Wie erhöht Googles Advanced Protection Program die Security?

Die gezielten Angriffe auf bestimmte Anwender haben Google veranlasst, das Advanced Protection Program zur Absicherung von Google-Konten ins Leben zu rufen.

Das Advanced Protection Program beziehungsweise das „Erweiterte Sicherheitsprogramm“ wurde entwickelt, um für Anwender einen restriktiveren Zugang zu ihren Konten zu schaffen und unbefugte Zugriffe zu unterbinden.

Durch diese mehrstufige Authentifizierungsmethode, die Einschränkung der Möglichkeit, dass Dritte zugreifen und Hinzufügen einer sicheren Art und Weise der Kontowiederherstellung soll die Sicherheit erhöht werden.

Damit richtet man sich an Nutzer, deren Konten besonderen Risiken ausgesetzt sind, und die mit sensiblen Daten arbeiten. Exemplarisch werden da Journalisten und auch wichtige Persönlichkeiten aus der Industrie genannt.

So führt Google mit dem Advanced Protection Program eine weitere Form der Multifaktor-Authentifizierung ein. Dabei wird ein Sicherheitsschlüssel verwendet, um sicherzustellen, dass der Benutzer sich tatsächlich vor dem System befindet, wenn der Zugriff angefordert wird.

Dafür ist dann eine bestimmte Hardware erforderlich, wie etwa die USB-Lösung Yubikey, die nach dem FIDO-Standard arbeitet. Als Bluetooth-Variante wird der Feitian MultiPass Bluetooth genannt. Mit dieser Hardware authentifiziert sich der Benutzer am Gerät, ohne dass Textnachrichten eingegeben werden müssen oder andere Authentifizierungen notwendig sind. Der Schlüssel funktioniert nur für Konten, die entsprechend für FIDO eingerichtet wurden. Durch die zusätzliche Authentifizierung durch den Schlüssel soll auch der Schutz vor Phishing-Angriffen verbessert werden.

Bei Konten, die für das erweiterte Sicherheitsprogramm eingerichtet wurden, können bislang Apps und Anwendungen von Drittanbietern nicht auf das Google-Konto zugreifen. So haben E-Mail-Apps von Drittanbietern beispielsweise keinen Zugriff mehr auf Gmail. Gleiches gilt natürlich für entsprechende Apps und Google Drive. So können auch iOS-Standard-Apps nicht mehr auf Google Kontakte, Gmail und Google Kalender zugreifen.

Das kann für Anwender natürlich bedeuten, dass die bevorzugten Anwendungen auf dem mobilen Gerät oder dem Desktop nicht mehr funktionieren. Im Prinzip verfolgt das Advanced Protection Program bislang dem Prinzip nur Anwendungen zu vertrauen, die von Google selbst stammen. Das gilt auch für alle Browser abseits von Chrome. Wenn Anwendungen, die nicht nativ von Google stammen, auf ein Google-Konto zugreifen, wird dies nicht unterstützt.

Darüber hinaus erhöht Google die Sicherheit für die Kontowiederherstellung, wenn Nutzer ihr Passwort vergessen haben. Einerseits sind nun zusätzliche Schritte erforderlich, um die Identität zu bestätigen und auszuschließen, dass ein Angreifer versucht, an die Zugangsdaten zu gelangen. Haben Nutzer zudem ihren Schlüssel verloren, dauert es einige Tage, bis der Zugriff auf den Account wiederhergestellt wird. Die Verzögerung sollte ausreichen, um den legitimen Nutzer wissen zu lassen, dass ein Angreifer versucht Zugang zu ihrem Konto zu erlangen.

Zweifelsohne erhöht das Advanced Protection Program die Sicherheit für Nutzer, die bereit sind, zugunsten der Sicherheit ihres Kontos auf etwas Komfort zu verzichten. Für die anvisierten Zielgruppen kann dies daher durchaus eine Lösung sein, ihre Konten besser zu schützen. Für viele Nutzer genügt sicher die bestehende Zwei-Faktor-Authentifizierung, mit dem Advanced Protection Program lässt sich bei Bedarf eine weitere Schutzebene einziehen.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!