Sicherheit und der Schutz digitaler Privatsphäre sind Bereiche, in denen sich Maßnahmen beliebig steigern lassen. Ein Irrtum vieler Profis ist es, hier die Perfektion zum Feind des Guten werden zu lassen und jede Maßnahme als ungenügend oder gar gefährlich abzustempeln.
Dazu kann man zwei Beispiele bringen und beide haben mit der Telefonnummer zu tun:
Messenger: Die super-tolle, super-sichere Variante, die niemand nutzt
Signal ist der momentan erfolgreichste WhatsApp-Konkurrent. Es hat sich als Marke inzwischen etabliert und ist über eine engere Tech-Szene hinaus Menschen ein Begriff. Signal ist vorbildlich im Bereich der Verschlüsselung, bietet ein konkurrenzfähiges Set an Funktionen, ist stabil und ausgereift. Signals Erfolgsgeheimnis ist die schamlose Kopie des WhatsApp-Konzepts mit besseren Sicherheitskonzepten und ohne die Anbindung zu Facebook.
Empfiehlt man Signal, kann man die Uhr danach stellen, bis der erste Kommentar eintrifft, der dezentrale Dienste empfiehlt, auf Probleme der Überprüfbarkeit, welche Software wirklich auf den Server läuft hinweist, fehlende Clients für SfOS oder ein anderes Nischensystem bemängelt und vor allem auf die Notwendigkeit, eine Telefonnummer als zentraler Identifikationsnummer zu nutzen, hinweist. Kurzum: Signal wäre ja gar nicht so toll und eigentlich müsste man xxx (hier bitte einen super Dienst, den niemand kennt einsetzen) verwenden.
Das führt dann nur leider dazu, dass der geneigte wechselwillige Nutzer nicht jenen super-komplizierten, super-sicheren Dienst nutzt, sondern bei WhatsApp bleibt. Denn bei ihm kommt an: Signal ist ja doch nicht so sicher und dann kann man auch gleich bei WhatsApp bleiben. Anstelle der 80 % Sicherheitsgewinn für 20 % Aufwand, verlangen Perfektionisten niemals unter 100 % Sicherheitsgewinn zu bleiben. Selbst wenn diesen Aufwand dann die meisten scheuen.
Im Endeffekt verlieren dann fast alle, weil der naheliegende Sicherheitsgewinn niemals gut genug ist. Gewinnen tun nur diejenigen, die sich dann besonders gut fühlen, wenn sie die allein selig machende hundertprozentige Alternative nutzen. Wobei „nutzen“ natürlich relativ ist, wenn man kaum Kontakte hat.
Login-Sicherheit: Kein Zwei-Faktor, weil ja die Telefonnummer so geheim ist
Das zweite Beispiel ist die Zwei-Faktor-Authentifizierung (2FA). Jüngst konnte man das wieder beobachten, als Google dieses für GMail sinnigerweise zur Pflicht machte. 2FA ist unfassbar wichtig, weil Passwörter ein unfassbar unsicheres Authentifizierungssystem sind und wir aktuell noch keine brauchbare Alternative dazu haben. Für E-Mails ist das noch wichtiger, weil das E-Mail Konto unserer wichtigster und schützenswertester Account ist. Vielleicht ändert sich das in Zukunft, aber im Hier und Jetzt müssen wir mit einer Kombination aus Benutzerkennung und Passwörtern arbeiten, die sich mit einem zweiten Faktor zusätzlich absichern lassen.
Hier kann man natürlich tolle Verfahren wie YubiKey & Co nutzen, um wirklich sichere zweite Faktoren zu haben. Nur leider haben das viele nicht und es ist auch nicht ganz trivial. Die meisten Dienste setzen daher auf eine App in Kombination mit der Mobilfunknummer über die dann Codes per SMS zugestellt werden.
Sofort kommt zuverlässig der Aufschrei. SMS sind nicht sicher und die Mobilfunknummer ist super-geheim. Zur Telefonnummer hatte ich mich schon mal ausgelassen. Natürlich sind SMS nicht der Goldstandard und lassen sich fälschen. Natürlich kann man mit Mobilfunknummern viel Schindluder treiben. In der Realität der Menschen da draußen, hat man aber seit 10+x Jahren die gleiche Mobilfunknummer und die kennt jeder in der Freiwilligen Feuerwehr, 150 Ex-Kollegen und 40 Tinder-Kontakte. Davon haben diese gut 80 per Google-Synchronisation mit Google geteilt und 90 % mit WhatsApp respektive Facebook. Kurzum. Wenn ihr keine freud- und freundelosen Freaks seid, ist die Mobilfunknummer das am wenigsten geheimste Identifikationsmerkmal, das ihr besitzt. Dafür gibt es sie schließlich und ja, das ist nicht perfekt, aber es ist so. In der Realität ist das Bedrohungsszenario auch nicht der Geheimdienst, der irgendwelche SMS fälscht, sondern ein Hacker in Belarus, der an dein Amazon-Konto will.
Aus Angst um die eigene Mobilfunknummer den Quantensprung in der Sicherheit, den 2FA bietet, nicht zu vollziehen und das auch noch anderen zu empfehlen, ist das Dümmste, was man machen kann. Denn man priorisiert eine Identifikationsnummer, die bei 99 % der Leute nicht geheim ist, höher als die Sicherheit wichtiger Accounts und hofft indirekt auf eine super-tolle Lösung, die vielleicht irgendwann mal kommt (welche Sau wird hier eigentlich aktuell als heißer Kandidat durchs Dorf getrieben?).
Zusammengefasst
Manchmal ist eine Variante mit Schwächen trotzdem ein Sicherheitsgewinn für viele Menschen, weil die objektiv bessere Variante so kompliziert ist, dass sie niemand einsetzt. Die Lösung kann nicht sein, auf eine perfekte Variante zu warten und bis dahin nichts zu machen. Die Perfektion sollte kein Vorwand sein, um das Gute nicht zu nutzen.
