Passkey, TOTP oder SMS: Ihr Börsenkonto absichern

Vorbereitung

Nutzen Sie für Ihr Börsenkonto einen Passkey, wenn die Plattform ihn unterstützt, und richten Sie vorher einen Ersatzweg ein. Ohne Passkey ist eine Authenticator-App meist der bessere Einstieg als SMS, weil ihre Codes nicht von der Kontrolle über Ihre Telefonnummer abhängen. Eine Phishing-Seite kann einen App-Code trotzdem abfangen. Dieser Leitfaden vergleicht die Möglichkeiten und erklärt, wie Sie die Wiederherstellung vor dem Verlust Ihres Telefons testen.

Die Anleitung gilt für private Konten bei zentralisierten Kryptobörsen. Sie brauchen Zugriff auf die hinterlegte E-Mail-Adresse und ein funktionierendes Telefon oder einen Computer mit Bildschirmsperre. Eventuell benötigen Sie einen kompatiblen Sicherheitsschlüssel. Prüfen Sie die offizielle Börsenhilfe: Anmeldung, Auszahlungsfreigabe und Wiederherstellung können unterschiedliche Prüfungen verwenden.

Wie die einzelnen Verfahren funktionieren

Bei SMS sendet die Börse einen Bestätigungscode an Ihre Telefonnummer. Übernimmt ein Angreifer die Nummer durch einen erschlichenen SIM-Tausch oder eine Rufnummernportierung, kann er diese Nachrichten empfangen. Auch eine gefälschte Anmeldeseite kann den SMS-Code abfangen und an die echte Börse weiterleiten.

Eine Authenticator-App erzeugt Codes aus einem bei der Einrichtung gespeicherten Geheimnis. Gemeint ist hier TOTP, also zeitbasierte Einmalpasswörter. Die App kann diese ohne Mobilfunkverbindung erzeugen. Der Einrichtungs-QR-Code enthält die dafür benötigten Daten. Versenden Sie ihn nicht im Chat und speichern Sie ihn nicht in gemeinsam genutzten Screenshot-Ordnern. Wer das gleiche Geheimnis besitzt, kann die gleichen Codes erzeugen.

Ein Passkey verwendet asymmetrische Kryptografie. Die Börse speichert einen öffentlichen Schlüssel; Ihr Gerät oder Ihre Anmeldedatenverwaltung kontrolliert den privaten Schlüssel. Sie geben dessen Nutzung etwa per PIN oder Fingerabdruck frei. Bei korrekter Umsetzung bindet das Verfahren die Bestätigung an den vorgesehenen Dienst. Eine andere Phishing-Domain erhält keine für die echte Börse gültige Antwort.

Ein Passkey kann ein Passwort ersetzen oder an einer zusätzlichen Prüfung beteiligt sein. Deshalb ist „Passkey oder 2FA“ kein genauer Vergleich: Zwei-Faktor-Authentifizierung beschreibt die geprüften Faktoren, Passkey dagegen eine Technologie für Anmeldedaten. Lesen Sie nach, wie Ihre Börse sie einsetzt.

Was Phishingresistenz abdeckt

Die Zeile zum Hardware-Schlüssel bezieht sich auf FIDO2/WebAuthn, nicht auf jedes Token mit Ziffernanzeige. NIST erklärt, dass manuell eingegebene Einmalcodes nicht phishingresistent sind, weil ein Betrüger sie an den echten Dienst weiterleiten kann. Phishingresistenz beschreibt das Anmeldeprotokoll, nicht den Schutz vor jeder Art von Kontodiebstahl.

Vor Änderungen die Wiederherstellung prüfen

Öffnen Sie die Börse über die offizielle App oder Ihr gespeichertes Lesezeichen. Notieren Sie die verfügbaren Anmeldemethoden und prüfen Sie die Wiederherstellung. Akzeptiert die Börse einen weiteren registrierten Schlüssel, stellt sie Wiederherstellungscodes bereit oder verlangt sie bei Ausfall der Hauptmethode einen Identitätsnachweis?

Lesen Sie Wartezeiten und Transaktionsbeschränkungen in der offiziellen Dokumentation nach. Die Erfahrung eines anderen Nutzers legt keine Frist für Ihr Konto fest. Behalten Sie einen funktionierenden Zugang, bis Sie den Ersatz getestet haben.

Sichern Sie auch das hinterlegte E-Mail-Konto. Prüfen Sie Passwort, Anmeldeschutz und Wiederherstellungsdaten. Ein Angreifer mit Zugriff auf dieses Postfach kann möglicherweise eine gesonderte Wiederherstellung des Börsenkontos anstoßen, selbst wenn Ihre bevorzugte Anmeldemethode stark ist.

Einen Passkey einrichten und testen

1. Aktualisieren Sie Betriebssystem und Browser. Aktivieren Sie die Bildschirmsperre und verwenden Sie ein eigenes Gerät, das Sie kontrollieren.
2. Öffnen Sie die Sicherheitseinstellungen der Börse und suchen Sie die Passkey-Option. Gleichen Sie die Schritte mit der aktuellen Hilfe der Plattform ab.
3. Wählen Sie den Speicherort. Das System kann eine Anmeldedatenverwaltung, ein Telefon oder einen kompatiblen Hardware-Schlüssel anbieten. Prüfen Sie, ob die gewählte Lösung zwischen Geräten synchronisiert.
4. Schließen Sie die Systembestätigung ab. Kontrollieren Sie, ob die Börse die neue Methode anzeigt, und geben Sie ihr nach Möglichkeit einen erkennbaren Namen.
5. Lassen Sie Ihre funktionierende Sitzung geöffnet. Testen Sie eine neue Anmeldung in einem anderen Browserprofil oder auf einem vertrauenswürdigen Gerät. Nutzen Sie dafür keine öffentlichen Computer.
6. Registrieren und testen Sie einen Ersatzweg. Prüfen Sie erst danach ältere Methoden einschließlich SMS anhand der Börsenregeln.

Coinbase nennt als Beispiele einen Passkey mit Sicherheitsschlüssel als Ersatz oder zwei Sicherheitsschlüssel. Andere Börsen können andere Kombinationen anbieten. Die Verfügbarkeit kann vom Konto und den unterstützten Geräten abhängen.

Prüfen Sie bei synchronisierten Passkeys die Wiederherstellungssicherung Ihrer Anmeldedatenverwaltung. Apple beschreibt eine Ende-zu-Ende-Verschlüsselung für den iCloud-Schlüsselbund sowie zusätzliche Zugriffskontrollen. Andere Anbieter müssen nicht das gleiche Modell verwenden. Gerätegebundene FIDO2-Anmeldedaten bleiben üblicherweise auf dem physischen Schlüssel. Registrieren Sie deshalb vorher einen weiteren geeigneten Ersatzweg.

Eine Authenticator-App nutzen, wenn Passkeys fehlen

Installieren Sie die gewählte App über ihren offiziellen Store-Eintrag. Aktivieren Sie Authenticator-Codes in den Börseneinstellungen, scannen Sie den Einrichtungs-QR-Code und geben Sie den aktuellen Code zum Abschluss ein. Prüfen Sie, ob die Börse die Methode als aktiv anzeigt.

Kontrollieren Sie die Speichereinstellungen der App. Manche Konfigurationen halten Geheimnisse auf dem Gerät, andere synchronisieren sie über ein Konto. Google Authenticator unterstützt beide Wege. Ohne Google-Konto erfordert die Übertragung einen eigenen Schritt. Testen Sie diesen, solange das alte Telefon noch funktioniert.

Wenn ein Code scheitert, prüfen Sie die automatische Gerätezeit und den ausgewählten Börseneintrag. Löschen Sie den Eintrag nicht als schnellen Reparaturversuch. Ohne das Einrichtungsgeheimnis könnten Sie Ihre funktionierenden Anmeldedaten verlieren.

Speichern Sie Wiederherstellungscodes der Börse, falls verfügbar. Bewahren Sie sie so auf, dass Sie ohne Telefon und ohne Anmeldung bei der Börse darauf zugreifen können. Eine Sicherung im Konto, das sie wiederherstellen soll, kann im entscheidenden Moment unzugänglich sein.

Einen Telefonverlust durchspielen

Stellen Sie sich vor, Ihr Telefon liegt im Taxi und Sie wollen sich am Heimcomputer anmelden. Hat dieser bereits Zugriff auf den synchronisierten Passkey? Welche Freigabe verlangt die Anmeldedatenverwaltung? Falls der Passkey nur auf dem fehlenden Telefon liegt: Welchen registrierten Ersatz können Sie verwenden?

Testen Sie die Ersatzanmeldung, solange die Hauptmethode verfügbar ist. Prüfen Sie den Zugriff auf die Sicherheitseinstellungen. Starten Sie für den Test keine Kontozurücksetzung. Bewahren Sie den Ersatz getrennt auf: Ein zusätzlicher Schlüssel in derselben Handyhülle kann mit dem Telefon verschwinden.

Folgen Sie bei einem echten Verlust den Anweisungen der Börse und des Geräteanbieters. Entfernen Sie nach Rückgewinnung der Kontrolle die verlorenen Anmeldedaten, prüfen Sie Sitzungen und registrieren Sie Ersatz. Google beschreibt das Entfernen eines Passkeys eines verlorenen Geräts aus dem Google-Konto. Das ersetzt nicht das Wiederherstellungsverfahren Ihrer Börse.

Auszahlungen und verbundene Zugriffe kontrollieren

Prüfen Sie die Voraussetzungen zum Hinzufügen einer Auszahlungsadresse, Ändern des Passworts und Abschalten der Authentifizierung. Gibt es eine Liste zugelassener Adressen, lesen Sie deren Warte- und Änderungsregeln, bevor Sie sich darauf verlassen.

Prüfen Sie API-Schlüssel und verbundene Anwendungen. Entfernen Sie ungenutzte Zugriffe und kontrollieren Sie verbleibende Berechtigungen. Kontostände lesen und Geld auszahlen verursachen unterschiedliche Risiken. Erteilen Sie nur Rechte, die der Dienst für Ihre Aufgabe benötigt.

Fordert ein angeblicher Supportmitarbeiter Codes, Einrichtungsgeheimnisse oder Fernzugriff, beenden Sie das Gespräch und prüfen Sie die Anfrage in der offiziellen App. Unser Leitfaden zu gefälschtem Börsensupport behandelt diesen Fall.

Wenn Sie bereits einen Code weitergegeben haben

Sperren Sie von einem vertrauenswürdigen Gerät aus das Konto oder Überweisungen, falls die Börse dies ermöglicht. Coinbase dokumentiert beispielsweise Security Lock: Die Funktion beendet Gerätesitzungen und beschränkt Vorgänge bis zur Entsperrung. Ihre Börse kann anders vorgehen.

Kontaktieren Sie den offiziellen Support und sichern Sie Zeitpunkt, Adresse der Phishing-Seite und verdächtige Transaktionsdaten. Prüfen Sie E-Mail-Zugriffe und Änderungen der Anmeldemethoden. Haben Sie Fernzugriff erlaubt, verwenden Sie zur Wiederherstellung ein anderes vertrauenswürdiges Gerät. Ein nachträglich eingerichteter Passkey macht bereits ausgeführte Transaktionen nicht rückgängig.