Der Tag, an dem das Handy weg ist

Die Mehrfaktor-Anmeldung ist der wirksamste einzelne Schritt, den ein Betrieb gehen kann. Sie hat eine Nebenwirkung, über die vorher niemand spricht: Bei den meisten Leuten liegt der zweite Faktor auf genau einem Gerät. Fällt es ins Wasser, wird gestohlen oder gibt einfach auf, ist nicht ein Zugang gesperrt, sondern jeder.

Was dann nicht mehr geht

Mail. Damit auch: das Zurücksetzen aller anderen Passwörter, die per Mail laufen. Onlinebanking. Die Verwaltung der Domain. Und, besonders unangenehm, das Konto, mit dem sich das neue Telefon einrichten liesse.

Zwanzig Minuten, einmalig

Wiederherstellungscodes ausdrucken. Jeder ernstzunehmende Dienst bietet sie an — eine Liste einmal verwendbarer Codes. Ausgedruckt, in den Tresor oder zu den Vertragsunterlagen. Nicht abfotografiert, nicht ins Mailpostfach: Der Code im Postfach, das ohne ihn nicht aufgeht, ist kein Wiederherstellungscode.

Einen zweiten Faktor einrichten. Ein zweites Gerät oder ein Sicherheitsschlüssel zum Anstecken, der in der Schublade liegt. Das ist der Unterschied zwischen zwanzig Minuten und zwei Tagen.

Im Unternehmen: jemanden benennen, der zurücksetzen darf. Und ein Verfahren dafür, das nicht darin besteht, dass diese Person am Telefon geglaubt wird — ein Rückruf auf die im Personaldossier hinterlegte Nummer reicht schon.

Der Zettel, der dazugehört

Das ist derselbe Zettel wie in Die erste Stunde nach dem Vorfall: eine Seite, ausgedruckt, mit den Zugängen, an denen alles hängt, und der Reihenfolge, in der sie wiederhergestellt werden. Er nützt an genau zwei Tagen etwas. An diesen beiden Tagen ersetzt er eine Woche.