Cybersecurity: Schütze dich und deine Daten

Obwohl es als das unsicherste Passwort der Welt gilt, nutzen viele Menschen immer noch 123456. Du könntest gerade so gut vor dein Haus treten und die Brechstange für den Einbruch neben der Eingangstür bereitlegen. 
 
Im Ernst: Sichere Passwörter sind das A und O für deine digitale Sicherheit. Und eigentlich mit relativ wenig Aufwand verbunden. Du brauchst nur zu wissen, wie du es am besten anstellst:

• Mindestlänge: Mind. 12 Zeichen, besser 20 oder mehr 
• Bunter Mix: Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen  
• Zufälligkeit: Wähle zufällige Kombinationen. Denn Wörter aus dem Duden, Namen und bestimmte Vorlieben von dir oder logische Zahlenabfolgen sind leicht zu knacken, weil sie möglicherweise bereits in Listen von Hackern existieren.  
• Einmalig: Nutze jedes Passwort nur einmal 
• Initialpasswörter: Ersetze Initialpasswörter umgehend beim ersten Login  

Empfehlungen des Bundesamt für Cybersicherheit (BACS)(öffnet ein neues Fenster)

Einverstanden, Passwörter mit 12 Zeichen und mehr sind schwer zu merken. Aber hast du schon mal Passphrasen ausprobiert? Wenn du dich jetzt gerade fragst, was das sein könnte: Passphrasen sind komplexe Passwörter, die aus zufälligen Wort(teil)-Zahl-Kombinationen bestehen, die du dir mit einer Eselsbrücke merken kannst. Beispiel?  

Passphrase: MeVaheAlha3Brun1Sc. 

Eselsbrücke: «Mein Vater heisst Albert hat 3 Brüder und 1 Schwester.» 

Früher und vor allem in grösseren Unternehmen empfahl man, Passwörter rund alle 90 Tage zu ändern. Das führte aber oft dazu, dass schwächere Passwörter gewählt oder Muster verwendet wurden. Ändere dein Passwort: 

• Bei einem Verdacht auf Diebstahl. 
• Wenn ein Dienst, den du nutzt, gehackt wurde. 
• Einmal jährlich – als guter Kompromiss zwischen Sicherheit und Bequemlichkeit. 
  

Selbst mit starken Passwörtern kann ein Konto gehackt werden. Eine zusätzliche Sicherheitsebene bietet dir die 2- oder Multi-Faktor-Authentifizierung. Eine solche wird vom Bundesamt für Cybersicherheit (BACS) empfohlen(öffnet ein neues Fenster).  
 
Du musst dabei während dem Loginprozess zwei Dinge vorweisen: Deine Logindaten (Nutzername und Passwort) sowie eine Verifikation über einen anderen Kanal:  

• Authenticator-Apps: Solche Apps gibt es zahlreiche, z.B. Google Authenticator oder Microsoft Authenticator. Da du oft die Wahl hast, nutze am sichersten Apps von bekannten Anbietern bei der Konfiguration.  
• Code oder Link via SMS oder E-Mail: Eine zusätzliche Authentifizierung kann auch mit einem einmaligen, nur kurzfristig gültigen Link oder Code, der an deine registrierte Telefonnummer oder E-Mail-Adresse gesendet wird, durchgeführt werden. (Manchmal ersetzen Anbieter sogar das Passwort mit einem solchen einmaligen, nur kurzfristig gültigen Anmeldelink oder Code.) Diese zusätzliche Verifizierungsmethode gilt als die unsicherste, weil E-Mails und SMS abgefangen werden können.
• Biometrie: Auch biometrische Daten wie dein Fingerabdruck, deine Face-ID oder vereinzelt auch die Stimmerkennung können zur 2FA oder MFA genutzt werden.

Passkeys sind die jüngste Generation der Authentifizierung und sollen in Zukunft Passwort und 2FA ersetzen. Aber was sind Passkeys genau? Passkeys funktionieren dank moderner Kryptografie und nutzen mit öffentlich-privaten Keys eine asymmetrische Verschlüsselungen für deinen Loginprozess. – Ist dir zu technisch?  
 
Einfacher erklärt: Passkeys sind virtuell und ein digitales Schlüsselpaar – stelle sie dir als digitale Zwillingsschlüssel vor, die bei einer neuen Registration mit Passkey automatisch erstellt werden. Einer der beiden Schlüsseln ist öffentlich und erhält die Webseite des Anbieters (z.B. deine Bank, Google usw.). Der andere digitale Zwillingsschlüssel ist privat und bleibt immer lokal auf deinem Gerät.  
 
Wenn du nun auf die Webseite gelangst, wo du dich einloggen möchtest (z.B. bei deiner Bank) fordert die Bank dich automatisch auf, dich zu verifizieren. Dein Gerät antwortet mit dem passenden privaten kryptografischen Zwillingsschlüssel. Du entsperrst deinen Zugang mit deinen biometrischen Daten (z.B. Fingerabdruck oder Face-ID) – und bist drin.  
 
Passkeys sind darum praktisch, weil sie nur auf der echten Bank-Webseite funktionieren (auf einer Phishing-Seite wird der Schlüssel nicht erkannt und das Login schlägt fehl). Sie werden einzigartig für jede Webseite erstellt und dein Schlüssel verlässt dein Gerät nie. Das macht sie enorm sicher, deutlich sicherer (und nutzerfreundlicher) als jedes noch so sichere Passwort, selbst wenn du es mit einer 2FA kombinierst. 

Mehr über Passkeys(öffnet ein neues Fenster)

Hast du Mühe, dir alle Passwörter zu merken? Diese gehören weder auf Post-its noch in ein Dokument in der Cloud. Stattdessen eignet sich in vielen Fällen ein Passwortmanager. Achte auch hier auf Anbieter mit guter Reputation und starker Verschlüsselung.  
 
Das sind die Vor- und Nachteile eines Passwortmanagers:  

Vorteile

• Du musst dir nur ein starkes Masterpasswort merken, das deine Passwörter verschlüsselt schützt. 
• Er generiert die Passwörter für jedes Konto nach deinen Vorgaben selbst. 
• Die Logindaten werden nur auf sicheren Seiten automatisch ausgefüllt. 
• Du hast übergreifend von verschiedenen Geräten auf die Passwörter Zugriff. 
• Warnt vor schwachen oder mehrfach verwendeten Passwörtern und führt so laufend eine Art Sicherheitsaudit durch. 
• Keine handgeschriebenen Zettel mehr nötig. 
  

Nachteile

• Als digitale Dienstleistung ist ein Passwortmanager meist mit Kosten verbunden. 
• Du bist z.B. bei Preiserhöhungen oder Netzwerkproblemen abhängig vom Anbieter. 
• Setzt in der Regel eine vorgängige Installation auf allen Geräten voraus. 
• Offline-Zugang ist manchmal begrenzt, wenn überhaupt verfügbar. 
• Wenn du das Masterpasswort vergisst, musst du es mehr oder weniger aufwändig zurücksetzen lassen. 
• Manche Apps oder Betriebssysteme unterstützen kein automatisches Einfüllen der Logindaten. 
  

Unsere Empfehlung:  Passwortmanager von blue Security & Service(öffnet ein neues Fenster)

Auch betrügerische Online-Shops können echt wirken. Doch sie haben wie Phishing-E-Mails ihre Schwachstellen. Achte auf diese Warnsignale:  

• Verdächtig günstig: Sind die Preise fast zu gut, um wahr zu sein? Dann sind sie es wohl auch. Wenn ein nigel-nagel-neues iPhone nur die Hälfte des Marktpreises kostet, bleib vorsichtig, statt sofort zuzuschlagen: Cyberkriminelle locken gerne mit unschlagbaren Schnäppchen. 
• Unseriöse Sprache: Wie beim Phishing können holprige Formulierungen oder schlechte Übersetzungen ein Indiz auf betrügerische Absichten sein (muss aber nicht). Sei dir bewusst, dass seriöse Unternehmen meist viel in einen makellosen Auftritt und in professionelle Texte und Übersetzungen investieren.  
• Fehlende Kontaktdaten: Wenn im Impressum der Kontakt fehlt oder es diesen bei genauerem Prüfen gar nicht gibt, ist das ein starkes Warnsignal. Ein vollständiges Impressum gibt immer Firmenname, Adresse und meist auch eine Telefonnummer an. Ist nur eine E-Mail-Adresse angegeben, darfst du gerne skeptisch werden.  
• Erfahrungsberichte anderer Kund*innen: Was andere über den Shop berichten, kann hilfreich sein. Prüfe nicht nur bei den gewünschten Artikeln die Bewertungen, sondern schau auch mal bei Trustpilot oder in den Google Bewertungen vorbei. Aber Achtung: Auch Bewertungen können gefälscht sein. Misstrauisch darfst du werden, wenn alles ausschliesslich 5-Stern-Bewertungen sind und die Kommentare wenig bis keine Details aufweisen. Oder wenn es viele 5-Sterne-Bewertungen (gefälscht) und 1-Stern-Bewertungen (von enttäuschten Kund*innen) hat, aber kaum welche dazwischen.  
• UID-Verzeichnis checken: Du kannst auch die MWST-Nummer im UID-Verzeichnis prüfen, wo alle seriösen Schweizer Unternehmen eingetragen sind. Findest du keine MWST-Nummer im Impressum oder ist sie im UID-Verzeichnis nicht aufgeführt, ist das ein Warnsignal. 

Nutze grundsätzlich immer offizielle Stores, um sicherzugehen: Für Software gehst du am besten zum Hersteller und für Apps zu Google Play(öffnet ein neues Fenster) oder App Store(öffnet ein neues Fenster).  
 
Und schau auch gerne mal bei den Empfehlungen des BACS zu «Online kaufen und verkaufen»(öffnet ein neues Fenster) vorbei.

Nicht alle Zahlungsmethoden sind online gleich sicher. Worauf ist zu achten?

• Rechnung: Ist die sicherste Zahlungsmethode, denn du zahlst erst, wenn deine Bestellung eingetroffen ist. Leider bieten aber nicht alle Online-Shops die Zahlungsmethode Rechnung an. 
• Vorauskasse und Direktüberweisung: Ist hingegen eher riskant, weil dein Geld nicht nachverfolgt werden kann und du es aber bereits versendest, bevor du dein Produkt in den Händen hältst. 
• PayPal: Wenn du deinen Artikel nach der Zahlung nicht erhältst, schützt dich der PayPal-Käuferschutz(öffnet ein neues Fenster) vor Verlusten. Beachte aber unbedingt, welche Transaktionen dazu berechtigt sind und welche Limits und Bedingungen gelten.  
• Kreditkarte: Auch bei Kreditkarten kannst du grundsätzlich betrügerische Aktivitäten melden und eine ungerechtfertigte Abbuchung reklamieren und zurückfordern. Dabei gelten die Nutzungsrichtlinien deines Kreditkartenanbieters bzw. deiner Bank.  
• Twint: Eignet sich als Schweizer Zahlungslösung grundsätzlich für kleinere Beträge. Technisch gesehen steht Twint dem E-Banking am nächsten, womit Geldsendungen in der Regel nicht rückgängig gemacht werden können. Noch offene Transaktionen können aber manchmal zurückgegezogen werden.  
• Western Union oder Bitcoin: Beide ermöglichen anonyme Transaktionen, was es unmöglich macht, solche zu widerrufen. Lasse bei deiner Zahlung in einem Online-Shop also lieber die Finger davon. 
  

Bevor du auf «Kaufen» klickst, nimm dir einen Moment Zeit für die Kontrolle:

• Stimmt der Betrag? Vergleiche den zu bezahlenden Preis mit dem, der im Warenkorb stand. Manchmal schleichen sich noch verdeckte Kosten ein.  
• An wen geht die Zahlung? Sind die Namen vom Rechnungsabsender und Shop dieselben? Wenn nicht, handelt es sich vielleicht um einen seriösen Rechnungspartner? Bei unbekanntem und abweichendem Rechnungsabsender lieber Vorsicht walten lassen und die Zahlung abbrechen.  
  

Wenn dir etwas komisch vorkommt, vertraue auf dein Bauchgefühl. Lieber einmal zu viel prüfen als einmal zu wenig:

• Hast du diese Zahlung bereits gemacht? Gerade bei Buchungen (Hotels, Flügen) ist es schon vorgekommen, dass bezahlte Rechnungen von Hackern mit gefälschten Bezahllinks nochmals verschickt wurden. Prüfe vor einer erneuten Zahlung also besser kurz deine Zahlungsbestätigungen in den E-Mails oder deine Kontoauszüge.  
• Recherchiere den Shop: Du kannst auf Google oder in anderen Suchmaschinen nach dem Shop in Kombination mit Wörtern wie «Betrug», «Fake» oder «Erfahrungen» suchen. Bei gefälschten Shops wirst du meist rasch fündig.  
• Frage in deinem Umfeld: Vielleicht kennt jemand den Shop (oder Zahlungspartner) bereits, bei dem du bestellen möchtest? Möglicherweise hat er oder sie selbst schon da bestellt oder hat von einem Betrugsfall gelesen.
  

Eine Cloud ist praktisch, weil du von überall auf deine Daten zugreifen kannst. Auch bemühen sich seriöse Anbieter wie Google Drive, OneDrive oder Dropbox intensiv um die Sicherheit deiner Daten: Spezialisierte Security-Teams halten rund um die Uhr nach Bedrohungen Ausschau. Und das müssen sie auch: Weil Cloud-Anbieter so viele Daten verwalten, sind sie ein attraktives Angriffsziel für Hacker.

Achte dich bei der Wahl deiner Cloudlösung auf: 

• End-zu-End-Verschlüsselung: Deine Daten sollen so verschlüsselt gespeichert werden, dass selbst der Anbieter nicht mitlesen kann.  
• Zero-Knowledge-Architektur: Das bedeutet, dass beim Hochladen einer Datei deine Daten bereits auf deinem Computer verschlüsselt werden. So werden in der Cloud nur die verschlüsselten Daten gespeichert. Bei einem Datenleak der Cloud sind deine Daten für die Hacker darum unlesbar, denn der Schlüssel liegt auf deinem Gerät. 
• 2-Faktor-Authentifizierung: Wähle eine Cloud, bei der du deinen Cloud-Zugang mit einer 2-Faktor-Authentifizierung schützen kannst, um ihn vor Hackern zu schützen.   
• Regelmässige Security-Audits: Der Anbieter sollte seine Systeme regelmässig von Expert*innen challengen lassen.  
• Incident-Response: Vielleicht findest du Informationen zur Reaktionsgeschwindigkeit des Anbieters bei allfälligen früheren Cybervorfällen? Je schneller sie reagieren, desto besser. 
• Besonders sensible Daten speichern: Wenn du Identitätsdokumente, Finanzunterlagen oder ähnliches hochlädst, verschlüssle sie am besten vorher selbst und schütze sie mit einem zusätzlichen Passwort.
  

Was kann eine Cloud, das ein lokaler Datenspeicher nicht kann – und umgekehrt? Das sind die Vor- und Nachteile von Cloud und lokalem Datenspeicher:

Wie wichtig Backups sind, merkst du meist erst, wenn du sie brauchst. Damit du wenig Aufwand und doch den vollen Nutzen hast, lohnen sich automatische Backups.  
 
Automatische Backups kannst du in deinen Smartphone-Einstellungen aktivieren. Bei deinem MacBook oder iMac kannst du automatische Backups mit Time Machine aktivieren. Für Windows-Sicherungen kannst du auch Tools wie Acronis True Image nutzen, die ein komplettes Systemabbild erstellen.  
 
Teste regelmässig (rund alle 3-6 Monate), ob dein Backup noch funktioniert: Versuche als Test, eine aktuelle Datei aus dem Backup wiederherzustellen.

Profis schwören auf die 3-2-1-Regel: 3 Exemplare deiner wichtigen Daten (Original + 2 Kopien), 2 verschiedene Medien (z.B. Cloud + externe Festplatte), 1 Backup an anderem Ort (z.B. nicht in demselben Haus).  
 
Klingt übertrieben? Das kommt auf den Wert deiner Daten an. Wenn du Daten speichern möchtest, die du auf keinen Fall verlieren willst, weil sie einmalig und nicht wiederholbar sind (z.B. Bilder aus der Kindheit), lohnt sich diese mehrfache Absicherung.

E-Mails oder Chatverläufe gehen beim Backup oft vergessen. Wenn du dort wichtige Informationen, Verträge oder Rechnungen abgelegt hast, exportierst du deine E-Mails oder Daten am besten rund einmal pro Jahr und speicherst sie auf eine externe Festplatte. 

Infizierte Backups sind nutzlos, denn wenn du ein Backup mit Viren wiederherstellst, sind nicht nur deine Daten, sondern auch die Viren zurück im System. Was also kannst du tun, um deine Backups virenfrei zu halten?

• Air-Gap-Strategie: Das wichtigste Backup muss komplett vom Netzwerk getrennt sein, damit es nicht von Ransomware angegriffen werden kann.  
• Immutable Backups: Nutze Cloud-Dienste mit «Object Lock» oder «Legal Hold»-Funktionen. Diese Backups können für einen festgelegten Zeitraum nicht gelöscht oder verändert werden – nicht einmal von dir. 
• Separierte Backup-Konten: Verwende für Backups ein separates Cloud-Konto mit komplett anderen Zugangsdaten. Nutze einen anderen Browser oder sogar ein anderes Gerät dafür. 
• Versionierung ausnutzen: Cloud-Dienste bewahren oft 30-90 Tage alte Dateiversionen auf. Selbst wenn Ransomware deine aktuellen Dateien verschlüsselt, kannst du so eventuell auf saubere Versionen zurückgreifen.