Vor dem ersten Einsatz von 2FA sollte man sich ernsthafte Gedanken machen, wie man bei fehlender 2FA (Hardwaredefekt, Diebstahl, Verlust, Beschädigung etc.) das Login wiederherstellen kann.
Und ein Login an eine Telefonnummer zu verknüpfen, ist ja eh eine voll dämliche Idee! => Zum Beispiel: Whatsapp
https://faq.whatsapp.com/1007324800132703/?locale=de_DE
2FA ist tot, lang leben die Passkeys!
https://www.giga.de/artikel/passkeys-was-ist-das-und-wie-wirds-genutzt/
https://www.heise.de/hintergrund/Bestandsaufnahme-Passwort-Nachfolger-Passkeys-9048722.html
Auch vor dem ersten Einsatz von Passkeys sollte man sich ernsthafte Gedanken machen, wie man bei fehlenden Passkey-Zugriff (Hardwaredefekt, Diebstahl, Verlust, Beschädigung etc.) das Login wiederherstellen kann.
Aus Sicherheitsgründen sollte der private Schlüssel (private Key) vom Passkey ausschliesslich in einem HSM erzeugt werden. Der private Schlüssel vom Passkey sollte aus Sicherheitsgründen ausschliesslich in einem HSM gelagert werden. Ein privater Schlüssel von einem Passkey gehört niemals in die Cloud!
Die Hauptaufgabe des HSM ist es, unter keinen Umständen den privaten Schlüssel des Passkeys in unverschlüsselter Form preiszugeben. Bekannte HSM sind Smartcards, TPM, USB-Security-Tokens, SIM-Karten. Zum Thema "HSM" siehe auch:
https://www.lancom-forum.de/fragen-zum-thema-vpn-f14/vpn-ikev2-mit-zertifikat-benutzername-oder-passwor-t17833.html#p101137
Beim Einsatz eines HSM muss zwingend das Thema "Backup des privaten Schlüssels" beachtet werden:
https://www.lancom-forum.de/lancom-allgemeine-fragen-f23/lancom-ca-auch-fuer-smartcard-zertifikate-zu-gebra-t16635.html#p93970
Ärgerlich ist das Gebaren von Datenkraken wie Google und Microsoft, welche gerne ungefragt 2FA auf ihren Logins aktivieren. Diese Datenkraken umschifft man nach Möglichkeit am besten und nutzt Datenschutz-freundlichere Alternativen. Zum Beispiel:
- Gmail => Posteo.de oder Mailbox.org
https://posteo.de/de
https://mailbox.org/de/