Schützt die Verwendung falscher Informationen Ihre Konten vor Hackerangriffen?

Angesichts der zunehmenden Zahl von Datendiebstählen und Cyberangriffen verlassen sich manche Menschen zum Schutz ihrer Konten auf einen unkonventionellen Trick: Sie geben bei der Registrierung oder beim Beantworten von Sicherheitsfragen falsche Informationen ein. Beispielsweise wenn Sie für Ihren Lieblingslehrer einen falschen Namen eingeben oder auf die Frage nach Ihrer Geburtsstadt eine zufällige Antwort geben. Die Idee scheint einfach, wirft jedoch eine wichtige Frage auf: Trägt diese Art der „positiven Täuschung“ tatsächlich zur Sicherung Ihrer Konten bei? In diesem Artikel untersuchen wir das Konzept aus allen Blickwinkeln und erklären, wann es wirksam ist und wann es mehr Schaden als Nutzen anrichtet.

Wir schreiben das Jahr 2025 und trotz aller unserer Passwortmanager und Zugangsschlüssel ist Online-Kontodiebstahl immer noch weit verbreitet. Eine Möglichkeit, mich vor diesen Angriffen zu schützen, ist die altehrwürdige Tradition des Lügens.

Was sind Sicherheitsfragen?

Sicherheitsfragen sind eine Form der Multi-Faktor-Authentifizierung (MFA), bei der Sie nach der Eingabe Ihres Passworts eine Frage beantworten müssen, die „nur Sie kennen“. Zu diesen Fragen gehören Angaben wie der Name Ihres ersten Haustiers oder Ihr Heimatort. Aufgrund seiner Einfachheit ist es eine der ältesten Formen der Multi-Faktor-Authentifizierung im Internet.

Trotz ihres Alters und der Verbreitung fortschrittlicherer Methoden zur Multi-Faktor-Authentifizierung sind Sicherheitsfragen im Internet nach wie vor beliebt. Tatsächlich musste ich letzte Woche ein wichtiges Konto erstellen, wofür ich drei verschiedene Sicherheitsfragen erstellen musste. Um die Sicherheit meines Kontos zu schützen, habe ich nicht wahrheitsgemäß geantwortet.

Warum gelten Sicherheitsfragen als unsicher?

Obwohl es sich um eine einfache Methode der Multi-Faktor-Authentifizierung (MFA) handelt, ist sie sehr einfach. Es basiert in hohem Maße auf einer falschen Prämisse: dass diese Fragen nur von mir beantwortet werden können. Viele Menschen kennen beispielsweise den Geburtsnamen ihrer Großmutter. Es steht in Gerichtsakten, genealogischen Dokumenten, Todesanzeigen und wer weiß, wo noch.

Mir ist aufgefallen, dass bei vielen Sicherheitsfragen davon ausgegangen wird, dass Sie nicht mit dem Internet aufgewachsen sind. Wenn Sie als Kind Zugang zum Internet hatten, insbesondere zu Blogs und sozialen Medien, sind wahrscheinlich immer noch Beiträge über Ihr erstes Haustier im Umlauf. Tatsächlich weiß ich genau, wo Sie online nach Antworten auf Fragen wie diese über mich suchen können.

Sie können dies als Open Source Intelligence bezeichnen, oft abgekürzt als OSINT. Wenn Sie sich mit OSINT auskennen, wissen Sie, wie einfach es ist, mit einfachen Tools im Internet genaue Informationen über eine Person zu finden.

Abgesehen vom Surfen im Internet ist das Hacken von Sicherheitsfragen so einfach wie ein Gespräch mit mir oder einer mir nahestehenden Person. Dies nennt man Social Engineering. Beispielsweise könnte sich jemand als Autoritätsperson, etwa ein Steuerbeamter, ausgeben und mich bitten, „meine Identität zu bestätigen“, indem ich eine Frage beantworte, etwa nach dem Geburtsnamen meiner Großmutter. Um zu verhindern, dass Ihre Sicherheitsfragen kompromittiert werden, müssen Sie stets auf der Hut vor diesen versteckten Angriffen sein.

Aber wir können noch weiter gehen. Nehmen wir an, Sie und alle, die Sie kennen, sind mit Social Engineering vertraut. Sie müssen sich auch darüber im Klaren sein, dass Menschen, die Sie kennen, diese Tatsache ausnutzen könnten. Fragen Sie jedes Missbrauchsopfer: Nur weil Ihnen jemand nahe steht, heißt das nicht, dass er vertrauenswürdig ist. Eine weitere falsche Annahme in Bezug auf Sicherheitsfragen ist die Annahme, dass Sie jemandem, der Ihnen nahe genug steht, um die Antworten auf Ihre Sicherheitsfragen zu kennen, auch den Zugriff auf Ihr Konto zutrauen können.

Die beste Wahl für Sicherheitsfragen: Lüge

Vor diesem Hintergrund habe ich aufgehört, Sicherheitsfragen ehrlich zu beantworten. Wenn ich eine Sicherheitsfrage verwenden muss, um mein Konto vor Hackerangriffen zu schützen, beantworte ich sie mit einer erfundenen und seltsamen Antwort. Wo wurden Sie geboren? Narnia. Was war mein erstes Haustier? Ein Hirsch namens Bob. Dies sind natürlich nicht meine tatsächlichen Antworten, aber Sie verstehen, was ich meine.

Manche gehen noch weiter und geben in der Antwort auf die Sicherheitsfrage nicht einmal ein bekanntes Wort ein. Wie lautete der Geburtsname Ihrer Großmutter? Vielleicht H41%hg67Vc0s5^jQ. Dies ähnelt der Verwendung eines starken Zweitkennworts und macht Ihre Sicherheitsfrage resistent gegen Wörterbuchangriffe. Ich bin jedoch nicht ganz davon überzeugt, dass dies notwendig ist, da mein Online-Kontoanbieter mein Konto wahrscheinlich sperren wird, wenn jemand mehr als ein paar Versuche unternimmt, die Sicherheitsfrage zu erraten.

Nun, Sie sollten nichts davon tun, wenn Sie sich beim Auswendiglernen Ihrer Antworten nicht völlig sicher sind. Herkömmliche Sicherheitsfragen haben einen großen Vorteil: Sie sind leicht zu merken. Wenn Sie bei Ihren Sicherheitsfragen lügen, wird Ihnen dieser Vorteil genommen, weil Sie sich nun ungenaue Angaben zu Ihrer Person merken müssen.

Es kann hilfreich sein, diese Antworten aufzuschreiben, etwa in Form eines Stammbaums oder einer Kurzgeschichte, die ein imaginäres Leben beschreibt. Wenn Sie wie ich sind, hilft es Ihnen auch, Bilder von imaginären Menschen, Orten und Haustieren zu zeichnen.

Stellen Sie natürlich sicher, dass Sie alles, was Sie schreiben, an einem sicheren Ort aufbewahren. Sie können es in einem Passwort-Manager oder für mehr Sicherheit in einem separaten Passwort-Manager speichern. Wichtig ist, dass Sie den Zugriff auf Ihr Konto nicht verlieren und es gleichzeitig sicher bleibt.

Die Verwendung falscher Informationen in einigen Feldern kann ein gewisses Maß an Schutz bieten, insbesondere vor Angriffen, die auf der Weitergabe persönlicher Daten beruhen. Es ist jedoch kein Ersatz für die Verwendung sicherer Passwörter, die Aktivierung der Zwei-Faktor-Authentifizierung und die regelmäßige Überwachung der Kontoaktivität. Wenn Sie sich für diese Methode entscheiden, dokumentieren Sie die von Ihnen verwendeten falschen Informationen unbedingt an einem sicheren Ort, damit Sie Ihr Konto später nicht wiederherstellen können. Ein cleverer Trick ist nur dann vollständig, wenn er durchdacht ist und in andere grundlegende Sicherheitsmaßnahmen integriert wird.