Warum Umziehen wie ein Angriff aussieht
Login-Systeme sind vor allem darauf gebaut, eines zu erkennen: eine Sitzung, die dort auftaucht, wohin sie plausibel gar nicht gereist sein kann. Der Fachbegriff lautet Impossible Travel, und die Logik ist simpel — du hast dich um 09:00 aus Mailand angemeldet und um 11:00 aus São Paulo, und kein Flugzeug schafft das.
Echtes Reisen ist nicht unmöglich, löst aber fast alle anderen Prüfungen gleichzeitig aus. In einem Moment ändern sich deine IP-Adresse, dein Land, dein Internetanbieter, deine Zeitzone und oft auch deine Spracheinstellungen und dein Netzwerktyp. Das sind fünf oder sechs gleichzeitige Änderungen bei einem Account, dessen Geschichte sagt, dass sich davon nie etwas ändert.
Es ist nichts schiefgegangen. Du hast bloß dasselbe Muster erzeugt wie jemand, der deine Sitzung gestohlen hat, und allein aus den Daten kann das System den Unterschied nicht erkennen.
Was tatsächlich geprüft wird
Ungefähr nach Gewicht sortiert.
- Entfernung und Zeit zwischen Logins. Die Impossible-Travel-Rechnung. Ein Flug ist in Ordnung, Teleportation nicht — deshalb ist ein mitten auf der Reise eingeschaltetes VPN schlimmer als die Reise selbst.
- Reputation des Netzwerks. Hotel- und Flughafen-WLAN teilen sich Tausende Fremde, und manche davon haben sich von derselben Adresse aus schlecht benommen. Café-WLAN ist noch schlechter.
- Zeitzone gegen IP. Sagt die Uhr deines Laptops noch Rom, während deine Adresse Bangkok sagt, wird genau diese Abweichung geprüft, und sie ist leicht zu erkennen.
- Geräteerkennung. Das Einzige, was für dich spricht. Sieht der Browser aus wie immer dieselbe Maschine, zählt das viel — deshalb ist Reisen mit dem eigenen Laptop deutlich reibungsloser als ein geliehener.
- Was du als Nächstes tust. Einloggen und lesen ist normal. Einloggen und sofort das Passwort ändern, eine Auszahlungsmethode hinzufügen oder Ausgaben starten ist das Muster einer Übernahme.
Bevor du losfährst
Zwanzig Minuten Vorbereitung verhindern das meiste.
- Prüfe jetzt deine Wiederherstellungsoptionen. Die schlimmste Variante ist, im Ausland ausgesperrt zu sein, weil der Bestätigungscode an eine Nummer geht, die nicht roamt. Vergewissere dich, dass deine Wiederherstellungs-E-Mail funktioniert und du Codes auf der mitgeführten Nummer empfangen kannst.
- Aktiviere eine Authenticator-App für alles Wichtige. App-Codes funktionieren offline und hängen nicht von deinem Anbieter ab. Diese eine Änderung behebt die häufigste Reise-Aussperrung.
- Sichere Backup-Codes offline. Ausgedruckt oder in einem Passwortmanager, den du vom Handy erreichst.
- Melde dich am Tag davor von zu Hause an. Eine frische erfolgreiche Sitzung von deinem üblichen Ort gibt dem System einen sauberen Bezugspunkt.
- Ändere in dieser Woche sonst nichts. Neues Passwort plus neues Land plus neues Gerät sind drei Signale auf einmal.
Während du dort bist
Die Gewohnheiten zählen mehr als jede Einstellung.
Nutze nach Möglichkeit deine eigene Verbindung. Handy-Tethering schlägt Hotel-WLAN klar — eine Mobilfunkadresse teilen sich gewöhnliche Leute bei gewöhnlichen Dingen, ein Hotelnetz teilst du mit allen im Gebäude.
Stell die Laptop-Uhr auf Ortszeit. Die automatische Zeitzone erledigt das, wenn du sie lässt. Auf der Heimatzeitzone stehen zu bleiben erzeugt eine Abweichung, deren Vermeidung nichts kostet.
Sei am ersten Tag langweilig. Anmelden, lesen, schließen. Die Kontopflege später in der Reise erledigen, wenn es schon etwas Verlauf vom neuen Ort gibt.
Schalte ein VPN nicht ständig an und aus. In drei Ländern an einem Nachmittag aufzutauchen ist schlimmer, als in einem neuen aufzutauchen und dort zu bleiben. Wenn du im Ausland ein VPN nutzt, wähle einen Ausgang und behalte ihn.
Rechne mit einer Bestätigung und bleib ruhig. Eine Code-Abfrage nach der Landung ist das System, das wie vorgesehen arbeitet. Erledige sie sauber. Antworte nicht mit einem Passwortwechsel — das macht aus einer Routineprüfung einen Verdacht auf Kompromittierung.
Accounts, die gar nicht mitreisen sollten
Manche Accounts vertragen einen Ortswechsel schlechter als andere, und meist sind es die, deren Verlust du am wenigsten verkraftest.
Werbekonten, Verkäuferkonten auf Marktplätzen, Zahlungskonten und alles, was an eine Unternehmenseinheit gebunden ist, werden gegen eine Standorthistorie geprüft, und ein plötzlicher Länderwechsel kann eine Überprüfung auslösen, die deine Reise überdauert. Eine Bestätigung, die du von zu Hause in zwei Minuten erledigst, wird aus einem Hotelzimmer zum Wochenproblem.
Für die ist die bessere Antwort, sie gar nicht erst zu bewegen. Hat der Account immer von einem Ort aus gearbeitet, sollte er das auch tun, während du weg bist — das heißt, die Verbindung des Accounts bleibt, wo sie ist, auch wenn du es nicht tust.
Das ist einer der nüchternsten Gründe, warum Leute bei Proxys je Profil landen: nicht um etwas zu verbergen, sondern damit ein Geschäftskonto nicht jedes Mal das Land wechselt, wenn sein Inhaber in Urlaub fährt. Das Profil behält Adresse, Zeitzone und Sprache, wo auch immer der Laptop gerade ist, und aus Sicht der Plattform ist überhaupt nichts passiert.
Falls du trotzdem ausgesperrt wirst
Es kommt vor. Die Reihenfolge zählt.
- Versuch es von derselben Verbindung aus, die es ausgelöst hat. Mitten in der Wiederherstellung das Netz zu wechseln fügt einem ohnehin unsicheren System eine weitere Änderung hinzu.
- Nutze die Wiederherstellungsmethode, die du vor der Abreise eingerichtet hast, keine neue. Während einer Sperre einen neuen Wiederherstellungsweg hinzuzufügen ist das Muster einer Kontoübernahme.
- Wenn ein Telefoncode nötig ist und deine Nummer nicht roamt, verdienen sich hier die Backup-Codes ihr Geld.
- Wo möglich: aussitzen. Viele reisebedingte Einschränkungen sind zeitlich begrenzt und lösen sich von selbst. Wiederholte Versuche verlängern sie.
- Wird daraus eine echte Einschränkung, gilt der allgemeine Rat — ein sorgfältiger Einspruch und keiner der drei Fehler.
Und was man fürs nächste Mal verinnerlichen sollte: Die Reise ist nicht das Problem. Das Problem ist, dass dein Account nichts davon wusste.