Kontosicherheit beim Kauf digitaler Konten: die erste Stunde entscheidet
Die deutsche Suche fragt nicht, wie man 2FA einschaltet, sondern wie man sie auf ein neues Handy bringt. Bei einem gekauften Konto ist genau das der kritische Punkt.
Michael Chen
Die deutschsprachige Suche zu Zwei-Faktor-Authentifizierung fragt fast nie, wie man sie einschaltet. Sie fragt, wie man sie auf ein neues Handy bekommt. „Authenticator App neues Handy“ und „Authenticator App auf neues Handy übertragen“ stehen beide in den zehn häufigsten Vorschlägen, und das ist genau das Problem, das bei einem gekauften Konto in der ersten Stunde auftritt: Der zweite Faktor liegt noch bei jemand anderem.
Zuerst eine Einschränkung, die niemand gerne schreibt
Ein Konto auf diesem Marktplatz kennt keine eigene Zwei-Faktor-Authentifizierung. Es gibt vier Anmeldewege: Google, Telegram, E-Mail mit Einmalcode und E-Mail mit Passwort. Eine zusätzliche zweite Stufe für das Marktplatzkonto selbst existiert nicht, und ältere Anleitungen, die zum Aktivieren raten, verweisen auf eine Einstellung, die es nicht gibt.
Praktisch heißt das: Die Sicherheit Ihres Marktplatzkontos ist die Sicherheit Ihres Anmeldewegs. Wer sich über Google anmeldet, hat die Absicherung seines Google-Kontos, und die sollte dort dann auch stehen. Wer sich über einen Einmalcode per E-Mail anmeldet, hat die Absicherung seines Postfachs, und wer dieses Postfach verliert, verliert den Zugang.
Das ist die eigentliche Konsequenz und sie wird selten gezogen: Der Anmeldeweg zum Marktplatz gehört auf ein Postfach, das Sie nicht handeln, nicht teilen und nicht weiterverkaufen.
Die erste Stunde nach der Lieferung
Bei einem gekauften Konto ist der Zeitdruck real und nicht rhetorisch. Über den aktiven Katalog liegt das Garantiefenster im Mittel bei zwölf Stunden, und fast ein Viertel der Angebote liegt unter einer Stunde. Was Sie in dieser Zeit nicht geprüft haben, prüfen Sie danach auf eigenes Risiko.
Die Reihenfolge ist wichtig, weil die Schritte voneinander abhängen:
- Anmelden und bis in die Oberfläche kommen. Nicht nur bis zum Passwortfeld. Der häufigste Fehlerfall ist nicht ein falsches Passwort, sondern die Abfrage danach.
- Prüfen, welche zweite Stufe aktiv ist. Steht dort eine fremde Telefonnummer, ein fremdes Postfach oder eine Authenticator-App, die Sie nicht haben, ist das der kritische Befund. Ein Konto, dessen zweiter Faktor bei jemand anderem liegt, gehört Ihnen nicht, egal was das Passwort sagt.
- Wiederherstellungspostfach und Telefonnummer ersetzen. Das ist die eigentliche Übergabe. Solange dort die alten Angaben stehen, kann die Gegenseite das Konto zurückholen, ohne Ihr Passwort zu kennen.
- Zweite Stufe neu einrichten, auf Ihrem Gerät. Alte Einträge entfernen, neu einrichten, und die Wiederherstellungscodes an einer Stelle sichern, die nicht dasselbe Handy ist.
- Passwort ändern, zuletzt. Zuerst zu ändern ist verlockend und falsch: Es löst bei vielen Diensten eine Sicherheitsbenachrichtigung an das alte Wiederherstellungspostfach aus, das in diesem Moment noch dem Verkäufer gehört.
Wenn Schritt zwei oder drei nicht durchgeht, ist das kein Grund zu basteln, sondern der Zeitpunkt für ein Ticket, solange das Fenster noch läuft. Der Weg dorthin steht unter Streitfall eröffnen.
Der Authenticator-Umzug
Die deutsche Suche hat recht damit, dass dies der schwierige Teil ist. Drei Punkte, die regelmäßig schiefgehen:
Codes sind an ein Geheimnis gebunden, nicht an ein Gerät. Wer die Einrichtung neu durchläuft, bekommt einen neuen QR-Code beziehungsweise ein neues Geheimnis, und der alte Eintrag wird ungültig. Das ist bei einer Übernahme genau das, was Sie wollen: Löschen Sie den alten Eintrag beim Dienst, nicht nur in der App.
Nur in der App löschen reicht nicht. Ein aus der App entfernter Eintrag bleibt beim Dienst aktiv, wenn er dort nicht abgemeldet wurde. Umgekehrt hilft es Ihnen nichts, dass Sie einen Code sehen, wenn der Verkäufer denselben Code sieht.
Wiederherstellungscodes sind der eigentliche Schlüssel. Wo es sie gibt, sind sie eine vollwertige Umgehung des zweiten Faktors. Ein Konto, dessen Wiederherstellungscodes Sie nicht neu erzeugt haben, ist nicht übernommen. Und sie gehören nicht auf dasselbe Gerät wie die App, sonst ist der Verlust des Handys der Verlust von beidem.
Phishing im Marktplatzumfeld
Zum Thema Phishing gibt es auf Deutsch gute allgemeine Anleitungen, unter anderem beim Bundesamt für Sicherheit in der Informationstechnik, und die müssen hier nicht wiederholt werden. Was fehlt, sind die zwei Muster, die speziell in diesem Umfeld auftreten.
Erstens der angebliche Verkäufer außerhalb der Plattform. Eine Nachricht per Telegram oder E-Mail, die sich auf eine echte Bestellung bezieht, sieht überzeugend aus, weil die Bestelldaten stimmen können. Die Regel dagegen ist einfach und ausnahmslos: Jede Klärung zu einer Bestellung läuft im Nachrichtenstrang zu dieser Bestellung. Wer Sie dort herausholen will, will etwas, das dort nicht ginge.
Zweitens der angebliche Support, der einen Code abfragt. Der Einmalcode aus Ihrem Postfach ist die Anmeldung, nicht ein Beleg dafür. Wer ihn erfragt, meldet sich damit an. Support fragt danach nicht, und zwar nie, unabhängig davon, wie plausibel die Vorgeschichte klingt.
Der offizielle Telegram-Zugang lautet @hstockplussupport, die offizielle Adresse support@hstockplus.com, für Missbrauchsmeldungen abuse@hstockplus.com. Eine dritte Adresse gibt es nicht. Und es gibt hier keinen Live-Chat: Support läuft als asynchroner Nachrichtenstrang mit einer Bearbeitungszusage von 24 bis 48 Stunden. Wer Ihnen ein Chatfenster mit einem Mitarbeiter anbietet, bietet Ihnen etwas an, das die Plattform nicht hat.
Passwörter, kurz
Die deutschen Suchvorschläge zu sicheren Passwörtern sind gut bedient und die Empfehlungen bekannt: lang schlägt kompliziert, ein Passwortmanager schlägt jedes Merksystem, und ein Passwort pro Dienst schlägt alles andere. Ein Punkt ist in diesem Zusammenhang aber besonders:
Ein gekauftes Konto ist ein Konto mit unbekannter Vorgeschichte. Sie wissen nicht, in welchen Datenlecks seine Adresse steht, wo sie schon einmal verwendet wurde und wer sie kennt. Deshalb gilt hier strenger als sonst: Das Passwort dieses Kontos darf nirgendwo sonst vorkommen, und das Postfach dieses Kontos ist nicht der Ort für Ihre Wiederherstellungsadresse anderer Dienste.
Was ein Marktplatz nicht kann
Zum Schluss die Gegenliste, weil sie mehr wert ist als jede Zusage. Wir können ein Konto ersetzen oder Geld erstatten, solange die Frist läuft. Wir können nicht verhindern, dass ein Zieldienst ein Konto sperrt, dass er eine zusätzliche Verifizierung verlangt, oder dass er eine Kontoübertragung als Verstoß gegen seine Bedingungen wertet. Diese Regeln gehören anderen Unternehmen, und niemand auf einem Marktplatz kann sie ändern.
Was daraus folgt, ist unspektakulär und wirksam: die Übergabe sofort machen, nicht später. Wer die fünf Schritte oben in der ersten Stunde erledigt, hat den größten Teil des Risikos hinter sich, und zwar innerhalb des Zeitraums, in dem ein Problem noch eine Adresse hat.
