Wie kann man ein solches System in der heutigen Zeit auch nur ansatzweise in Zweifel ziehen?
Kommt also ein Chinese an mein Passwort, aus welchen Gründen auch immer, loggt er sich ein, wo auch immer, und sieht die Eingabe-Maske des temporären Codes vor sich. Das war es dann mit der Account-Übernahme, dass Passwort kann er nun wegwerfen, es ist nutzlos für ihn.
Hackt ein Chinese mein Mail-Konto, aus welchen Gründen auch immer, sieht er eventuell eine Apple-Mail im Postfach, und sei es eine Rechnung von iTunes. Er hat Blut geleckt, kennt nun eine Apple ID und hat die Kontrolle über das zugehörige Mail-Konto. Also schnell auf die Apple Webseite und eine Zurücksetzungs-Mail für diese Adresse anfordern. Was bemerkt er? Dass das nicht möglich ist. Ist die zweistufige Bestätigung aktiv, kann das Passwort nicht per Mail zurückgesetzt werden. Der gekaperte Mail-Account spielt dann zumindest für die Apple ID keine Rolle.
Kommt ein Chinese auf die Idee per Social Engineering über den Apple Support an meinen Account zu kommen, und sei es über ein Service-Center von Apple in China direkt, so kommt er selbst dann nicht weiter, wenn der Mitarbeiter am Telefon alles glaubt was er sagt und dem auch nach kommen würde. Nur sind dem Apple-Mitarbeiter in diesem Fall die Hände gebunden. Ist die zweistufige Bestätigung aktiv, kann auch der Mitarbeiter am Telefon keine Mail zum Zurücksetzen des Passwortes raus senden, oder irgendwas Vergleichbares am Account direkt durchführen. Das schreibt Apple so auch ganz klar in seiner Dokumentation. Ist die zweistufige Bestätigung aktiv, und man sperrt sich selbst aus seinem Account aus, aus welchem Grund auch immer, kann einem über den Support nicht geholfen werden. Man "darf" dann eine neue Apple ID erstellen.
Also für mich ist die zweistufige Bestätigung sowas wie der heilige Gral in der heutigen Zeit, nun ja, vielleicht nicht ganz, aber nahe dran. Zumindest solange, bis was besseres kommt.
Und der Unterschied zwischen dem bisherigen System, der zweistufigen Bestätigung, um dem optimierten Verfahren bei El Capitan und iOS 9, der Zwei-Faktor-Authentifikation, halten sich in Grenzen. Ich halte beide Systeme für annähernd gleich sicher. Bei dem einen sind die temporären Codes halt eben zwei Zeichen länger und der Wiederherstellungsschlüssel fällt weg, das fällt aber kaum ins Gewicht.
Und der Komfort leidet doch sowieso kaum darunter. EINMALIG (!) muss ein Code beim ersten Login auf einem (neuen) Gerät, oder nach dem Zurücksetzen eines Gerätes, oder nach Ändern des Apple ID-Passwortes, eingegeben werden. Und diese 10 Sekunden investiere ich gerne alle paar Monate mal. Ansonsten laufen Einkäufe und sonstige Geschichten absolut ohne Code ab ist das entsprechende Gerät bereits verifiziert.
So, und wer das jetzt immer noch nicht einschaltet, dem sei nicht geholfen, sollte sein Account abhanden kommen.
