oder auch: Muss ich jedem Programm mein Google-Passwort anvertrauen?

Die Antwort ist: Nein. Nun, wie geht das, wie macht man das und was bringt mir das? Aber Schritt für Schritt mit ein bisschen Wegfindung wie ich überhaupt auf das Thema kam.

Jeder, welcher ein Google Account hat kann überprüfen, welche Webseiten und Webdienste auf seine Informationen wie Kalender, Adressbuch, Dokumente, Picasa usw. zugreifen kann. Um meine Autorisierungen wieder mal zu bereinigen, klickte ich via Einstellungen auf diese Übersichtseite^{1 [1]}.

Nun fand ich da in Deutsch eine Bemerkung über Anwendungsspezifische Passwörter was mich neugierig machte und zu diesem Blogbeitrag führte.

Ziel der 2-Schritte Authentifizierung

Mit der 2-Schritte Authentifizierung werden eigentlich gleich zwei Probleme gelöst.

1. Nicht jeder, welcher das Passwort erspäht kann sich bei meinem Google-Account auf einem Rechner einloggen.
2. Applikationen (wie Mail, Kalender, Android-Handy) benötigen nicht mein Google-Master-Passwort, sondern bekommen ein eigenes.

Das erste Problem wird gelöst indem

1. Google mir eine SMS sendet mit einem Authentifizierungscode, oder
2. Google mich anruft und mir einen Authentifizierungscode vorliest, oder
3. eine Android-App von Google mir den Code generiert.

Im zweiten Fall ist dies eher Mühsam und wird von fast keiner Desktopanwendung unterstützt. Stattdessen wird neu ein anwendungsspezifisches Passwort generiert - eben dieses Anwendungsspezifische Passwort - und ich dies einmalig meinem Mail-Client usw. mitteilen muss. Da ich nun für jede Anwendung ein eigenes Passwort generieren kann - was ich sehr empfehle -, kann ich bei Wunsch oder bei Misstrauen die generierten Passwörter einzeln wegwerfen und neue erstellen lassen.

Somit kennt mein Android mein persönliches und kompliziertes Google-Passwort nicht mehr, mein Mail- und Kalenderclient weiss auch nichts mehr davon und ich kann mein persönliches Google-Passwort ändern ohne dass ich bei jedem einzelnen Client die Passwörter nachtragen muss. Umgekehrt kann ich auch - wie oben erwähnt - für eine Anwendung spezifisch ein altes Passwort wegwerfen und ein neues generieren. So individuell wie ich das möchte.

Und falls ich einer Anwendung temporär Zugriff gewähren will, generiere ich ein Passwort, gebe das der Anwendung, lasse die Anwendung das tun was ich hoffe dass sie es tut, und werfe anschliessend das generierte Passwort wieder weg.

Einrichten

Wie so üblich bei Google gibt es häufig neue Möglichkeiten erst bei der Englisch sprechenden Kundschaft. Jene haben es anscheinend seit Februar, jedenfalls ist ein 20min online Beitrag^{2 [2]} auf den 14. Februar datiert. Falls ihr gewisse Menupunkte in der lokalisierten Oberfläche nicht findet, gibt es eine Kurzanleitung^{3 [3]} wie man auf die englische Oberfläche kommt und wie man sich dort durch das ganze navigieren kann.

1. Auf die eigene Kontoübersicht^{4 [4]} navigieren.
2. Unter Sicherheit den Punkt Verwenden von Bestätigung in 2 Schritten^{5 [5]} auswählen.
3. Bestätigung in zwei Schritten einrichten anklicken.
4. Dem Wizard folgen.
5. Für jede Anwendung eine eigenes Zugangspasswort generieren und dies der Anwendung mitteilen.

Arbeit: maximal 15 Minuten bei 6 Anwendungen (Android, Mail-Client, Kalender-Client (2x), Picasa, Adressbuch-Client).

Benefit

• Jede Anwendung hat ihr eigenes Passwort, falls ich meinen PC an eine nicht vertrauenswürdige Person weitergeben muss, lösche ich die Zugangspasswörter.
• Trojaner haben nur solange Zugriff auf meine Google-Daten solange ich aktiv eingeloggt bin.
  • Randbemerkung: Es gibt die Möglichkeit sich die Autorisierung auf einem PC und einem Browser für 30 Tage merken zu lassen. So wird nur noch das Passwort benötigt, nicht den PIN.
    Ist auf fremden Rechner nicht zu empfehlen.
• Mein Passwort muss ich wissen. Wenn ich es ändern will, werden keine weiteren Anwendungen in"Mitleidenschafft" gezogen.