Notfallcodes: Instagram rät zum Screenshot, Microsoft verbietet ihn

Die Zwei-Faktor-Anmeldung ist eingerichtet, das Häkchen sitzt, und zum Schluss erscheint eine Liste mit zehn Codes. Dazu kommt in der einen oder anderen Formulierung die Aufforderung, sie sicher aufzubewahren. Dann steht man da mit zehn achtstelligen Zahlenreihen und der Frage, was "sicher" eigentlich heißen soll.

Die Antwort darauf fällt bei den großen Diensten so unterschiedlich aus, dass sich zwei von ihnen direkt widersprechen. Microsoft schreibt zum Wiederherstellungscode "For security, do not store the code on a device used to sign in to your account". Instagram schreibt in der eigenen Hilfe "Kopiere die Codes in deine Zwischenablage, mache einen Screenshot von den Codes oder speichere sie auf eine andere Art ab". Derselbe Nutzer, dasselbe Telefon, gegensätzliche Anweisung.

Acht Anbieter, fünf Antworten

Google gibt zehn Codes aus und bietet Ausdruck und Download nebeneinander an. In der Hilfe steht der Rat, eine Kopie zu drucken und dorthin zu legen, wo auch der Reisepass liegt. Zwei Abschnitte weiter unten kippt derselbe Text die eigene Empfehlung, denn unter "Verlorenen Back-up-Code suchen" heißt es wörtlich "Suchen Sie auf Ihrem Computer nach Backup-codes-nutzername.txt mit Ihrem Nutzernamen". Google setzt also voraus, dass die Datei auf der Platte liegt, und liefert das Namensschema gleich mit.

Apple verbietet ebenfalls bestimmte Speicherorte, allerdings mit einer anderen Begründung. Der 28 Zeichen lange Wiederherstellungsschlüssel gehört laut Hilfe nicht in die Passwörter-App, nicht in iCloud Fotos, nicht in Notizen und nicht in iCloud Drive. Es geht Apple dabei um die Erreichbarkeit im Ernstfall, denn wer aus dem Konto ausgesperrt ist, kommt an diese Apps nicht mehr heran.

GitHub empfiehlt als einziger ausdrücklich einen Passwortmanager, stellt aber direkt daneben einen Download-Knopf. Dropbox verlangt ein Häkchen bei "I've stored my recovery codes in a safe place", ohne je zu erklären, welcher Ort gemeint ist. Facebook nennt nur Drucken und Aufschreiben, und Amazons Hilfeseiten kennen überhaupt keine Ersatzcodes.

Die Malware sucht genau dort

Das amerikanische Gesundheitsministerium hat 2024 eine frei zitierbare Analyse zur Schadsoftware Vidar veröffentlicht. Darin steht, dass das Programm die zuletzt heruntergeladenen Dateien aus dem Downloads-Ordner einsammelt und zusätzlich nach Dateinamen mit bestimmten Wörtern sucht. Im Bericht stehen dafür Passwords, Information, Outlook, Screenshot, Cookie und List.

Ein Jahr später hat die Sicherheitsfirma Trellix die entschlüsselte Konfiguration des Infostealers Lumma abgedruckt, also die Anweisungsliste vom Steuerserver. Das gesamte Nutzerprofil wird darin drei Ebenen tief nach Dateien durchsucht, deren Name unter anderem "pass" oder "words" enthält, der Desktop zwei Ebenen tief nach jeder einzelnen Textdatei. Der Ordner, in dem Lumma die Beute sammelt, heißt "ImportantFiles".

Damit trifft jede der Empfehlungen auf ein dokumentiertes Suchmuster. Der Screenshot, den Instagram vorschlägt, landet als Bilddatei mit "Screenshot" im Namen auf dem Gerät. Die Google-Datei heißt Backup-codes-nutzername.txt und passt gleich doppelt, über die Endung und über das Wort im Namen. Dieselben Konfigurationen greifen übrigens auch Authenticator-Apps ab, der zweite Faktor selbst ist also ebenfalls ein Ziel. Wie wenig eine aktive Zwei-Faktor-Anmeldung im Ernstfall hilft, hat zuletzt der gestohlene Sitzungs-Cookie gezeigt. Belegt ist damit allerdings nur das Suchmuster der Angreifer. Wie oft Ersatzcodes tatsächlich in solchen Sammlungen landen, weiß niemand.

Und wenn du sie nie gesichert hast

Der umgekehrte Fall ist unbequemer, als die meisten erwarten. Microsoft schreibt auf der Hilfeseite zum Wiederherstellungsformular einen Satz, der dort gleich zweimal steht. Er lautet "If you have turned on two-step verification and cannot access any of the alternate methods to get a verification, we cannot help you, sorry". Support-Mitarbeiter dürfen weder Passwort-Links verschicken noch Kontodaten ändern. Wer es trotzdem versucht, darf das Formular zweimal am Tag einreichen und bekommt binnen 24 Stunden eine Antwort, allerdings eben nur eine Antwort und nicht den Zugang.

Bei Google gibt es überhaupt keine feste Frist. Eine Wiederherstellung kann Stunden dauern oder mehrere Tage, und ausgerechnet eine eingerichtete Zwei-Faktor-Anmeldung verlängert die Sperre laut Hilfe zusätzlich. Das ist kein Bearbeitungsstau, sondern Absicht, weil die Wartezeit dem echten Inhaber die Gelegenheit gibt, einen fremden Antrag abzulehnen. Am Ende des Hilfeartikels steht für den Fall, dass es nicht klappt, ein Link mit der Überschrift "Create a replacement Google Account".

Bei Apple dauert es laut Hilfe mehrere Tage oder länger, eine konkrete Zahl nennt der Konzern nicht mehr, und auf die Frage nach einer Abkürzung antwortet er mit einem einzigen Nein. Dazu kommt eine Falle, die kaum jemand kennt. Ist das Konto währenddessen auf irgendeinem Gerät noch in Benutzung, bricht Apple das Verfahren automatisch ab, und ein vergessenes iPad im Regal setzt die Wartezeit damit zurück auf null. Was in so einer Lage sonst noch hilft, steht in unserem Ratgeber zum verlorenen Handy.

Wohin sie gehören

Das BSI hat zu dieser Konstruktion einen bemerkenswert klaren Satz. In der Bewertung gängiger Zwei-Faktor-Verfahren heißt es "Bei den Wiederherstellungsmechanismen ist es grundsätzlich kritisch, wenn ein einstufiges Verfahren die Zwei-Faktor-Authentisierung ersetzt". Ein Ersatzcode ist genau das, denn er hebt den zweiten Faktor auf, den du gerade erst eingerichtet hast.

Einen Aufbewahrungsort nennt das BSI nicht. Den liefern ausgerechnet die Hersteller der Passwortmanager, und zwar für ihren eigenen Notfallcode. Bitwarden schreibt, der Code müsse außerhalb des Tresors liegen, weil das Unternehmen ihn selbst nicht herausgeben kann, und empfiehlt eine gedruckte Kopie an einem sicheren Ort. 1Password legt seinem Emergency Kit denselben Rat bei, nämlich einen Ausdruck ins Bankschließfach oder zu Reisepass und Geburtsurkunde. Damit schließt sich der Kreis, denn GitHub schickt die Ersatzcodes in den Passwortmanager, und der Passwortmanager schickt seinen eigenen Notfallcode wieder aufs Papier.

Praktisch heißt das dreierlei. Drucke die Codes aus oder schreibe sie ab und lege sie zu den Dokumenten, die du ohnehin verwahrst. Lösche danach die heruntergeladene Datei und leere den Papierkorb, denn eine gelöschte Datei im Downloads-Ordner ist noch keine gelöschte Datei. Hinterlege außerdem bei jedem wichtigen Dienst einen zweiten Weg zurück, also eine Ersatzadresse, ein zweites Gerät oder bei Apple einen Wiederherstellungskontakt. Wer nur die Codes hat, hat genau eine Chance. Wenn du dabei ohnehin durch deine Konten gehst, lohnt sich derselbe Durchgang für die Geräte, die dort noch angemeldet sind.