Die Konten schützen, die alles andere zurücksetzen können
Digitale Identität ist kein einzelnes Konto. Es ist die Kette, die Ihre primäre E-Mail-Adresse, Telefonnummer, den Entsperrcode des Geräts, Finanzkonten, Cloud-Speicher, Gesundheitsportale, Steuerunterlagen und Konto-Wiederherstellungsmethoden verbindet. Ein Angreifer, der die primäre E-Mail-Adresse übernimmt, kann möglicherweise mehrere andere Konten zurücksetzen, ohne deren Passwörter zu überwinden. KI kann Phishing und Identitätstäuschung schneller und ausgefeilter machen, doch die nützlichsten Verteidigungen bleiben gewöhnliche Sicherheitsmaßnahmen: eindeutige Zugangsdaten, phishing-resistente Anmeldung, sichere Wiederherstellung, Updates und eine eingeübte Verifikationsgewohnheit. CISA fasst starke Passwörter, Multi-Faktor-Authentifizierung, Phishing-Erkennung und Software-Updates als seine zentralen Verbraucher-Maßnahmen zusammen.
Dies sind allgemeine Hinweise für Haushalte in den USA, keine individualisierte Rechts-, Finanz- oder Cybersicherheitsberatung. Personen, die Stalking, häusliche Gewalt, gezielte Belästigung oder ein kompromittiertes Gerät erleben, benötigen möglicherweise einen Sicherheitsplan mit einer qualifizierten Beratungsstelle oder Sicherheitsfachkraft, bevor sie Konten ändern, da abrupte Änderungen einen Täter alarmieren können.
Beginnen Sie mit den Konten, die die Wiederherstellung steuern: primäre E-Mail, Plattformkonto, Mobilfunkanbieter, Passwort-Manager und Finanzkonten. Decken Sie dann Dienste mit geringerem Wert ab. Diese Reihenfolge verringert die Chance, dass eine schwache Wiederherstellung anderswo stärkeren Schutz aushebelt.
Einen Passwort-Manager nutzen, dann Wiederverwendung beseitigen
Nutzen Sie einen seriösen Passwort-Manager, um für jedes Konto ein anderes Passwort zu erzeugen und zu speichern. Das praktische Ziel ist nicht, Dutzende komplexer Zeichenketten auswendig zu lernen; es ist, eine Datenpanne gegen jeden anderen Dienst wirkungslos zu machen. Schützen Sie den Manager mit einem langen, eindeutigen Master-Passwort und der stärksten verfügbaren Multi-Faktor-Option. Legen Sie das Master-Passwort nicht unverschlüsselt neben die Wiederherstellungscodes.
Ändern Sie zuerst die Konten mit den größten Konsequenzen, und aktualisieren Sie wiederverwendete Passwörter, sobald Sie darauf stoßen. Meldet ein Dienst eine Datenpanne, ändern Sie die Zugangsdaten über die bekannte App oder eine selbst eingetippte Adresse statt über einen Link in einer Warnnachricht. Bevorzugen Sie bei gemeinsamem Zugriff separate Dienst-Logins oder die Familienfreigabe-Funktion eines Passwort-Managers, statt ein Passwort per SMS zu senden.
Passkeys oder Sicherheitsschlüssel bevorzugen, mit geplanter Wiederherstellung
Passkeys und FIDO/WebAuthn-Sicherheitsschlüssel sind so konzipiert, dass die Anmeldeinformation an die echte Website gebunden ist. Korrekt konfigurierte Passkeys sind phishing-resistent, weil eine gefälschte Domain kein wiederverwendbares Geheimnis für die echte Seite abfangen kann; NIST beschreibt diese Bindung an den Namen des Prüfdienstes und erläutert auch die Kompromisse synchronisierter Passkeys. Das macht sie zu einer starken Wahl für E-Mail, Passwort-Manager, Cloud-Konten und Finanzdienste, wo verfügbar.
„Passkey” bedeutet nicht immer einen separaten Hardware-Schlüssel. Ein Passkey kann auf einem Gerät liegen, über ein Plattformkonto synchronisiert oder auf einem physischen Sicherheitsschlüssel gespeichert werden. Synchronisierte Passkeys verbessern Benutzerfreundlichkeit und Wiederherstellung über Geräte hinweg, doch das Plattformkonto und dessen Wiederherstellungsprozess werden dadurch Teil der Sicherheitsgrenze. Ein Hardware-Schlüssel kann die Abhängigkeit von diesem Synchronisierungskonto verringern, doch ein einzelner Schlüssel kann verloren gehen oder beschädigt werden. Registrieren Sie für ein hochwertiges Konto mindestens zwei Authentifikatoren, sofern der Dienst dies erlaubt: Halten Sie einen verfügbar und einen Ersatz an einem sicheren, separaten Ort.
Löschen Sie keine bestehende Anmeldemethode, bevor Sie die neue Methode in einer separaten Sitzung getestet und die Wiederherstellung überprüft haben. Speichern Sie Einmal-Wiederherstellungscodes offline an einem verschlossenen Ort. Prüfen Sie, ob das Hinzufügen eines neuen Authentifikators eine Warnung auslöst, ob alte Sitzungen widerrufen werden können, und welche Telefonnummern oder E-Mail-Adressen das Konto zurücksetzen können. Die aktuellen NIST-Richtlinien zu Authentifikatoren behandeln Wiederherstellung als eigenständiges Lebenszyklus-Ereignis, nicht als nachträglichen Gedanken.
Sind Passkeys nicht verfügbar, nutzen Sie das stärkste vom Dienst unterstützte MFA-Verfahren. Eine Authentifizierungs-App oder ein Hardware-Token vermeidet meist einige Schwächen von SMS. SMS ist meist noch immer besser als ein Passwort allein, ist aber nicht phishing-resistent und hängt von der Sicherheit des Telefonkontos ab. Legen Sie eine PIN beim Mobilfunkanbieter fest, aktivieren Sie jede verfügbare Sperre gegen Portierung oder SIM-Tausch, und lesen Sie niemals einen Einmalcode einem unaufgeforderten Anrufer vor. Ein echter Support-Mitarbeiter sollte den Code, der eine Anmeldung autorisiert, nicht benötigen.
Wiederherstellung und Geräte absichern
Überprüfen Sie die Einstellungen zur Kontowiederherstellung zweimal jährlich sowie nach einem Wechsel von Telefonnummer, E-Mail, Beziehung oder Haushalt. Entfernen Sie frühere Arbeitsadressen, alte Nummern, unbekannte Geräte, veraltete App-Passwörter und Personen, die keinen Wiederherstellungszugang mehr haben sollten. Nutzen Sie einen Wiederherstellungskontakt nur, wenn diese Person die Verantwortung versteht und das eigene Konto schützen kann.
Aktivieren Sie automatische Updates für Telefone, Computer, Browser, Passwort-Manager und Sicherheitssoftware. Nutzen Sie einen Geräte-Code, der kein Geburtstag oder wiederholte Ziffer ist, aktivieren Sie Vollgeräteverschlüsselung, wo verfügbar, und konfigurieren Sie das Gerät für schnelles Sperren. Verbergen Sie Nachrichtenvorschauen auf dem Sperrbildschirm, wenn sie Anmeldecodes oder private Informationen preisgeben. Sichern Sie wichtige Daten mit einer getesteten Methode, bedenken Sie aber, dass ein Cloud-Backup über das Cloud-Konto zugänglich ist; schützen Sie dieses Konto entsprechend. Für die Router-Konfiguration, Netzwerksegmentierung und Härtung vernetzter Geräte hinter diesen Konten siehe Heimnetzwerk- und Gerätesicherheit.
Identitätsexposition reduzieren, ohne Unsichtbarkeit anzustreben
Private Einstellungen in sozialen Medien verringern beiläufige Exposition, machen einen Beitrag aber nicht für immer privat. Entfernen Sie öffentliche Geburtsdaten, Wohnadressen, gewohnte Orte, Schulen, Reisedaten, Namen von Verwandten und Telefonnummern, wenn sie nicht öffentlich sein müssen. Fragen Sie Verwandte, bevor Sie Kinder markieren oder klare Stimm- und Gesichtsaufnahmen veröffentlichen. Das Ziel ist, einen überzeugenden Vorwand schwerer zusammensetzbar zu machen, nicht zu versprechen, dass Klonen unmöglich wird.
Personensuchdienste stellen Daten aus öffentlichen Registern, sozialen Medien und anderen Datenhändlern zusammen. Die FTC erklärt, wie man den Opt-out-Prozess einer Website findet, doch Opt-outs sind unvollständig und müssen möglicherweise wiederholt werden. Nutzen Sie eine eigene E-Mail-Adresse für Löschanfragen, geben Sie nur tatsächlich erforderliche Verifikationsdaten an, und führen Sie eine datierte Liste erledigter Anfragen. Laden Sie keine Ausweisdokumente leichtfertig bei einem unbekannten „Löschdienst” hoch.
Kredit einfrieren, wo angebracht
Eine Kreditsperre beschränkt den Zugang zu einer Kreditauskunft und kann es erschweren, neuen Kredit im Namen dieser Person zu eröffnen. Sie stoppt weder die Übernahme eines bestehenden Kontos, den Missbrauch eines Bankguthabens, Steuerbetrug, medizinischen Identitätsdiebstahl, noch jede Form von Identitätsbetrug. In den USA sind Sperren kostenlos, müssen bei jeder landesweiten Kreditauskunftei separat eingerichtet werden, und können bei Bedarf für legitimen Kredit aufgehoben werden. Schützen Sie die Konten der Auskunfteien und die Zugangsdaten zur Sperrverwaltung.
Eltern und Erziehungsberechtigte können eine Sperre für ein minderjähriges Kind beantragen. Ein Kind sollte in der Regel noch keine Kreditauskunft haben; IdentityTheft.gov bietet den auskunfteispezifischen Prozess zur Prüfung und Sperrung der Akte eines Kindes. Bewahren Sie die entstehenden Unterlagen sicher auf, da sie identifizierende Informationen enthalten.
Kreditüberwachung kann Sie nach einer Änderung der Akte alarmieren; sie verhindert die Änderung nicht. Prüfen Sie auch Bank- und Kartenbenachrichtigungen, und beziehen Sie Kreditauskünfte über AnnualCreditReport.com, die föderal autorisierte Quelle, statt über eine Nachahmerseite, die über eine Anzeige erreicht wird.
Dem Haushalt eine Transaktionsregel geben
Technologie kann nicht feststellen, ob eine echt wirkende Anfrage legitim ist. Legen Sie eine Regel fest, dass keine unerwartete Anfrage nach Geld, Zugangsdaten, Wiederherstellungscodes, Fernzugriff auf den Computer oder Geheimhaltung innerhalb desselben Gesprächs beantwortet wird. Beenden Sie den Kontakt und verifizieren Sie über eine bereits bekannte, echte Nummer, App oder persönliche Route. Eine familiäre Verifikationsphrase kann helfen, verwenden Sie dafür aber keine online sichtbare Tatsache, und behandeln Sie die Phrase nicht als Autorisierung für eine Geldüberweisung. Ein Rückruf und die Prüfung durch eine zweite Person bieten stärkere Bestätigung.
Vermitteln Sie das Protokoll allen, die für ein Konto autorisiert sind. Fragen Sie die Bank bei größeren Überweisungen nach Benachrichtigungen, Limits oder einer zweiten Genehmigung.
Bei Identitätsdiebstahl oder Kontoübernahme
Handeln Sie von einem Gerät aus, dem Sie begründet vertrauen. Kontaktieren Sie die betroffene Einrichtung über einen Kontoauszug, eine Karte oder die offizielle Website; ändern Sie offengelegte Zugangsdaten; widerrufen Sie unbekannte Sitzungen; und bewahren Sie Nachrichten, Transaktionsdetails und Zeitstempel auf. Wurden Identitätsdaten missbraucht, erstellt IdentityTheft.gov einen maßgeschneiderten Wiederherstellungsplan und einen FTC-Identitätsdiebstahlbericht. Melden Sie cyberbasierte Kriminalität gegebenenfalls beim Internet Crime Complaint Center des FBI, tippen Sie die Adresse aber direkt ein, da das FBI vor gefälschten IC3-Websites gewarnt hat.
Zahlen Sie keinem „Rückholagenten”, der verspricht, gestohlenes Geld gegen eine Vorabgebühr zurückzuholen. Die Rückholung hängt von der Zahlungsmethode und der Meldegeschwindigkeit ab. Kontaktieren Sie sofort Bank, Kartenaussteller, Überweisungsdienst oder Aussteller der Geschenkkarte, und fragen Sie, ob die Transaktion gestoppt oder rückgängig gemacht werden kann; die FTC listet den richtigen ersten Kontakt für jede Zahlungsart.
Ein machbares erstes Wochenende
- Sichern Sie die primäre E-Mail und den Passwort-Manager mit eindeutigen Zugangsdaten und phishing-resistentem MFA.
- Registrieren und testen Sie einen Ersatz-Authentifikator; drucken oder sichern Sie die Wiederherstellungscodes.
- Sperren Sie das Mobilfunkkonto und prüfen Sie Wiederherstellungsadressen, -nummern, Sitzungen und Geräte.
- Aktivieren Sie automatische Updates und Geräteverschlüsselung auf jedem unterstützten Haushaltsgerät.
- Frieren Sie den Kredit für Haushaltsmitglieder ein, die keinen häufigen Zugang zu neuem Kredit benötigen.
- Vereinbaren Sie, dass ungewöhnliche Anfragen nach Geld oder Zugangsdaten immer einen unabhängigen Rückruf und eine zweite Prüfung erfordern.
Keine Checkliste macht Identitätsdiebstahl unmöglich. Das realistische Ziel ist, gängige Einstiegspunkte zu beseitigen, eine Kompromittierung einzudämmen und die Wiederherstellung zu beschleunigen.