Promi-Hack: Apple führt Zwei-Faktor-Authentifizierung in iCloud ein

Apple verstärkt die Sicherheit des Cloud-Speicherdienstes iCloud. Dafür hat der Anbieter eine Zwei-Faktor-Authentifizierung auch auf gespeicherte Daten Speicherdienst iCloud ausgedehnt. Anwender, die die “zweistufige Bestätigung” bereits für das Apple-ID-Konto nutzen hat Apple entsprechend informiert.

Auch Drittanwendungen wie Thunderbird sind von dieser Änderung betroffen. Greift eine unabhängige Anwendung auf die in der iCloud gespeicherten Daten zu, ist ab dem 1. Oktober ein anwendungsspezifisches Passwort erforderlich. Anwender können dieses für jede einzelne App in der Kontoverwaltung der Apple-ID erstellen.

Nutzer, die die zweistufige Bestätigungsfunktion aktiviert haben, müssen sich ab sofort bei der Anmeldung zu iCloud über ein anderes Gerät identifizieren. Durch die Sicherheitsfunktion erhöht sich der Schutz vor Hackern massiv. Selbst ein Angreifer über Kontoname und Passwort verfügt, bleibt der Zugriff auf Daten in der iCloud verwehrt.

Erst vor wenigen Tagen hatte Apple bereits eine erste Konsequenz aus der Veröffentlichung von auf iCloud gespeicherten Nacktfotos vieler Prominenter gezogen: Nutzer werden jetzt per E-Mail informiert, wenn ihre Apple-ID für die Anmeldung bei iCloud über einen Webbrowser verwendet wurde.

“Falls Sie sich vor Kurzem bei iCloud angemeldet haben, können Sie diese E-Mail ignorieren”, heißt es darin. “Falls Sie sich nicht vor Kurzem mit Ihrer Apple-ID bei iCloud angemeldet haben und der Meinung sind, dass jemand anderes versucht hat, auf Ihren Account zuzugreifen, sollten Sie Ihr Passwort unter Meine Apple-ID zurückzusetzen.”

In einer ersten Erprobung durch ZDNet.de vor einer Woche dauerte es relativ lange, nämlich elf Minuten, bis die Benachrichtigung eintraf. Wenig hilfreich erscheint auch, dass die Zeitangabe erst umgerechnet werden muss, da Apple den Zugriffszeitpunkt in der Zeitzone PDT (Pacific Daylight Time) angibt – dort befindet sich seine Zentrale in Cupertino. Zu vermissen sind in der Warnung hingegen hilfreiche Einzelheiten zum verwendeten Browser oder der IP-Adresse, über die eine Anmeldung erfolgte. Inzwischen erfolgt die Benachrichtigung kurz nach der Anmeldung. Die Zeitangaben in PDT hat Apple hingegen beibehalten.

Die Zwei-Faktor-Authentifizierung ist standardmäßig nicht aktiv. Um sie nutzen zu können, müssen Apple-Anwender unter Meine Apple-ID den Dienst, der im Apple-Jargon “zweistufige Bestätigung” genannt wird, einschalten. Außerdem benötigt Apple für die Aktivierung des Dienstes volle drei Tage. Mit “Sicherheitsgründen” erklärt der Apple-Support diese Wartezeit in seiner Bestätigungs-Mail, die er wiederum “zur Sicherheit an alle in Ihrem Account hinterlegten E-Mail-Adressen” sendet.

Neu oder verschärft könnten auch die Vorgaben für ein sicheres Passwort sein, wenn nach dem Anmelden bei “Meine Apple-ID” eine Aufforderung zum Anlegen eines neuen Passworts erfolgt. Enthalten sein müssen unter anderem ein Kleinbuchstabe, ein Großbuchstabe sowie eine Ziffer. Es darf außerdem nicht mehrere identische, aufeinander folgende Zeichen enthalten, nicht mit dem Kontonamen identisch – und kein häufig verwendetes Kennwort sein.

Nachdem bekannt geworden war, dass die entwendeten Prominenten-Nacktfotos aus Apples iCloud stammten, patchte der Hersteller zunächst eine Schwachstelle in seinem Clouddienst Find my iPhone (“Mein iPhone suchen”). Sicherheitsforscher vermuteten eine Lücke im iCloud-Backup. Apple bestätigte Angriffe auf die iCloud-Konten bekannter Schauspielerinnen, bestritt jedoch die Ausnutzung einer gezielten Schwachstelle in Apple-Systemen wie iCloud. Die Ermittlungen hätten vielmehr ergeben, dass die Hacker durch gezielte Angriffe an die von ihnen veröffentlichte Nacktaufnahmen gekommen seien. Nach einem Bericht von Wired nutzten die Angreifer dabei eine vom Hersteller als Polizei-Tool empfohlene Software.

[mit Material von Kai Schmerer, ZDNet.de]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.