ist OpenSource und hatt viele Funktionen
Das Video hat mich daran erinnert, dass ich mal den Rest meiner 2FA OTP auf den Yubikey Authenticator umziehe und ich hab mit Paypal angefangen.
Paypal hat mich doch tatsächlich auch den Yubikey hinterlegen lassen...dumm nur, dass ich nur einen meiner beiden Yubikeys hinterlegen konnte, ein zweiter ist nicht möglich. War aber trotzdem überrascht, dass ich überhaupt einen Sicherheitsschlüssel hinterlegen konnte.
Lieber Morpheus
Ich nutze einen Yubikey und bin sehr zufrieden damit. Leider habe ich festgestellt, dass man bei vielen bei denen ich den Yubikey nutzen kann keinen zweiten als Backup hinterlegen kann dafür aber SMS Authy usw. was auch völlig schwachsinnig ist. Wie löst du das?
Mal wieder ein schöner Überblick, nur Passkeys fehlte mir (wenn auch sehr neu und wenig/nicht implementiert)
Ja, die fehlende Implementierung war der Grund. Sobald es etwas verbreitet ist, kommt das
Das 2FA von Yubikey ist nicht korrekt! der Code für des OTP wird im Schlüssel selbst gespeichert, die App zeit nur an, was auf dem Schlüssel gespeichert ist.
Bedeutet, ich kann auf einen Yubikey 5 OTP haben und diesen über die Smartphone App anzeigen lassen. Ich kann den selben Key aber auch in den PC stecken und mir da die OTPs anzeigen lassen.
Vorteil: die App hat keine Codes, macht also auch kein Backup und es kann nichts geklaut werden
Nachteil: Verliere ich einen Schlüssel, könnte ein Finder / Dieb die OTPs auslesen und hat hoffentlich nicht mehr Daten von meinen Accounts
Wie wäre es mit FreeOTP+? Also mit einem plus dran. In F-Droid verfügbar.
Richtig, nutze ich auch. Ist ein Fork von FreeOTP und bekommt noch immer Updates.
@@d3f3kt52 Bin leider kein Experte um sagen zu können ob es gut oder besser ist als das original. Aber wenn gar keine Update mehr kommen halte ich es immer für die schlechtere Wahl.
@@creytax9802 Es ist im Prinzip das gleiche, nur dass es eben noch Updates erhält. Ein paar Verbesserungen wurden auch eingebaut um die App mit einem modernen Featureset auszustatten und auch optisch modern zu halten.
Bin mir nicht sicher ob du meinen letzten Beitrag missverstanden hast, ich nutze auch FreeOTP+, da dieses eben noch Updates erhält. FreeOTP scheint tot zu sein.
@@d3f3kt52 Habe dich schon verstanden. Meinte nur das ich nicht sagen kann ob dieser Fork besser oder gar safe ist. ;)
Nehme es aber mal an.
Was ist eigentlich mit der guten alten PFX-Datei? Wenn man sich statt mit Username und Passwort einfach mit PFX-Datei und Passwort einloggt, dann sollte es ja auch sicher sein, weil die PFX-Datei ja physisch auf dem Rechner vorliegen muss. Das bedeutet ein Angreifer braucht die PFX-Datei (und damit zugriff auf deinen Rechner) und das Passwort. Müsste das nicht sogar sicherer als 2FA sein?
Das würd aber auch nichts helfen wenn man die PFX-Datei aus Versehen auf einer Phishing-Seite hochlädt, oder? Wenn man den 2FA-Code auf einer Phishing-Seite eingeben würde, könnten die sich zwar (wenn sie schnell sind) auch einloggen, aber immerhin nur ein einziges Mal (was allerdings zugegebenermaßen meistens ausreichen dürfte, erheblichen Schaden anzurichten).
Ich habe mich vor längerer Zeit für "2FA Auth" entschieden (wurde auch bei Aegis daneben angezeigt für alternativen).
Warum hört man nie etwas von SAASPASS
Ich nutze yubio auth. Was mich davon abhält überall 2FA zu nutzen: Viele Seiten (auch online banking) wollen mir ihre eigenen Apps unterjubeln ohne alternative. Ich kann und will mir die aber nicht alle installieren.
Danke für die ganzen Infos !!!!!!
FreeOTP+ ist aktiv gewartet, kann Backups (verschlüsseln muss man selber), App sperren mit PIN oder Fingerabdruck und sieht einfach besser aus als Aegis.
Kannst du auch ein Video über Proxys machen Z.B welche sind gut, wo findet man die Proxy Adressen und ob bzw. welche für den Router z.b geeignet sind usw.
Wäre echt cool.
Die FreeOTP App ist für iPhone erhältlich. habe diese selbst Installiert, zumindest seit heute..
Für iOS kann ich Raivo OTP sehr empfehlen
Was ich beim Microsoft Authenticator ganz nice finde ist einerseits dir Option die ab Biometrisch zu sperren und dass ich mich bei Microsoft Diensten mit einer weiteren Bestätigung anmelden muss (Bei der anmeldeseite wird eine zweistellige Zahl angezeigt und diese muss ich dann in der App eingeben)
Security keys - was passiert wenn er kaputt geht oder ich ihn verliere? Dann komm ich nirgends mehr rein. Mein persönlicher Grund, warum ich lieber bei einer Softwarelösung bleibe... 😬
Hi Morpheus , hast du schon ein Video über Open AI Chat GPT gemacht?
Morgen 👍 Tutorials Kanal. Dann nächstes Jahr ein paar hier
Kann man mit den secutiry key mehrere Accounts sichern? Oder ist ein USB Stick nur für ein Account
Ein Stick - viele accounts 👍
Danke @@TheMorpheusVlogs
, für jedes Konto eine andere Email Adresse, von einem anderem Anbieter, ist schon mal simple aber effective
Wie sicherheitskritisch ist es, wenn ich mir z.B. für meinen e-Mail Client ein anwendungsspezifisches Passwort erstelle?
Wie immer sehr informativ! Danke 💯
Es wäre so schön wenn Banken offene 2FA standards unterstützen würden als Alternatives Tan Verfahren, oder gibt es da Probleme?
Ich würde es sehr begrüßen wenn baken Fido2 unterstützen würden, das wäre sicherer als bestehende Techniken und offen. Ich bekomme jedes Mal einen Wutanfall wenn bei Banken die Tan mal wieder gesperrt sind und man alles wieder neu beantragen muss, besonders toll wenn man im Urlaub ist. Deutsche Banken sind echt noch in der Steinzeit.
Ja - da bei Konto Transaktionen, die IBAN und Betrag ausgewiesen sein muss.
Daher Apps oder Chip Tan - Fido2 z.B. würde da nicht gehen
Aber z.B. die DKB nutz als zweiten Faktor nur den Finger - Revoult auch.
@@Tom-fy8lw Verstehe, aber technisch sollte das doch trotzdem möglich sein Fido als zweiten Faktor zu nutzen. Letztendlich Authentifiziert man dadurch ja seine Transaktionen bei der Bank und wie die Bank die Transaktionen Authentifiziert ist im backend ja erstmal egal. In der Tam müssen ja keine Informationen wie IBAN etc. gespeichert werden. Natürlich wäre das ein größerer Aufwand für Banken einen offenen Standort zu implementieren aber ich denen es hätte definitiv einen Mehrwert, und auf lange Sicht könnte das alles günstiger und sicherer werden wenn deutsche Banken zusammen an einer gemeinsamen Lösung arbeiten würden.
@@maxmustermann9858 naja es muss bei dir auf dem zweiten Faktor die Iban daneben stehen (was wirklich Sinn macht)
Klar könnte man Fido eventuell so erweitern, dass es zusätzliche Informationen anzeigen kann - das wäre aber sehr viel Arbeit
@@Tom-fy8lw Ich verstehe was du meinst. Aber es muss ja nicht im zweiten Faktor die IBAN gespeichert werden. Wenn man eine sms Tan bekommt ist darin ja auch keine IBAN etc. gespeichert. In der App oder auf der Webseite wird der IBAN dann die Tam zugeordnet was ja im Backend der Bank passiert. Somit müsste ein offener Standard wie Fido technisch gesehen kein Problem sein.
@@maxmustermann9858 Ja aber wenn du bestätigst z.B. auf ein Tan Generator muss dort die teil Iban stehen (um z.B. zu verhindern, dass die Bank Webseite manipuliert wurde - Nachbau und man leitet alles ans Backend weiter, bei der Überweisung auf dem PC steht - 50€ im Hintergrund geht es aber um 5000€ dein Tan Generatoren würde dir das anzeigen)
Letztendlich ist das auch so festgelegt in der 2FA Verordnung für Banken.
Bei der SMS Tan steht es übrings auch dabei: Die Tan für die Überweisung an xx über Betrag yy
Es geht hier bei auch nicht um darum das der Zweite Faktor die IBAN ist - es muss bei der Tan genierung (also dort wo die Nummer bekommst) explizit dabei stehen wofür jene Transaktionen ist.
(Also würde z.B. OTP auch nicht gehen da du dort nur einen code bekommst, dieser aber nicht explizit sagt für welche Transaktionen er ist)
Wie wäre es mit einem Video zu Passkeys?
Kannst du mal bitte zeigen wie man Security Keys implementiert
Für die eigene Plattform? Hab's schon ein paar Mal probiert und kein zuverlässiges framework gefunden. Die werden die ganze Zeit überarbeitet noch und ändern sich
Was mich mal interessieren würde wäre, wie findest du die Absicherungen der Neo-Broker?
Also z.B. Scailable, Trade Republic etc. diese haben so wie ich es sehe keinen wirklichen 2-FA.
Hi, sehr interessantes Video. Yubico werd ich mir mal anschauen. :)
Dennoch würde mich eines interessieren. Vor weg tl:dr, runterscrollen und ein Kurzfassung wird es leider nicht geben. :D
Intro:
Gehen wir davon aus, dass Authy (die App habe ich z.Zt.) nicht gehackt wird und "nicht kanckbar" ist. Aber mein Samung-Smartphone wird gehackt und der Hacker hat Zugriff auf meine verlängerte Lebensader.
Ich habe Authy im "sicheren Ordner" von Samsung-Knox mit biometrischer Sicherung. Zudem ist die App ebenfalls mit der biometrischen Sicherung ausgestattet oder mit Passworteingabe als Alternative. Danach erst würde die App den 2FA-Code anzeigen.
Lt. Samsung sind meine Fingerabdrücke gesichert gespeichert durch Knox.
Frage:
Wie sicher ist diese Vorgehensweise, dass ein Hacker erstmal zu rudern hat um an meine Fingerabdrücke zu kommen, um meinen "sicheren Ordner" zu entsperren und dann auch sicherlich Authy?
Dankeschön für eure Antworten, im Voraus und bin gespannt welche Antworten kommen. :)
THX
Danke, das Videos ist so wichtig
Super Video und extrem Informativ. Mach weiter so und guten 4 Advent
Mega Video, danke für die tolle Übersicht und Empfehlungen.
Ich nutze für „unwichtige“ 2FA Passwörter noch die App „OTP-Auth“ . Gibts zumindest bei Apple (Android habe ich keine Erfahrung). Das letzte Update gabs vor nem Jahr zu den iOS 15 Anpassungen. Es kann, je nachdem was man möchte, iCloud Sync und verschlüsselte Backups der Schlüssel.
Die App nutze ich schon lange und hat immer gut Funktioniert.
Seit einem Jahr nutze ich auch 2 Yubikeys (v 5 NFC), mit dem ich alles was wichtig ist (Banking, Windows & MacOS Logon,…) schon umgestellt habe, und vermutlich jetzt in den Weihnachtsferien auch den Rest umziehe.
Wo es geht und unterstützt wird nutze ich Passwortlosen Login mit den Sticks (zb bei meinen Wordpress Blog, usw). Inzwischen habe ich die 2 Keys auch für die iCloud in verwendung, was ja jetzt seit der neuen B1 (iso 16.3,…) unterstützt wird.
Ist ein Bitwarden selfhost tutorial geplant? Vaultwarden oder so
Ja, aber eher aufm Tutorials Kanal
@@TheMorpheusVlogs nice danke!
Nutze ich und kann ich nur wärmstens empfehlen!
@@TheMorpheusVlogs Ich selbst nutze Vaultwarden selbst gehostet. Die Möglichkeit in Bitwarden auch 2FA zu hinterlegen halte ich für einen sehr guten Komfort Sicherheitsgewinn. Weil es so einfach und schnell an zu wenden ist, benutze ich es bei allen möglichen Seiten.
Dazu habe ich Vaultwarden mit freeOTP+ abgesichert.
Die Wahrscheinlichkeit das jemand meinen Server findet halte ich für gering.
Müsste dann also schon sehr abhandenkommen.
Adresse für Server, Zugangsdaten zum Server, Masterpasswort welches nur dafür verwendet wird, freeOPT+ welches per Fingerabdruck gesichert ist und erst dann wären alle passwörter benutzbar.
Da ist die Wahrscheinlichkeit das einfach ein Dienst gehackt wird deutlich höher.
Hier dann einfach hoffen das 2FA aktiv war und man nach Bekanntgabe die Passwörter auswechselt.
AEGIS als alternative zu freeOTP+ schaue ich mir an.
Danke für die tollen Videos.
Die App “Raivo OTP” soll der iOS Gegenspieler von “Aegis” sein. Kannst du vielleicht dazu Stellung nehmen? 😅
Als jemand der leider gar kein iOS nutzt, wenig, sorry
Super Video, fast alle Fragen beantwortet, die ich mir gestellt habe. Nur um sicherzugehen, dass ich alles richtig verstanden habe: Für iOS ist bisher die beste Lösung, wenn ich mir 3 Yubico Authenticator Keys kaufe und einen davon beispielsweise in ein Bankfach lege, um auf Nummer sicher zu gehen. Ich hatte in einem Kommentar gelesen, dass man auch dort ab und an ein neues Backup erstellen muss, weshalb man dann einen recht hohen Aufwand hätte. Stimmt das so, oder habe ich etwas falsch verstanden? Ich wäre sehr dankbar, hätten wir Aegis auch für iOS - das wäre vielleicht nicht ganz so sicher, aber dennoch etwas bequemer. Oder gibt es mittlerweile etwas Vergleichbares für iOS?
Sehr cooles T-Shirt ;-)
wichtiges Video!
Danke, für Laien gut verständlich erklärt!
Danke für das Video :)
Sollte man eigentlich für die maximale Sicherheit immer nur eine 2FA Variante einrichten? Hab alle wichtigen Konten mittlerweile mit Security Keys gesichert, wenn ich bei Google dann aber z.B. den Authenticator oder sogar SMS noch als Alternative zulasse, habe ich meine Sicherheit praktisch nicht verändert, da SMS bzw. Authenticator ja das schwächere Glied ist, richtig?
Du hast es etwas verbessert, weil wenn du dein Passwort auf einer Phishing Seite eingibst und Key auswählst, die damit nicht so viel anfangen können. Aber ja, es ist immer noch wesentlich schlechter SMS aktiviert zu haben
Gab gerde (eventuell noch) 5 Yubikeys für 50€ - über Cloudflare
Ja, hab mir auch gleich mal 2 geholt