Twitter erlaubt nur noch Abonnenten Zwei-Faktor-Authentisierung (2FA) per SMS

Twitter erlaubt bald keine Zwei-Faktor-Authentisierung (2FA) per Kurznachricht über SMS. Das geht aus einem Blogeintrag des Unternehmens hervor. Die Ankündigung ist allerdings besonders kurios. Denn als Grund wird mangelhafte Sicherheit des Verfahrens genannt. Gleichzeitig dürfen aber ausgerechnet die zahlenden – und damit eigentlich besonders schützenswerten – Twitter Blue Subscriber die Funktion weiter nutzen. 

Für die zahlenden Kunden gilt das Sicherheitsargument also plötzlich nicht mehr. Für alle anderen wird das System zum 15. März 2023 abgeschaltet. Wer Twitter mit 2FA SMS nutzt, der sollte also möglichst bald die Umstellung auf andere 2FA-Verfahren durchführen, wie etwa die Nutzung einer Authenticator-App, die verschiedene Anbieter bereitstellen.

Umstellung ist ratsam

Wer das nicht rechtzeitig tut, der wird nach dem 15. März einen Account ohne 2FA haben. Das dürfte vor allem weniger technisch versierte Personen betreffen, die mit 2FA SMS einen vergleichsweise einfachen Weg zur Absicherung von Accounts wählen konnten. Dieser ist zwar nicht perfekt, aber erreicht dennoch ein gewisses Sicherheitsniveau, solange das Passwort nicht ausgespäht wurde.

Tatsächlich sind Angriffe auf SMS-Verfahren nicht unüblich. Bekannt sind etwa Angriffe auf SMS-TAN-Verfahren für Online-Banking. Ab einer gewissen Wertigkeit des Opfers lohnt sich der erhöhte Aufwand eines Angriffs. Auch Twitter spricht davon, solche Angriffe zu kennen.

Da die Ankündigung bereits am 15. Februar publiziert wurde, ist davon auszugehen, dass diese jetzt Bestand haben wird. Seit der Übernahme durch Elon Musk hat das Unternehmen Twitter große Probleme bei der Kommunikation nach Außen und nimmt manch unüberlegte, groß angekündigte Änderung auch kurzerhand wieder zurück.

Nachtrag vom 18. Februar 11:36 Uhr: Einzelne Nutzer haben mittlerweile Screenshots der Warnung seitens Twitter geteilt. Demnach ist bis zum 19. März Zeit, die 2FA per SMS zu entfernen oder umzustellen. "Damit du den Zugriff auf Twitter nicht verlierst, musst du die Zwei-Faktor-Authentifizierung bis 19.03.2023 entfernt haben.", heißt es seitens Twitter. Es besteht also die Gefahr, dass der Zugang zum Account verloren geht.