Warum ein ausgemustertes Gerät eine Zugriffsfrage ist, keine Speicherfrage
Wenn Sie ein Smartphone, Tablet oder Laptop nicht mehr nutzen, spielt das Gerät selbst keine Rolle mehr – der Zugriff, den es ermöglichte, aber schon. Ein Mastodon-Client, der auf diesem Gerät angemeldet war, kann noch immer ein Token für Ihr Konto besitzen. Die Frage, die Sie beantworten sollten, bevor das Gerät Ihre Hände verlässt, lautet nicht „Was liegt auf der Festplatte?“, sondern „Was kann noch in meinem Namen handeln?“
Dieser Leitfaden trennt drei Aktionen, die leicht durcheinandergehen: eine Sitzung abmelden, eine Client-App widerrufen und das Kontopasswort ändern. Sie sind nicht austauschbar, und die eine erledigt nicht automatisch die anderen.
In den Mastodon-Kontoeinstellungen können Nutzer aktive Sitzungen oder autorisierte Apps widerrufen. Quelle
Derselbe Kontoeinstellungsbereich umfasst auch Passwortänderungen und Zwei-Faktor-Authentifizierung. Quelle
Das ist das gesamte offizielle Bild, auf das sich dieser Leitfaden stützt. Alles Weitere unten ist eine Möglichkeit, Ihre eigenen Entscheidungen zu ordnen – keine Aussage über Menübezeichnungen oder Grenzen auf einem bestimmten Server.
Schritt 1: Bestandsaufnahme des ausgemusterten Geräts, bevor Sie es hergeben
Arbeiten Sie zuerst direkt am Gerät, solange Sie es noch in der Hand haben. Sie erstellen eine Liste, Sie reparieren noch nichts.
- Öffnen Sie jede App auf dem Gerät, in der Sie sich jemals mit Ihrem Mastodon-Konto angemeldet haben. Schließen Sie die offizielle App, Drittanbieter-Clients und alles ein, das Sie um Autorisierung des Zugriffs gebeten hat.
- Notieren Sie den Client-Namen so, wie er in der App erscheint, nicht so, wie Sie ihn in Erinnerung haben. Zwei Clients desselben Entwicklers können in einer Liste ähnlich aussehen.
- Notieren Sie, ob die App noch Ihr Konto öffnet, ohne Sie erneut zur Anmeldung aufzufordern. Wenn ja, hält sie eine aktive Sitzung.
- Schreiben Sie alle Anmeldungen auf Geräteebene auf, die Sie verwendet haben, etwa eine Browsersitzung auf demselben Rechner.
- Melden Sie sich, bevor Sie das Gerät löschen oder weitergeben, aus jedem Client ab, den Sie noch öffnen können. Das ist der höfliche, risikoarme erste Durchgang – aber betrachten Sie ihn als Aufräumen, nicht als Beweis, dass der Zugriff weg ist.
Eine Abmeldung auf einem Gerät, das Sie gleich verlieren, ist die schwächste der drei Aktionen, weil Sie danach nicht bestätigen können, was der Client mit seinem Token gemacht hat. Deshalb erfolgt der nächste Schritt von einem Gerät aus, das Sie behalten.
Schritt 2: Sitzungen und autorisierte Apps von einem Konto aus prüfen, das Sie kontrollieren
Melden Sie sich von einem Gerät, das Sie behalten, bei Ihrem Mastodon-Konto an. In den Kontoeinstellungen deckt derselbe Bereich aktive Sitzungen, autorisierte Apps, Passwortänderungen und Zwei-Faktor-Authentifizierung ab. Öffnen Sie diesen Bereich und lesen Sie die Liste mit der Bestandsaufnahme ab, die Sie gerade geschrieben haben.
Gehen Sie nicht davon aus, dass die Liste hilfreich sortiert ist, und halten Sie einen Eintrag nicht für harmlos, nur weil der Name vertraut aussieht. Gleichen Sie Einträge mit Ihrem Arbeitsblatt anhand des Client-Namens und des Zeitpunkts ab, zu dem Sie das Gerät zuletzt genutzt haben. Wenn ein Eintrag zu nichts passt, was Sie erkennen, geraten Sie nicht in Panik – prüfen Sie zuerst, ob er zu einem Browser oder einem vergessenen Client gehört. Wenn er immer noch nicht zuzuordnen ist, behandeln Sie ihn als unbekannt und handeln Sie.
Dies ist auch der Moment, um zu bestätigen, dass Ihre Wiederherstellungseinrichtung intakt ist, bevor Sie etwas ändern. Ein Passwort zu ändern, während Ihr einziger Wiederherstellungsweg ein Postfach ist, das Sie nicht mehr kontrollieren, ist die Art, wie Menschen sich aussperren.
Schritt 3: Entscheiden, was mit jedem Eintrag geschieht
Verwenden Sie das folgende Arbeitsblatt. Der Sinn der Tabelle ist, Sie davon abzuhalten, zum größten Hammer – einer Passwortänderung – zu greifen, wenn eine einzelne Widerrufung das Problem löst, oder sich mit einer Abmeldung zufriedenzugeben, obwohl der Client noch autorisiert ist.
| Client / Sitzung | Noch genutzt? | Aktion | Erneut prüfen |
|---|---|---|---|
| Offizielle App auf dem ausgemusterten Smartphone | Nein | Auf dem Gerät abmelden, falls möglich, dann den Client in den Kontoeinstellungen widerrufen | Bestätigen, dass der Eintrag aus der Liste der autorisierten Apps verschwunden ist |
| Drittanbieter-Client auf dem ausgemusterten Tablet | Nein | Den Client in den Kontoeinstellungen widerrufen | Bestätigen, dass der Eintrag verschwunden ist; die App auf dem alten Gerät nur dann erneut öffnen, wenn Sie es noch haben, um zu sehen, dass sie nicht mehr in Ihrem Namen handelt |
| Desktop-Browsersitzung auf einem Rechner, den Sie verkaufen | Nein | Die Browsersitzung abmelden, dann jeden verbleibenden Sitzungseintrag widerrufen | Von Ihrem behaltenen Gerät aus anmelden und bestätigen, dass die alte Sitzung nicht mehr erscheint |
| Client auf Ihrem aktuellen Alltagstelefon | Ja | Behalten; nicht widerrufen | Keine erforderlich |
| Client, den Sie nicht identifizieren können | Unbekannt | Widerrufen, dann beobachten, welcher Client nicht mehr funktioniert, und ihn bewusst neu autorisieren | Bestätigen, dass der Eintrag verschwunden ist; nur den Client neu autorisieren, den Sie tatsächlich nutzen |
| Jeder Eintrag nach einem vermuteten Kompromittierungsfall | — | Das Passwort ändern und die Zwei-Faktor-Authentifizierung im selben Einstellungsbereich prüfen | Auf Ihren behaltenen Geräten erneut anmelden und bestätigen, dass nur erwartete Clients verbleiben |
Eine kompakte Entscheidungsregel, falls Sie eine Zeile wünschen: noch genutzt, behalten; nicht genutzt, widerrufen; unbekannt, widerrufen und bewusst neu autorisieren; vermutete Kompromittierung, zusätzlich das Passwort ändern.
Schritt 4: Verstehen, was jede Aktion tatsächlich bewirkt – und was nicht
Diese drei Aktionen unterscheiden sich im Umfang, und keine von ihnen ist ein allgemeiner Reset Ihrer öffentlichen Präsenz.
- Eine Sitzung abmelden beendet diese Anmeldung auf diesem Gerät. Es ist die engste Aktion und die am leichtesten falsch zu machende, weil ein Client lokal abgemeldet sein kann, während er auf Kontoebene autorisiert bleibt.
- Eine Client-App widerrufen entzieht dieser App die Autorisierung. Es ist das richtige Werkzeug für einen Client auf einem Gerät, das Sie ausmustern. Es ist nicht dasselbe wie das Löschen der App vom Gerät, und das Löschen der App ist nicht dasselbe wie ihr Widerrufen.
- Das Passwort ändern ist eine umfassendere Kontoaktion. Sie gehört zu einem vermuteten Kompromittierungsfall, nicht als Ersatz für die Prüfung der autorisierten Liste.
Drei Grenzen sollten klar benannt werden, weil sie häufige Quellen falscher Sicherheit sind:
- Das Widerrufen des Zugriffs löscht keine Beiträge, die Sie bereits veröffentlicht haben. Ihr öffentliches Profil und Ihr Beitragsverlauf sind eine getrennte Angelegenheit von der App-Autorisierung.
- Das Widerrufen des Zugriffs ändert nicht Ihren Handle. Ihr Benutzername ist ein Kontoattribut, keine Client-Berechtigung.
- Das Widerrufen des Zugriffs auf Ihrem Konto betrifft keine Konten, die Sie auf anderen Servern haben. Die Kontoeinstellungen jedes Servers regeln das Konto dieses Servers.
Häufige Fehler
- Eine Abmeldung als Widerruf behandeln. Die Abmeldung auf dem Gerät, das Sie gleich verlieren, sagt wenig darüber aus, was der Client noch hält. Widerrufen Sie von der Kontoseite aus.
- Die App löschen und die Sache für erledigt halten. Eine App von einem Gerät zu entfernen, entzieht ihre Autorisierung nicht auf Kontoebene.
- Zuerst das Passwort ändern und später prüfen. Eine Passwortänderung ist eine umfassende Aktion. Prüfen Sie zuerst die autorisierte Liste, damit Sie wissen, was Sie zurücksetzen, und das Ergebnis danach bestätigen können.
- In Panik alles widerrufen. Sie brechen Clients, auf die Sie angewiesen sind, und autorisieren sie dann in Eile neu – so summieren sich Fehler. Verwenden Sie das Arbeitsblatt.
- Einen unbekannten Eintrag für einen Eindringling halten. Es kann ein Browser oder ein vergessener Client sein. Untersuchen Sie, bevor Sie schlussfolgern, aber lassen Sie einen unbekannten Eintrag nicht stehen, während Sie untersuchen.
- Annehmen, dass ein Widerruf Ihre öffentlichen Beiträge verbirgt. Das tut er nicht. Wenn Ihr Anliegen die öffentliche Sichtbarkeit statt des App-Zugriffs ist, ist das eine andere Aufgabe – siehe den vorhandenen Leitfaden zum Verbergen Ihres Mastodon-Netzwerks und zum Prüfen der Suchindexierungseinstellungen.
- Die Zwei-Faktor-Authentifizierung vergessen. Sie befindet sich im selben Einstellungsbereich wie Sitzungen und Passwortänderungen. Prüfen Sie sie im selben Durchgang, nicht als Nachgedanken.
Ihren eigenen Fußabdruck schützen, nachdem das Gerät weg ist
Sobald das ausgemusterte Gerät Ihre Hände verlassen hat, geht es bei der verbleibenden Arbeit um die öffentliche Oberfläche statt um App-Zugriff. Zwei Dinge sollten Sie im Kopf trennen:
Öffentliche Identifikatoren sind Hinweise, keine Beweise. Wenn Sie einen Benutzernamen suchen und übereinstimmende Handles, übereinstimmende Fotos oder übereinstimmende Biografien auf mehreren Plattformen finden, ist das eine Reihe von Hinweisen. Es ist kein Beweis dafür, dass die Konten zu einer Person gehören. Menschen verwenden Handles wieder, kopieren Biografien und teilen Profilbilder; dasselbe Handle auf zwei Plattformen kann zu zwei verschiedenen Personen gehören. Behandeln Sie jeden Treffer als etwas, das bestätigt werden muss, niemals als Identifizierung.
Eine Benutzernamenssuche ist keine Kontenbestandsaufnahme. Die Suche nach einem Handle zeigt Ihnen, wo diese Zeichenfolge öffentlich erscheint. Sie zählt nicht jedes Konto auf, das eine Person besitzt, und sie sagt Ihnen nicht, welche Konten aktiv, ruhend oder umbenannt sind. Wenn Sie Ihren eigenen Fußabdruck prüfen, beginnen Sie mit den Handles, von denen Sie wissen, dass Sie sie verwendet haben, und prüfen Sie jedes bewusst.
Wenn Sie einen Ausgangspunkt für diese Selbstprüfung wünschen, prüft TraceSeek einen Benutzernamen auf 3.000+ Plattformen und liefert öffentliche Treffer in etwa 20–30 Sekunden, mit einem kostenlosen ersten Scan. Es meldet, was öffentlich sichtbar ist; es ändert keine Einstellungen auf irgendeiner Plattform, garantiert keinen Treffer und verifiziert niemandes Identität. Wie Treffer zu lesen sind, erfahren Sie auf der Methodikseite.
Wichtige Fakten
- In den Mastodon-Kontoeinstellungen können Nutzer aktive Sitzungen oder autorisierte Apps widerrufen.
- Derselbe Kontoeinstellungsbereich umfasst Passwortänderungen und Zwei-Faktor-Authentifizierung.
- Eine Sitzung abmelden, eine Client-App widerrufen und das Passwort ändern sind unterschiedliche Aktionen mit unterschiedlichem Umfang.
- Das Widerrufen des App-Zugriffs löscht keine veröffentlichten Beiträge, ändert keinen Handle und betrifft keine Konten auf anderen Servern.
- Ein öffentlicher Benutzernamen-Treffer ist ein Hinweis, der bestätigt werden muss, kein Beweis dafür, dass Konten zur selben Person gehören.