Nutzer verliert Forum-Konto von 2014 durch vergessene Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung, die Accounts über eine Dekade aussperrt

Ein Forumskonto zu verlieren ist keine finanzielle Tragödie, aber es nervt. Und es nervt noch mehr, wenn das Schloss, das einen draußen lässt, nicht von einem selbst angebracht wurde. Ein Nutzer mit Registrierung von 2014 ist nach Jahren der Abwesenheit zurückgekehrt und musste feststellen, dass auf seinem Konto die Zwei-Faktor-Authentifizierung (2FA) aktiviert ist. Das Gerät, auf dem sie eingerichtet war, existiert nicht mehr, der Passkey ebenso wenig, und die Wiederherstellungscodes erst recht. Das Konto ist nicht gesperrt. Es ist einfach hinter einer Tür verschlossen, deren Schlüssel in irgendeiner digitalen Schublade verloren ging.

Der Betroffene hat ein neues Konto eröffnet, nur um um Hilfe zu bitten, hat an die Admin-Mail geschrieben und den Kontaktbutton benutzt. Elf Tage später hat sich nichts geändert. Es kommt keine Antwort. Sein Fall ist kein Einzelfall: Im selben Thread berichten mindestens zwei weitere Personen, alte Konten aus ähnlichen Gründen verloren zu haben, eine davon nach einer früheren Sperre und einer gescheiterten Wiederherstellung wegen Problemen mit der hinterlegten E-Mail-Adresse.

Was 2FA ist und warum alte Konten keinen Ausweg mehr haben

Die Zwei-Schritt-Verifizierung ist ein zweites Schloss: Zusätzlich zum Passwort wird ein temporärer Code verlangt, der von einer App erzeugt wird, per SMS ans Handy kommt oder von einem physischen Schlüssel stammt. Ihre Aufgabe ist es zu verhindern, dass ein Dritter nur mit einem gestohlenen Passwort hereinkommt. Das Problem entsteht, wenn der zweite Faktor verloren geht: ohne Gerät, ohne Wiederherstellungscodes und ohne alternativen Wiederherstellungsweg bleibt das Konto selbst für seinen rechtmäßigen Besitzer unzugänglich.

Auf großen Plattformen wird diese Rettung über Identitätsprüfung, eine Ersatz-E-Mail oder Sicherheitsfragen gelöst. Auf kleinen Foren mit veralteter Software nicht. Die häufigste Antwort im Thread lautet: Das System zum Ändern der E-Mail-Adresse funktioniert nicht, und die Administration antwortet nicht. Manche meinen, die Plattform sei technisch seit über einem Jahrzehnt auf dem Stand von damals stehen geblieben, und das Erstaunliche sei, dass sie überhaupt noch online ist.

Das Problem ist nicht 2FA, sondern dass niemand am anderen Ende sitzt

Die Diskussion kippt schnell in eine Grundsatzdiagnose. Ein Teil der Teilnehmer stellt fest, dass der Fehler nicht in der Sicherheit liegt, sondern im fehlenden Support: Gibt es keine aktiven Administratoren, wird jede Schutzmaßnahme zur Falle für den Nutzer selbst. Andere sehen es umgekehrt: Komplexe Maßnahmen bei einem ungepflegten Dienst zu aktivieren, ist eine Entscheidung, die sich gegen den rächt, der sie getroffen hat.

Der Betroffene betont, er habe nichts aktiviert. Beweisen kann er es nicht, und genau da liegt der Knoten: Ohne Zugang zum Sicherheitsbereich des Kontos beruht die Aussage allein auf seinem Wort. Er bietet privat seinen Benutzernamen, die hinterlegte E-Mail-Adresse und beliebige Daten an, um die Inhaberschaft nachzuweisen. Gefragt hat bisher niemand danach.

Was passiert, wenn auch die Wiederherstellungs-E-Mail versagt

Die zweite Front ist die E-Mail. Mehrere Beiträge beschreiben dasselbe Muster: altes Konto, abgelaufene oder unzugängliche E-Mail-Adresse, und ein System zum Ändern der Adresse, das nicht reagiert. Ohne funktionierende Wiederherstellungs-E-Mail schließt sich der normale Rettungsweg, und es bleibt nur das manuelle Eingreifen eines Administrators. Das in diesem Fall ausbleibt.

Der Betroffene hat den Verantwortlichen der Seite mehrfach öffentlich aufgefordert. Er hat den freundlichen Ton probiert, den hartnäckigen und denjenigen, der an Beleidigung grenzt. Nichts hat funktioniert. Sein erklärter Plan ist, nicht aufzuhören, bis er sein Konto zurückhat – mit dem eingekalkulierten Risiko, auch das neue zu verlieren.

---

Die vernünftigste Prognose lautet angesichts der bekannten Fakten, dass das Konto von 2014 nicht wiederhergestellt wird. Nicht, weil es technisch unmöglich wäre, sondern weil die Wiederherstellung verlangt, dass jemand mit den nötigen Rechten zehn Minuten investiert, die offenbar niemand opfern will. Taucht dieser Administrator eines Tages auf, ist der Fall an einem Nachmittag erledigt. Taucht er nicht auf, wird der Betroffene weiter von einem neuen Konto aus schreiben, mit dem Gefühl, ins Leere zu reden. Und mit einem gewissen Recht.