Passkeys und U2F-Schlüssel
Unter "Konto / Kundendaten / Passkey/U2F" können Sie einen Passkey oder einen U2F-Sicherheitsschlüssel als zweiten Faktor für Ihr Konto registrieren. Wenn Sie grundlegende Fragen zu Passkeys haben sollten, finden Sie hier weitere Informationen: Passkeys. Dieser Artikel behandelt die U2F-Sicherheitsschlüssel.
U2F (Universal Second Factor) ist ein Verfahren nach dem FIDO-Standard, mit dem Sie Ihr Konto mit einem kleinen Hardware-Schlüssel gegen Passwortdiebstahl absichern. Genauso wie beim Authenticator ist dann zusätzlich zu Benutzername und Passwort ein zweiter Faktor für den Login notwendig. Im Gegensatz zum Authenticator, bei dem man einen 6-stelligen Code vom Smartphone abtippt, schließt man beim U2F-Verfahren einfach den Sicherheitsschlüssel, z.B. einen YubiKey von Yubico, an den Computer an (oder hält ihn per NFC an das Smartphone) und drückt den darauf befindlichen Knopf, falls vorhanden – und schon ist man eingeloggt. Das U2F-Verfahren ist kinderleicht und zudem extrem sicher. Die manuelle Eingabe von Codes wie beim Authenticator ist nicht nötig.
Eine Auswahl an U2F-Geräten führen wir im Verlauf des Hilfetextes auf.
Vorteile von U2F-Sicherheitsschlüsseln
Neben dem allgemeinen Vorteil der kryptografisch gesicherten Zwei-Faktor-Authentifizierung bietet das U2F-Verfahren technisch gesehen einige weitere Vorteile: Es schützt gegen sogenannte Man-in-the-Middle-Angriffe, bei denen z.B. ein Krimineller die Verbindung zwischen Browser und den mail.ch Servern manipuliert. Das ist schwierig, aber in gewissen Umgebungen denkbar. Außerdem schützt U2F gegen Phishing. Sollten Sie von einem Angreifer auf eine Webseite gelockt werden, die exakt aussieht wie mail.ch, aber unter einer Tippfehler-Domain wie z.B. https://nail.de erreichbar ist, dann fällt Ihnen dieser Trick mit der falschen Domain evtl. nicht auf und die falsche Webseite erhält im Zweifel Ihre bereitwillig eingegebenen Login-Daten. Mit U2F kann das nicht passieren, denn der Sicherheitsschlüssel überprüft auch die Domain, sodass nur https://mail.ch die U2F-Login-Daten für den Zugang zum mail.ch-Postfach erhält.
Wichtige Hinweise zu U2F-Sicherheitsschlüsseln
Ein U2F-Sicherheitsschlüssel ist ein kleines Gerät, etwa so groß wie ein USB-Stick. Wie bei allen technischen Geräten kann es mit der Zeit die Funktion einstellen oder verloren gehen. Deshalb empfehlen wir, zusätzlich einen weiteren zweiten Faktor wie den Authenticator einzurichten und Ihre Backup Codes sicher aufzubewahren. Oder Sie registrieren zwei U2F-Sicherheitsschlüssel: Einen verwahren Sie sicher, z.B. in einem abschließbaren Schrank, den anderen führen Sie zur regelmäßigen Nutzung beispielsweise am Schlüsselbund mit. Sollte der Schlüssel am Schlüsselbund kaputtgehen, können Sie auf den zweiten, sicher verwahrten Schlüssel zurückgreifen.
Sicherheitsschlüssel gibt es mit USB-A- und USB-C-Stecker, viele Modelle beherrschen zusätzlich NFC. Damit lassen sie sich nicht nur am Computer, sondern auch an Smartphones und Tablets nutzen: Ein USB-C-Schlüssel wird direkt eingesteckt, ein NFC-fähiger Schlüssel einfach an das Gerät gehalten. Achten Sie beim Kauf darauf, dass der Schlüssel zu den Anschlüssen Ihrer Geräte passt.
Die Anmeldung mit einem Sicherheitsschlüssel funktioniert in allen aktuellen Browsern, z.B. Google Chrome, Microsoft Edge, Mozilla Firefox und Safari – unter Windows, macOS und Linux ebenso wie unter Android und iOS/iPadOS. Halten Sie Ihren Browser und Ihr Betriebssystem einfach auf dem aktuellen Stand.
Beispiele für U2F-Geräte
Generell unterstützt unser Dienst jeden Sicherheitsschlüssel nach dem Standard FIDO U2F oder FIDO2 (FIDO2-Schlüssel sind abwärtskompatibel zu U2F). Nachstehend führen wir einige Hersteller und Geräte auf, die es im freien Handel zu kaufen gibt:
- YubiKey 5 und Security Key der Firma Yubico (USB-A, USB-C, NFC)
- Google Titan Security Key
- Nitrokey 3
- Feitian ePass FIDO
- Neowave Winkeo FIDO2
- HyperFIDO von Hypersecu
U2F-Sicherheitsschlüssel einrichten
Um dem E-Mail-Konto einen (weiteren) U2F-Sicherheitsschlüssel hinzuzufügen:
-
Klicken Sie im Einstellungsmodus auf "Konto / Kundendaten / Passkey/U2F".
-
Klicken Sie dort auf den Knopf "U2F Sicherheitsschlüssel registrieren".
-
Verbinden Sie Ihren U2F-Sicherheitsschlüssel mit dem Gerät und drücken Sie den darauf befindlichen Knopf, falls einer vorhanden ist. Der Schlüssel wird nun in die Liste der Geräte aufgenommen und ist fertig eingerichtet.
-
Beim nächsten Login in den Webmailer werden Sie nach der Eingabe von Benutzername und Passwort zusätzlich aufgefordert, den U2F-Sicherheitsschlüssel zu betätigen. Sie werden erst in das E-Mail-Konto eingeloggt, wenn alle drei Angaben (Benutzername, Passwort und Sicherheitsschlüssel) korrekt vorliegen.
U2F auf einem Linux-Rechner
Aktuelle Linux-Distributionen erkennen Sicherheitsschlüssel in der Regel automatisch. Sollte der Browser Ihren Schlüssel bei der Registrierung oder beim Login nicht erkennen, fehlen dem Browser vermutlich die Zugriffsrechte auf das USB-Gerät.
Folgende Vorgehensweise behebt das Problem:
- Installieren Sie das Paket libfido2 Ihrer Distribution (unter Debian/Ubuntu: libfido2-1) – es bringt die nötigen udev-Regeln mit. Alternativ legen Sie die Datei /etc/udev/rules.d/70-u2f.rules mit dem Inhalt aus folgendem Link an: https://github.com/Yubico/libfido2/blob/main/udev/70-u2f.rules
- Starten Sie danach das System neu.
Danach sollte Ihr Browser den Sicherheitsschlüssel erkennen und darauf zugreifen können.
Sollten eventuell noch Fragen offen sein, helfen wir Ihnen natürlich gern weiter.
