Zwei-Faktor fürs Börsenkonto: warum SMS die schlechteste ist
Ein zweiter Faktor per SMS hängt an deiner Telefonnummer, und die kann ein Angreifer beim Mobilfunkanbieter auf seine SIM übertragen lassen. Danach führt der Weg über „Passwort vergessen" ins Postfach und von dort ins Konto. Wirksam sind stattdessen eine Authenticator-App oder ein Sicherheitsschlüssel — und zuerst abgesichert gehört nicht die Börse, sondern die E-Mail-Adresse.
Wer Bitcoin bei einem Anbieter liegen hat, denkt beim Wort Sicherheit meist an den Anbieter. Die häufigeren Fälle laufen aber anders herum: Nicht die Börse wird überwunden, sondern das Konto bei der Börse — mit den Zugangsdaten des Kunden.
Dafür braucht es keinen Einbruch in ein Rechenzentrum. Es braucht eine Telefonnummer.
Warum SMS der schwächste zweite Faktor ist#
Ein Einmalcode per SMS gilt als sicher, weil er auf „deinem" Handy landet. Er landet aber nicht auf deinem Handy, sondern auf deiner Nummer — und eine Nummer ist ein Vertragsverhältnis, kein Gegenstand.
Beim sogenannten SIM-Swapping überzeugt jemand deinen Mobilfunkanbieter, die Nummer auf eine neue SIM zu übertragen. Als Ersatz für eine verlorene Karte, mit Daten, die aus einem Datenleck stammen oder öffentlich sind. Ab dem Moment kommen deine SMS bei einem anderen an.
Der Rest ist Routine: „Passwort vergessen" beim Mailanbieter, Bestätigungscode per SMS, Postfach übernommen. Vom Postfach aus dasselbe bei der Börse. Der zweite Faktor hat dabei nicht versagt — er hat genau das getan, wofür er gebaut ist, nur für den Falschen.
Woran du es merkst: Dein Handy verliert plötzlich das Netz und findet es nicht wieder, obwohl andere Geräte funktionieren. Das ist kein Empfangsproblem. Das ist der Zeitpunkt, sofort beim Mobilfunkanbieter anzurufen — von einem anderen Telefon.
Was stattdessen#
Authenticator-App. Erzeugt alle 30 Sekunden einen sechsstelligen Code, offline, auf dem Gerät. Ohne Netz, ohne Nummer, ohne Mobilfunkanbieter in der Kette. Beim Einrichten wird ein Wiederherstellungscode angezeigt — der gehört gesichert, sonst sperrst du dich beim nächsten Gerätewechsel selbst aus.
Sicherheitsschlüssel. Ein kleiner Stick für USB oder NFC. Er beweist zusätzlich, dass du auf der echten Seite bist, und ist damit die einzige Methode, die auch gegen eine gefälschte Anmeldeseite hilft. Ein Code aus der App kann man dort eintippen; ein Schlüssel antwortet einer falschen Adresse gar nicht erst.
| Methode | schützt vor gestohlenem Passwort | schützt vor SIM-Swapping | schützt vor gefälschter Seite |
|---|---|---|---|
| SMS | ja | nein | nein |
| Authenticator-App | ja | ja | nein |
| Sicherheitsschlüssel | ja | ja | ja |
Wenn ein Anbieter nur SMS anbietet, ist SMS trotzdem besser als nichts. Es ist nur kein Grund, sich sicher zu fühlen.
Die Reihenfolge, die zählt#
Die meisten sichern die Börse zuerst ab. Das ist die falsche Reihenfolge.
Zuerst das E-Mail-Postfach. Es ist der Generalschlüssel: Über „Passwort zurücksetzen" führt jeder Weg dorthin. Ein Postfach mit starkem zweiten Faktor schützt indirekt jedes Konto dahinter.
Dann die Börse. Zweiter Faktor einschalten, SMS abschalten, sobald eine App oder ein Schlüssel eingerichtet ist. Beides parallel stehen zu lassen, hebt den Gewinn wieder auf — ein Angreifer nimmt den schwächeren Weg.
Dann die Feineinstellungen. Viele Anbieter bieten eine Adressliste für Auszahlungen: Coins gehen nur an vorher hinterlegte Adressen, Änderungen greifen erst nach einer Wartezeit von ein bis zwei Tagen. Das ist die wirksamste einzelne Einstellung überhaupt, weil sie einem Angreifer selbst mit vollem Zugang das Wegschaffen verwehrt.
Was zwei Faktoren nicht können#
Sie schützen nicht davor, dass du selbst überweist. Der häufigste Weg zum Verlust ist nicht Technik, sondern ein Anruf oder eine Nachricht, die dich dazu bringt, es freiwillig zu tun — Muster und Erkennungszeichen stehen in Betrugsmaschen erkennen.
Und sie schützen nicht davor, dass der Anbieter selbst ausfällt. Kein Sicherheitsschlüssel hilft gegen eine gesperrte Auszahlung; dazu steht mehr in Wenn die Börse nicht auszahlt.
Die halbe Stunde, die sich lohnt#
- E-Mail-Postfach: zweiter Faktor per App oder Schlüssel, SMS raus.
- Börse: dasselbe, dazu ein Passwort, das nirgends sonst benutzt wird.
- Auszahlungsadressen hinterlegen, wenn der Anbieter es anbietet.
- Wiederherstellungscodes ausdrucken und dorthin legen, wo auch deine Seed Phrase liegt — aber getrennt von ihr.
Punkt vier wird am häufigsten übersprungen und ist der Grund, warum Leute sich später selbst aussperren. Ein zweiter Faktor ohne gesicherte Wiederherstellung tauscht ein fremdes Risiko gegen ein eigenes.
