Google-Accounts jetzt auch mit USB-Schlüsselanhänger absichern

Der Suchmaschinenkonzern Google will seinen Nutzern jetzt die Möglichkeit geben, ihren Account noch besser als bisher zu schützen. Dafür will das Unternehmen USB-Tokens, die bisher eher in kleineren Nischen im Firmenumfeld zu finden waren, zu einer Massenanwendung machen. "Security Key" nennt Google das Verfahren. Dieses soll die bisher eingesetzte Zwei-Wege-Authentifizierung über einen Code, der zum Mobiltelefon des Anwenders geschickt wird, um eine noch sicherere Methode ergänzen. Um Zugang zu einem Nutzerkonto zu bekommen, muss man zuvor das kleine USB-Gerät, das man beispielsweise stets am Schlüsselbund dabei haben kann, in einen USB-Port des Rechners stecken.


Die Authentifizierung über den Code-Versand ans Handy machte es Angreifern schon bedeutend schwerer, unbefugt auf Accounts zugreifen zu können. Denn sie mussten hier nicht nur das Passwort erbeuten, sondern auch Zugriff auf die SMS bekommen, die auf ein zweites Gerät geschickt wurde. Doch auch dies ist in einigen Fällen schon gelungen - entweder, indem man auch das Smartphone des Anwenders gekapert hat oder aber alle notwendigen Informationen mit einem Phishing-Angriff erlangt wurden.

Das kann der USB-Token unterbinden. Denn hier wird nicht nur sichergestellt, dass auf dem Security Key ein Schlüssel hinterlegt ist, der tatsächlich zu dem Nutzer-Account passt. Der Token prüft auch selbst, ob tatsächlich eine reguläre Google-Seite nach den Informationen fragt.


Für das neue Sicherheitsverfahren setzt Google nicht auf eine Eigenentwicklung, sondern greift auf das Universal 2nd Factor (U2F)-Protokoll zurück. Dieses wurde von der FIDO Alliance als Industriestandard entwickelt und auch andere Webseiten-Betreiber können ihren Nutzern auf dieser Grundlage entsprechenden Schutz bieten. Google ist hier derzeit der erste größere Anbieter, doch es ist damit zu rechnen, dass die Technik weitere Verbreitung findet, wenn der Suchmaschinenkonzern erst einmal den Weg geebnet hat.

Bisher funktioniert das Verfahren auch nur im Zusammenspiel mit Googles Chrome-Browser und mangels des passenden USB-Ports auch nicht auf Mobilgeräten. Andere Browser-Hersteller werden den U2F-Standard demnächst aber wohl auch implementierten. Google selbst stellt den neuen Service gebührenfrei zur Verfügung. Allerdings benötigt man einen passenden USB-Token. Diese erkennt man am FIDO U2F-Logo.

Erhältlich sind entsprechende Produkte beispielsweise vom französischen Anbieter Plug-up International zum Preis von 5,99 Euro + 2 Euro Versand nach Deutschland.