Fiktion aus der Blechpresse. Im hinteren Raum der Anmeldebehörde stand heute früh ein kleiner Tresor auf dem Kopierer. Niemand wusste, wer ihn dort hingestellt hatte. Auf dem Deckel klebte ein Etikett: Recovery-Codes, nur im Notfall öffnen, Notfall bitte vorher beantragen.
Der Tresor war ungefähr so groß wie ein beleidigter Toaster und schwer genug, um nach Vorschrift zu wirken. Daneben lag ein Formular mit drei Durchschlägen, ein Bleistift ohne Spitze und dieser Ausdruck, den Menschen machen, wenn Sicherheit sehr ernst gemeint ist und deshalb leider erst nächste Woche wieder erreichbar.
„Zwei-Faktor ist aktiviert“, sagte der Türsteher vom Login. Er trug eine Weste aus Warnhinweisen. „Der erste Faktor weiß nicht mehr, wer er ist. Der zweite Faktor liegt auf einem Telefon, das im Zug nach Fulda weitergefahren ist. Aber wir haben ja Wiederherstellung.“
Wiederherstellung. Ein schönes Wort. Es klingt nach Pflaster, Wärmflasche, jemand kocht Tee. In Wirklichkeit bedeutet es oft: Vor drei Jahren hast du zehn Einmal-Codes ausgedruckt, sie in eine Schublade gelegt, diese Schublade später aus Gründen in eine andere Schublade umgezogen und seitdem behauptet dein Sicherheitskonzept, du seist ein Mensch mit Archivdisziplin.
Das ist der komische Kern daran: Wir ersetzen das eine schlechte Ritual, Passwort merken, durch ein besseres Ritual, zweiten Faktor besitzen, und hinten fällt ein Zettel heraus, der wieder irgendwo wohnen muss. Im Tresor. Im Passwortmanager. Im Umschlag. Im Ordner „wichtig_neu_final“. Bei manchen Leuten vermutlich unter der Tastatur, aber die Blechpresse schreibt diesen Satz nicht als Empfehlung auf, sondern als leises Geräusch aus der Schublade.
Die echten Regeln sind nüchterner als der Tresor. OWASP erinnert daran, dass MFA stark hilft, aber der Reset- und Recovery-Pfad selbst geschützt werden muss. Wenn die Vordertür einen Helm trägt und die Hintertür nur fragt, wie das erste Haustier hieß, hat man kein Sicherheitsgebäude gebaut, sondern ein Theaterstück mit Notausgang. NIST SP 800-63B behandelt Authentifikatoren, Assurance Level und Wiederherstellungsprozesse als Teil desselben Lebenszyklus; nicht als Deko nach dem Login. Und FIDO beschreibt passkeys als phishing-resistente Anmeldedaten auf Basis öffentlicher Kryptografie, was vieles besser macht, aber die Frage „Was passiert beim Geräteverlust?“ nicht einfach aus der Welt fegt. Sie zieht nur einen saubereren Mantel an.
Vorne am Schalter hing noch der alte Aushang vom Passkey-Schlüsseldienst. Der hatte damals schon gesagt: Der Schlüssel ist nicht mehr das Problem allein, sondern die ganze kleine Schlüsselverwaltungsgesellschaft drumherum. Gleich daneben wartete ein Ticketautomat aus dem SSO-Wartezimmer, der jede Wartemarke erst signierte und dann verlor. Im Regal lag außerdem das Router-Sicherheitsheft, aufgeschlagen bei „Bitte dokumentieren Sie den dokumentierten Dokumentationsstand“.
Der Tresor räusperte sich. Tresore können das, wenn genug Bürokratie in der Luft ist.
„Recovery-Code Nummer sieben“, sagte er, „wurde 2022 sauber abgeheftet.“
„Wo?“
„In der Mappe für genau solche Fälle.“
„Welche Mappe?“
Der Tresor schwieg. Irgendwo im Gebäude druckte ein Gerät eine leere Seite aus, nur um beteiligt zu sein.
Natürlich braucht man Wiederherstellung. Ohne sie wird Sicherheit zur Falltür. Menschen verlieren Telefone, wechseln Geräte, löschen Apps, erben Accounts, kündigen Admins, vergessen, sterben, leben weiter, alles sehr unsauber aus Sicht eines Logins. Aber Recovery ist nicht der kleine Bruder der Sicherheit. Recovery ist Sicherheit, wenn sie plötzlich Kaffee verschüttet hat.
Darum ist die würdige Frage nicht: „Wo verstecken wir den Code möglichst dramatisch?“ Sondern: Wer darf ihn benutzen, wie wird das geprüft, wie oft darf der Versuch scheitern, was wird protokolliert, wie wird Missbrauch bemerkt, und wie erklären wir das Menschen so, dass sie nicht aus Versehen den Notausgang tapezieren?
Am Ende wurde der Tresor nicht geöffnet. Der Schlüssel lag nämlich in einem anderen Tresor. Der andere Tresor verlangte zur Entsperrung eine App. Die App wollte einen Code. Der Code lag, laut Inventarliste, sicher verwahrt.
Die Anmeldebehörde machte Feierabend und schrieb ins Protokoll: System verhält sich erwartungsgemäß. Benutzer muss besser organisiert werden.