MeldID hat den Panikmodus eingeführt: Was passiert, wenn der Zugriff auf das Konto nicht mehr vertraut werden kann

In meinem vorherigen Artikel über MeldID habe ich erklärt, wie das System im Normalbetrieb funktioniert: Es speichert ein verwaltetes Profil, hilft beim Zugriff auf verbundene Dienste, synchronisiert TOTP-Einträge zwischen Geräten und erlaubt die Bestätigung neuer Anmeldungen über die Mobile-App.

Doch bei jedem Identifikationssystem gibt es ein Szenario, das meist erst viel zu spät in Erinnerung gerufen wird: Was tun, wenn der Nutzer nicht mehr dem aktuellen Zugriffszustand vertraut?

Es ist nicht notwendig, bereits zu wissen, dass ein Hack stattgefunden hat. Manchmal genügt ein unerwartetes Passwort-Wiederherstellungs-Mail, eine unbekannte Sitzung oder ein Login von einem Gerät, das der Nutzer nicht erkennt.

Genau für solche Situationen wurden bei MeldID zwei neue Mechanismen eingeführt: ein verzögerter Passwortwechsel und der Panikmodus.

Zuerst ist es wichtig zu verstehen, wie das Passwort bei MeldID aufgebaut ist

Bei MeldID legt der Nutzer sein Passwort nicht selbst fest — es wird vom System generiert. Das verhindert sofort schwache oder vorhersehbare Kombinationen, die Wiederverwendung eines bekannten Passworts und andere Probleme, die mit der eigenen Wahl verbunden sind.

Das gültige Passwort wird dabei nicht per E-Mail an den Nutzer gesendet. Der Posteingang ist kein Ort, an dem man das bestehende Passwort von MeldID erhalten kann.

Auch das Wiederherstellungsverfahren gibt das alte Passwort nicht preis. Es ermöglicht nur den Start des neuen Passwort-Erstellungsprozesses.

Damit besteht eine andere Gefahr: Wird die Mail-Adresse kompromittiert, kann jemand, der Zugriff auf das Postfach hat, das bestehende MeldID-Passwort nicht kennen, aber den Wiederherstellungsprozess starten und ein neues Passwort setzen.

Genau dieses Szenario war eine der Ursachen, die Logik der Wiederherstellung zu ändern.

Das Passwort ändert sich jetzt nicht sofort

Im gewohnten Szenario erfolgt die Wiederherstellung fast sofort: Der Nutzer beantragt ein neues Passwort, erhält eine Mail und schließt den Vorgang ab.

Das ist bequem, solange die Mail nur in der Hand des Eigentümers ist. Wenn Dritte Zugriff haben, verwandelt die sofortige Wiederherstellung das Postfach in einen direkten Weg zum Übernehmen des zugehörigen Kontos.

Bei MeldID wird eine Anfrage zum neuen Passwort zunächst zu einer Warnung, nicht zu einer sofortigen Änderung des alten. Der Nutzer erhält eine Benachrichtigung über den Wiederherstellungsversuch, wonach eine festgelegte Wartezeit beginnt.

Die Dauer dieser Wartezeit kann variieren, aber das Prinzip bleibt: Zwischen Anfrage und tatsächlicher Aktivierung des neuen Passworts liegt eine Zeitspanne, um die Situation zu prüfen.

Das alte Passwort behält in dieser Zeit seine Gültigkeit. Das bedeutet: Nur weil eine Wiederherstellungsanfrage gestartet wurde, ist noch nicht automatisch die Kontrolle über das Konto an Dritte übergegangen.

Was passiert, wenn die App nicht zugänglich ist

Ein wichtiger Szenario, das leicht übersehen werden kann: Der Nutzer kann das Passwort selbst wiederherstellen, aber keinen Zugriff auf die MeldID-App haben — sei es, weil das Telefon verloren, defekt, entladen oder vorübergehend nicht erreichbar ist.

In diesem Fall kann die Wiederherstellung trotzdem abgeschlossen werden. Nach Ablauf der festgelegten Wartezeit wird das neue Passwort automatisch wirksam. Die Mobile-App ist kein zwingendes Voraussetzung für die Standardwiederherstellung.

Daher muss jemand, der die Passwortänderung initiiert hat und momentan keinen Zugriff auf die App hat, den Vorgang nicht neu starten. Es genügt, auf das Ende zu warten und mit dem neuen Passwort einzuloggen.

Wenn die App zugänglich ist, gibt es mehr Möglichkeiten: Der Nutzer kann das neue Passwort sofort aktivieren oder die verdächtige Anfrage widerrufen. Wenn kein Zugriff auf die App besteht, läuft die verzögerte Wiederherstellung weiter.

Der Nutzer entscheidet selbst, was als Nächstes passiert

Wenn die Wiederherstellung tatsächlich vom Kontoinhaber initiiert wurde und die App verfügbar ist, kann er MeldID öffnen und das neue Passwort sofort aktivieren, ohne auf das Ende der Wartezeit zu warten.

Ist die Anfrage unerwartet, kann sie auch aus der App heraus abgebrochen werden. In diesem Fall wird das alte Passwort beibehalten, das Neue bleibt ungenutzt.

Für mich ist dies eine bedeutende Änderung der Wiederherstellung-Logik. Das System geht nicht automatisch davon aus, dass jede Anfrage richtig ist, nur weil sie über die E-Mail gestartet wurde. Es lässt dem Kontoinhaber die Möglichkeit, über ein vertrauenswürdiges Mobilgerät einzugreifen und eine Entscheidung zu treffen.

Stellen wir uns eine typische Situation vor: Der Nutzer erhält eine Benachrichtigung über eine Passwortänderung, obwohl er selbst nichts angefragt hat. Er widerruft die Operation in der App, prüft dann seine E-Mails, kontrolliert die Geräte und sucht nach verdächtiger Aktivität.

MeldID kann die Kontrolle über ein kompromittiertes E-Mail-Konto nicht wiederherstellen. Aber es kann verhindern, dass die Kompromittierung der Mail sofort zur Änderung des Hauptpassworts führt.

Der Panikmodus widerruft aktive Zugriffe

Der verzögerte Passwortwechsel hilft, Zeit zu gewinnen. Der Panikmodus ist für Situationen gedacht, in denen das nicht mehr ausreicht und der Nutzer sofort alle früher erteilten Zugriffe auf das Konto stoppen möchte.

Er lässt sich mit einer einzigen Aktion in der Mobile-App aktivieren.

Nach der Aktivierung widerruft das System alle aktiven Token — Zugriffskeys, anhand derer Apps und Websites feststellen, dass der Nutzer eingeloggt ist. Zudem beendet es die bestehenden Sitzungen auf mobilen Clients, Webseiten und verbundenen Anwendungen, die mit dem Konto verknüpft sind.

Das bedeutet, das nicht nur die aktuelle Handy-Session beendet wird. Auch Zugriffe auf andere Smartphones, Tablets, Browser und verbundene Anwendungen, die vorher eingeloggt waren, werden widerrufen.

Der Modus ist für einen festgelegten Zeitraum aktiv. Seine Dauer kann variieren — wichtig ist das Prinzip: Es werden alle bestehenden Zugriffe beendet und der Nutzer erhält eine geschützte Zeitspanne, um die Situation zu prüfen.

Der Panikmodus löscht keine Daten

Der Name klingt radikal, aber hier ist es wichtig, genau zu erklären, was er nicht macht.

Der Panikmodus löscht keine TOTP-Einträge, gespeicherte Profile, Einstellungen oder andere Benutzerdaten. Er löscht keinen Inhalt des Kontos, wandelt es nicht in ein leeres Konto um.

Der Zugriffszustand ändert sich: Aktuelle Token werden widerrufen, offene Sitzungen beendet. Nach Rückkehr zum Normalmodus bleiben die gespeicherten Daten erhalten und müssen nicht erneut eingetragen werden.

Dies ist ein grundlegender Unterschied zwischen einem Notfall-Zugriffsabschluss und der Löschung des Konto-Inhalts. Der Nutzer kann bestehende Verbindungen schließen, ohne Angst haben zu müssen, dass dabei seine Einträge oder Einstellungen verloren gehen.

Was passiert bei Passwortwechsel im Panikmodus

Der Panikmodus hat noch eine weitere wichtige Regel: Er beendet alle unfertigen Änderungen am Passwort.

Dabei spielt es keine Rolle, wann die Anfrage gestellt wurde — vor Aktivierung des Panikmodus oder währenddessen. Diese Anfrage kann nicht automatisch abschließen, sobald der Notfallmodus beendet ist.

Nach Ende des Panikmodus bleibt das Passwort aktiv, das vor der Aktivierung gesetzt war.

Das ist bewusst so gestaltet.

Die normale Wiederherstellung basiert auf der Annahme, dass der Kontoinhaber eine verdächtige Anfrage in der MeldID-App sehen und vor der Aktivierung des neuen Passworts stornieren kann.

Im Panikmodus ist dieser Ablauf bereits nicht mehr zuverlässig.

Stellen wir uns vor, der Nutzer bemerkt verdächtige Aktivitäten und aktiviert den Schutzmodus. Würde die normale Erinnerungsfunktion an den Passwortwechsel weiterlaufen, könnte der Angreifer während des Panikmodus das neue Passwort anfragen. Sollte die Wartezeit kürzer sein als der Schutzmodus, würde das neue Passwort noch vor dem Zurücksetzen des Kontos aktiviert werden.

Das würde zu einem Paradoxon führen: Der Nutzer aktivieren wurde Schutzmaßnahmen, aber in diesem Zeitraum hat das System das Ändern des Passworts zugelassen, ohne dass der Nutzer die übliche Widerrufsmöglichkeit nutzt.

Deshalb pausiert der Panikmodus die Wiederherstellung nicht für ein späteres Fortsetzen. Er bricht den unfertigen Vorgang ab.

Anfragen, die vor Aktivierung des Panikmodus gestellt wurden, können das Passwort nach dessen Ende nicht mehr ändern. Gleiches gilt für Anfragen, die während des Schutzmodus eingingen.

Auf diese Weise wird alles, was an Wiederherstellungen im laufenden Vorgang war, durch den Panikmodus nicht übernommen.

Und wenn der Nutzer zunächst das Passwort ändern möchte

Der Panikmodus beschränkt den Besitzer nicht bei der Wahl seiner Vorgehensweise.

Wenn der Nutzer Zugriff auf die MeldID-App hat und der Meinung ist, das Passwort ebenfalls zu ändern, kann er zuerst die Passwortänderung anstoßen und den neuen Passwort sofort bestätigen.

In diesem Fall endet die Änderung vor dem Aktivieren des Panikmodus.

Danach aktiviert der Nutzer den Schutzmodus bereits mit dem neuen gültigen Passwort. Dieses bleibt nach Ende des Panikmodus aktiv.

Es gibt auch eine andere Variante: Der Nutzer aktiviert zuerst den Panikmodus, klärt die Ursache der verdächtigen Aktivität und kann nach Ende eine neue Passwortänderung starten, falls nötig.

Der Mechanismus ist nicht darauf ausgelegt, den Nutzer auf eine bestimmte Reihenfolge zu beschränken. Das wichtigste Prinzip ist: Eine unfertige Passwortänderung darf den Panikmodus nicht überleben.

Der Panikmodus gibt Zeit, die Kontrolle über die Mail zurückzugewinnen

Es gibt eine Situation, für die dieses System besonders wichtig ist: Der Nutzer ist der Meinung, dass das Problem nicht bei MeldID oder seinem Telefon liegt, sondern bei seiner E-Mail-Adresse.

Genau die Mail wird als eines der Wiederherstellungskanäle genutzt. Deshalb ist eine Kompromittierung gefährlich, auch wenn das gültige MeldID-Passwort noch unbekannt ist.

In einem solchen Fall kann der Nutzer den Panikmodus aktivieren und sich direkt mit der Quelle des Problems beschäftigen: den Zugriff auf das E-Mail-Konto wiederherstellen, das Passwort ändern, unbekannte E-Mail-Sitzungen beenden und die Sicherheitseinstellungen prüfen.

Während der Laufzeit des Panikmodus erlaubt MeldID dem Wiederherstellungsprozess nicht, ein neues gültiges Passwort zu erstellen.

Wenn jemand bereits vor Aktivierung des Panikmodus eine Wiederherstellung angefragt hat, wird dieser Versuch durch den Schutzmodus blockiert. Gleichtzeitig, sollte eine neue Anfrage während des Panikmodus kommen, ist das Ergebnis dasselbe.

Es entsteht ein geschütztes temporäres Fenster: Die aktiven Zugriffe von MeldID wurden widerrufen, die potentiell kompromittierte E-Mail kann während des Schutzmodus kein neues Passwort für das Konto erstellen, und der Nutzer hat Zeit, die Kontrolle über sein E-Mail-Konto zurückzuerlangen.

Nach Ende des Schutzmodus bleibt das bisherige MeldID-Passwort aktiv. Wenn die Kontrolle über die E-Mail wiederhergestellt wurde und keine weiteren Probleme bestehen, kann der Nutzer das Konto wieder im Normalmodus benutzen.

Falls er es nach Überprüfung ändern möchte, ist das separat möglich.

Gründe, den Panikmodus zu starten, sind vielfältig

Für das Starten ist kein Beweis eines Hacks notwendig.

Das Telefon könnte in die falschen Hände geraten sein. Eine unbekannte Sitzung könnte erscheinen. Der Nutzer könnte eine unerwartete Benachrichtigung über Login oder Wiederherstellung erhalten haben. Manchmal entsteht das Verdacht nicht durch ein einzelnes Ereignis, sondern durch eine Reihe kleiner Hinweise.

In solchen Fällen ist es manchmal besser, zuerst die aktiven Zugriffe temporär zu widerrufen und dann die Details zu prüfen.

Hier folgt MeldID einer einfachen Logik: Wenn der Kontoinhaber die Situation für gefährlich hält und Zugriff auf eine vertrauenswürdige App hat, sollte er die Möglichkeit haben, sofort eine Schutzmaßnahme zu starten. Das System verlangt nicht sofort Beweise für einen Angriff.

Warum eine Passwortänderung manchmal nicht ausreicht

Das Passwort ist nur ein Element der Authentifikation. Wenn bereits eine gültige Sitzung läuft oder ein Zugangstoken ausgegeben wurde, ist die Änderung eines Passworts für sich allein gesehen nicht dasselbe wie das Widerrufen aller vorher ausgegebenen Zugriffe.

Deshalb funktioniert der Panikmodus auch breiter: Nicht nur ein einzelner Parameter wird geändert, sondern der gesamte Account wird in einen separaten Schutzmodus versetzt.

Die Abfolge sieht folgendermaßen aus:

1. Aktive Sitzungen und Token werden widerrufen;

2. Unvollständige Passwortänderungen, die vor dem Panikmodus begonnen wurden, werden beendet;

3. Anfragen zur Wiederherstellung, die während des Panikmodus gemacht wurden, können nach dessen Ende das Passwort nicht mehr ändern;

4. Das Konto bleibt mit dem Passwort im Panikmodus aktiv;

5. Der Nutzer erhält Zeit, Mail, Geräte und mögliche andere Ursachen zu prüfen;

6. Nach Beendigung des Schutzmodus kehrt er zum normalen Betrieb zurück oder ändert bei Bedarf das Passwort separat.

Das ist keine Alternative zu den üblichen Sicherheitsmechanismen, sondern ein spezielles Katastrophenszenario für Fälle, in denen das Vertrauen in den Zugriffsstatus vorübergehend verloren geht.

Mobile App als vertrauenswürdiger Kontrollpunkt

Neue Funktionen sind in den MeldID-Apps für iPhone und Android verfügbar. In dieser Architektur wird das Telefon nicht nur zu einem weiteren Zugriff-Gerät, sondern zu einem vertrauenswürdigen Sicherheitssteuerungspunkt für das Konto.

Über die App kann man:

• den verzögerten Passwortwechsel bestätigen;
• verdächtige Anfragen widerrufen;
• aktive Sitzungen auf verschiedenen Geräten beenden;
• festlegen, was mit dem Konto als Nächstes passieren soll.

Die Mobile-App ersetzt dabei keine TOTP und andere Sicherheitsmaßnahmen, sondern bildet einen zusätzlichen Kanal für Situationen, in denen die normale Anmeldung nicht mehr ausreicht, um die Sicherheit zu gewährleisten.

Wo die Schutzgrenze von MeldID verläuft

Es ist wichtig, die Sicherheit des MeldID-Mechanismus selbst und die Sicherheit der Plattform, die ihn nutzt, auseinanderzuhalten.

MeldID ist so aufgebaut, dass der Service keinen standardmäßigen Kanal für den direkten Empfang des aktuellen Passworts bereitstellt. Das Passwort wird vom System generiert, nicht vom Nutzer gewählt und nicht per E-Mail übertragen. Die Wiederherstellung gibt auch das existierende Passwort nicht preis, sondern startet den Prozess zur Erstellung eines neuen.

Der Nutzer kann jedoch eigenständig seine Zugangsdaten offenlegen — zum Beispiel, wenn er diese an einen Dritten weitergibt oder in einer unsicheren Umgebung eingibt.

Ein weiterer wichtiger Punkt ist die Sicherheit des jeweiligen Geräts und Betriebssystems. Die Mobile-App arbeitet innerhalb der Schutzmechanismen von iOS und Android und kann die Sicherheit der Plattform selbst nicht ersetzen.

Daher konzentriert sich MeldID auf die Risiken, die auf nutzerlicher Seite verwaltet werden können: Generierung der Zugangsdaten, Autorisierung, Token, Sitzungen, Wiederherstellung und Reaktion auf mögliche Channel-Kompro mättierung.

Wenn ich MeldID erstmals kennengelernt habe, konnte man es als ein System für einheitliche Identifikation und Profilverwaltung beschreiben. Mit den neuen mobilen Apps und Schutzmechanismen wurde diese Beschreibung zu eng.

Heute antwortet das System nicht nur auf die Frage „wie einloggen?“, sondern auch auf komplexere Fragen:

• Was tun bei unerwarteter Wiederherstellungsanfrage?
• Wie Konto wiederherstellen ohne App-Zugriff?
• Wie Zeit für eine Überprüfung vor der Aktivierung eines neuen Passworts erhalten?
• Wie eine nicht vom Eigentümer ausgelöste Wiederherstellung abbrechen?
• Wie aktive Sitzungen widerrufen?
• Wie verhindern, dass kompromittierte E-Mail während des Notfallmodus das Passwort ändert?
• Wie Kontrolle über den externen Wiederherstellungskanal zurückgewinnen?
• Wie Nutzerdaten nach Beendigung aller Zugriffe sichern?
• Wie nach Prüfung zur normalen Funktion zurückkehren?

Am Ende entsteht eine sequenzielle Schutzstrategie.

Das aktive Passwort von MeldID wird über den Wiederherstellungskanal nicht übertragen. Der Zugriff auf die Mail allein offenbart es nicht, kann aber das Starten eines neuen Passwortprozesses ermöglichen. Daher erfolgt die Wiederherstellung verzögert und kann durch die vertrauenswürdige App abgebrochen werden.

Wenn das noch nicht ausreicht, unterbricht der Panikmodus alle aktiven Sitzungen, widerruft Tokens und lässt unfertige Wiederherstellungen den Schutzzeitraum nicht überleben.

Der Nutzer erhält vor allem die wichtigste Ressource bei einem echten Vorfall: Zeit.

Zeit, die Kontrolle über die Mail zurückzugewinnen, Geräte zu prüfen, den Vorfall zu klären und schließlich wieder normal Zugriff auf das Konto zu haben.

Genau deshalb ist der Panikmodus in MeldID nicht nur eine „Abmelden an allen Orten“-Funktion. Es ist ein eigenständiges Reaktionsszenario, wenn die normale Anmeldung nicht mehr ausreicht und zunächst das Vertrauen in den Zugriffsstatus wiederhergestellt werden muss.

Mehr Infos zum Projekt: meldid.de.