All zu schnell kann es passieren, der Alptraum eines jeden modernen Arbeiters: Kurz mal nicht auf den Laptop aufgepasst und dann ist er einfach weg. Ob an öffentlichen Plätzen, auf einem Barcamp oder einer Konferenz, die Gefahr eines Diebstahls lauert (leider) überall. Deshalb sollte man wissen, was man im Falle eines Falles tun kann für das teuerste und nicht versicherte Gut: Die eigenen Daten. Einen kurzen Abriss an Vor- und Nachsorge-Maßnahmen zum Schutz eigener Daten möchten wir euch vorstellen – Anspruch auf Vollständigkeit und Aktualität können wir hier aber leider nicht erheben, dafür ist diese Welt zu schnelllebig und im ständigen Wandel begriffen.
Beginnen wir zunächst mit dem wichtigeren Teil: Der Vorsorge. Denn wenn das Kind (oder der Laptop) erstmal in den Brunnen gefallen ist, kann man nur noch begrenzt etwas tun, und am meisten kann man dann machen, wenn man vorher schon gute Bedingungen dafür geschaffen hat.
Teil 1: Vorsorge
Das Wichtigste selbstverständlich: Regelmäßige Back-Ups. Nach Möglichkeit natürlich auf separate Hardware, zum Beispiel eine externe Festplatte. Auch Cloud-Dienste wie Dropbox oder andere Alternativen können hierfür nützlich sein – dafür sollte man sich zusätzlich mit Datenschutz (Schutz der Daten seiner Kunden u.ä.) sowie Verschlüsselungsmethoden auseinander setzen. Denn alle folgenden Maßnahmen nützen nur dazu, einem eventuellen Langfinger den Zugriff zu verweigern – nicht aber, sich selbst erneut Zugriff zu verschaffen! Hier gilt leider die Devise: „Was weg ist, ist weg“, und genau deshalb führt kein Weg an regelmäßigen (!) Back-Ups vorbei.
Um zu verhindern, dass Unbefugte Zugriff auf alle auf dem Computer befindlichen Daten bekommen, ist der Passwort-Schutz bei der Anmeldung ein probates Mittel. Alle gängigen Betriebssysteme (Windows, Mac OS sowie Linux-Distributionen) bieten diesen Funktion, falls man nicht weiß wie es beim eigenen System einzurichten ist, hilft eine Google-Suche mit dem Namen des eigenen Betriebssystems + Passwortschutz.
Jeglicher Passwortschutz bringt nicht sonderlich viel, wenn das Passwort sehr leicht zu knacken ist. Mein Geburtsdatum, Name meiner Katze und Mädchenname meiner Mutter fallen jedenfalls bei der Wahl eines sicheren Passworts definitiv raus. Groß- und Kleinschreibung, Ziffern und am besten auch noch Sonderzeichen soll es enthalten, in keinem Wörterbuch stehen, auch nicht in Leetspeak (bzw. 1337). Und natürlich brauche ich für jeden Dienst ein anderes. Es gibt zum Glück Tipps für Formeln, die man zum Generieren benutzen kann, und auch Testhilfen wie wiesicheristmeinPasswort.de. Und wie zur Hölle soll ich mir die alle merken?!
Passwörter sollten aber nicht im Browser gespeichert werden, denn diese bekommt man dort nicht wieder weg, wenn man keinen Zugriff auf den Rechner mehr hat. Um trotzdem dem Sicherheitsanspruch auf verschiedene Passwörter für alle Dienste und gleichzeitig der Bequemlichkeit, nicht immer alles auswendig wissen zu müssen, Genüge zu tun, kann man einen Passwort-Manager verwenden. Dieser speichert ganz ähnlich wie der Browser die Login-Daten für Webseiten, sichert sie jedoch zusätzlich durch ein Master-Passwort. Dieses Master-Passwort sollte sich natürlich vom Passwort bei der Anmeldung im Betriebssystem unterscheiden, sonst nützt es ja nichts mehr. Einen Überblick über verschiedene Passwort-Manager gibt es bei Caschy.
Viele Webdienste bieten eine zwei Wege Authentifizierung für die Anmeldung. Das bedeutet, dass neben der Eingabe des Passworts noch ein zweites Mittel nötig ist, um sich in den Account einzuloggen. Die häufigste Lösung dafür sind Codes, die per SMS verschickt werden, im Prinzip das selbe wie SMS-TAN beim Online-Banking. Solch eine Authentifizierungsmethode sollte man auf allen Accounts benutzen, bei denen sensible Daten vorliegen.
Um am heimischen Rechner nicht jedes Mal auf die SMS warten zu müssen, kann man bestimmte Geräte nur einmalig so absichern und danach „Diesem Computer vertrauen“ markieren. Im selben Atemzug sollte man das jeweilige Endgerät auch gleich sinnvoll benennen. Falls dann genau dieses gestohlen wird, kann man sich von einem beliebigen anderen Rechner aus in den jeweiligen Account einloggen und dort dem Gerät das Vertrauen wieder entziehen, sodass ein Dieb wieder beide Mittel für eine Anmeldung benötigen würde.
Für alle Browser gibt es bequeme Add-Ons bzw. Erweiterungen, die zum Beispiel über den Eingang neuer E-Mails benachrichtigen und auch schnelle Reaktionen darauf ermöglichen. Sofern möglich, sollte man solche Add-Ons so einstellen, dass beim Start immer nach dem Passwort gefragt wird. Wenn dies nicht möglich ist, sollte man sich lieber nach alternativen Lösungen umsehen. Wer Google Mail nutzt, wird bei offenem Tab bereits standardmäßig dezent über neue Mails informiert (über die Zahl im Favicon des Tabs), mit Features aus den hauseigenen Labs lassen sich auch weitere Funktionen aktivieren. Diese Maßnahmen greifen aber jeweils nur, wenn man im Account eingeloggt ist und sind somit etwas sicherer als Add-Ons, die selbst die Login-Daten speichern. Im Idealfall hält man es auch so mit seinem E-Mail-Programm, sofern man ein solches außerhalb des Browsers nutzt, dass beim Start ein Kennwort erforderlich ist.
Für Programme außerhalb des Browsers, wie beispielsweise Tweetdeck für Twitter, sollte man ebenfalls ausschließlich auf Programme zurückgreifen, die nicht selbst die Login-Daten speichern, sondern OAuth bzw. „Anmeldung über …“ nutzen. Also jene Programme, denen man in einer Facebook- oder Twitter-Oberfläche Zugriff auf sein jeweiliges Konto gewährt. Denn auch hier hat man sonst später keinerlei Möglichkeit mehr, ein auf dem Computer (bzw. in der lokal installierten Software) gespeichertes Passwort dort wieder zu löschen, wenn man keinen Zugriff mehr darauf hat.
Google bietet für externe Services „anwendungsspezifische Passwörter“ – diese kann man vorher in den eigenen Konto-Einstellungen generieren und dann benutzen, um sich beispielsweise in ein Chatprogramm, mit dem man auf Google Talk zugreifen möchte, einzuloggen ohne dabei sein eigentliches Google-Passwort preis zu geben.
Übrigens, speziell für Nutzer von Googles Browser Chrome: Eine Anmeldung direkt im Browser ist nicht unbedingt nötig. Hier sollte man abwägen, ob man die gebotenen Vorteile wie zum Beispiel Synchronisation mit verschiedenen Computern überhaupt benutzt. Nutzt man nur einen einzigen Rechner und diesen als einzige Person, so braucht man diese Funktion eigentlich nicht. Denn im Falle eines Diebstahls liegt allein durch das Öffnen des Browsers bereits ein teilweiser Zugriff auf den Google-Account vor (auch wenn damit nicht unbedingt Zugriff auf sensible Daten einhergeht). Der als erster Benutzer angemeldete Account kann übrigens nicht mehr entfernt werden – sollte dies gewünscht sein, hilft nur Deinstallation und Neuinstallation, ohne sich erneut anzumelden.
Nächste Woche folgen weitere Tipps: Was kann man tun, wenn der Laptop wirklich gestohlen wurde?
