wenn Du mit 'beides' hier auch das jeweilige Passwort meinst,
ist das eine ganz schlechte idee, weil damit das ganze sich wieder reduziert und bloß zu einem Faktor wird,
welcher bei unerwünschter Kenntnis von Dritten sogar zum Super-Gau eskaliert;
Hängt davon ab, um welches Szenario es geht.
Das mit Abstand häufigste Problemszenario ist nunmal, dass eMailadressen/Benutzernamen und mehr oder weniger gut verschlüsselte Passwörter bei gehackten Websites oder Diensten eingesammelt werden, also im Prinzip https://haveibeenpwned.com/ . Hier hilft das geschilderte Vorgehen:
- Jeder Account hat seine eigene eMailadressen/Benutzernamen und Passwortkombi, es kommt zu keinem Cross-Service Hacking, da jedes Passwort nur einmal vergeben ist. Man ändert auf Hinweis das eine Passwort und fertig.
- 2FA ist nicht unüberwindlich, stellt aber trotzdem einen höheren Aufwand dar, der selbigen meist nicht wert ist, wenn es nicht-2FA geschützte Ziele gibt, die deutlich weniger Aufwand bedeuten. In diesem Kontext kann auch schon ein, im Passwortmanager gespeicherter 2FA Code mehr schützen als ohne 2FA.
- Manche 2FA Code Methoden haben ein Risiko, dass einem das eingetragene 2FA Code Gerät abhanden kommt (z.B. Handy geht verloren, wird geklaut). Klar gibt es Backup Codes, aber diese müssen ja auch irgendwo sicher liegen und stellen einen anderen potentiellen Vektor dar. Zudem ist die Handhabung so umständlich, dass man wohl kaum für Dutzende oder noch mehr Accounts 2FA verwendet. Macht man dies nicht, ist die Sicherheit dieser Accounts jedoch deutlich niedriger.
- Verwendet man für den eigenen Passwortmanager auch 2FA (unbedingt!!), dann wird dessen zweiter Faktor nicht im Passwortmanager gespeichert. Wer also Accounts über den Passwortmanager hacken will, kann sich auf keinem neuen Gerät in den Safe einloggen, selbst wenn Benutzername und Passwort des PW Manageraccounts bekannt sind.
Ja, der 2FA Code wird zu einem weiteren Eintrag im Passwortmanager, wird jedoch durch die "echte" 2FA Authentifizierung des Passwortmanagers abgesichert. Das Vorgehen macht die Handhabung auch einer großen Anzahl von 2FA Accounts sehr einfach, die 2FA Codes können nicht verloren gehen und werden auf allen Browsern / Anwendungen / Plattformen synchronisiert. Daher ist das unter Berücksichtigung aller Risiken für mich der akzeptable Kompromiss, andere können und werden das sicher anders sehen. So oder so sind Passwortmanager (ob mit 2FA oder ohne) der absolut simpelste Weg, die eigene digitale Sicherheit zu erhöhen. Ich bin immer wieder überrascht, wie wenige Leute welche einsetzen.
Nein Danke.
