Zwei-Faktor-Authentifizierung: Funktionsweise und Sicherheit

1. Was ist Zwei-Faktor-Authentifizierung? 

Bei der Zwei-Faktor-Authentifizierung (2FA) erhalten nur Personen Zugang zu einem Online-Account, die sich durch zwei Nachweise aus verschiedenen Kategorien authentifizieren. Dabei kann ein Faktor aus folgenden Bereichen stammen: 

a) Wissen: eine Information, die nur Du kennst, beispielsweise ein Passwort oder eine PIN. 

b) Besitz: etwas, über das nur Du verfügst, wie eine App, ein Hardware-Token oder ein Smartphone. 

c) Biometrie: ein einzigartiges körperliches Merkmal, etwa Dein Fingerabdruck, Gesichts- oder Augenscan. 

In Zusammenhang mit der Absicherung von Online-Zugängen sind vor allem die ersten beiden Kategorien relevant. Viele Webseiten bieten die 2FA bereits an. Für einige sensible Bereiche ist die Authentifizierungsmethode inzwischen sogar gesetzlich vorgeschrieben – etwa beim Online-Banking. 

2. Warum genügt heute ein einfaches Passwort nicht mehr als Schutz? 

Dass die Zwei-Faktor-Authentifizierung mehr Schutz als das klassische Passwort bietet, ist einfach zu verstehen. Schließlich kombiniert sie dieses mit einem weiteren Sicherheitsmechanismus. Ist das aber unbedingt erforderlich? 

Leider ja. Denn Passwörter werden immer wieder von Cyberkriminellen erbeutet oder durch Brute-Force-Attacken entschlüsselt. Hacker nutzen diese nicht nur selbst, sondern bieten diese auch zum Verkauf an oder veröffentlichen diese. Die Größenordnung ist beachtlich. So hat das renommierte Hasso-Plattner-Institut mehr als 14,5 Milliarden Zugangsdaten ermittelt, die offen im Web verfügbar sind. Tag für Tag wächst diese Zahl um 1,5 Millionen. 

Selbst wenn Du mit Passwörtern sorgsam umgehst, sind Deine Zugangsdaten gefährdet. Denn Cyberkriminelle verschaffen sich durch Hacks bzw. das Ausnutzen von Schwachstellen immer wieder Zugang zu den Datenbanken von Unternehmen, in denen auch Deine Benutzerdaten gespeichert sind. 

Besonders gefährlich sind gehackte E-Mail-Accounts und die Verwendung identischer Passwörter bei mehreren Diensten. Denn E-Mail-Konten bieten Kriminellen über die Funktion "Passwort vergessen" die Option, Zugang zu weiteren Online-Konten  zu erhalten. Nutzt Du die gleichen Passwörter für mehrere Dienste, sind bei einem Leak alle Deine Accounts in Gefahr.

Dabei erfolgt die Eingabe geleakter Kennwörter längst nicht mehr von Hand, sondern automatisiert bei beliebten Diensten von A wie Amazon über P wie PayPal bis Z wie Zalando. Lukrativ sind vor allem E-Mail-Anbieter, Online-Shops und Zahlungsdienstleister. 

Somit gibt es viele gute Gründe, statt eines einfachen Passworts die 2FA zu verwenden. 

3. Welche Art der Zwei-Faktor-Authentifizierung bietet die höchste Sicherheit? 

Eine 2FA lässt sich unterschiedlich umsetzen. Dabei variieren jeweils das Ausmaß an Komfort und Sicherheit. Wir skizzieren die wichtigsten Methoden – beginnend mit dem besten Schutz. 

a) Hardware-Token (hohes Schutzniveau) 

Bei Hardware-Tokens handelt es sich im Kontext der 2FA um spezielle Geräte, die Du via Bluetooth, NFC oder USB mit Deinem Computer bzw. Smartphone verbindest. Wenn Du Dich danach bei einem Online-Konto einloggst, drückst Du auf einen Knopf am Gerät. Die Authentifizierung erfolgt dann durch den Krypto-Chip des Tokens. 

Wenn Du Dich für einen modernen Hardware-Token entscheidest, profitierst Du von einem hohen Maß an Sicherheit. Phishing-Webseiten haben keine Chance. Selbst wenn Du hier versehentlich Benutzername und Passwort eingibst, erhalten Hacker keinen Zugang zu Deinem Konto. Denn der Token funktioniert nur mit der echten Domain des jeweiligen Online-Dienstes. 

Diese Schutzmaßnahmen greifen allerdings nur, wenn Du auch einen geeigneten Token verwendest. Achte darauf, dass dieser den offenen Sicherheitsstandard FIDO2 bietet. Ältere Hardware-Token bzw. solche ohne FIDO2-Zertifizierung können hingegen unsicher sein. Ein beliebtes Token mit entsprechender Zertifizierung ist etwa der Yubikey, der bei Amazon für knapp 35 Euro erhältlich ist. 

b) Authenticator-App (mittleres Schutzniveau) 

Authenticator-Apps generieren Einmal-Passwörter, die nur für eine kurze Zeitspanne verwendbar sind. Ein gültiges Time-based One-time Password (TOTP) lässt sich dabei nur auf einem bestimmten Gerät erzeugen. In der Regel sind die Codes sechsstellig und gelten für 30 Sekunden. Danach kannst Du mit Deinem Endgerät – etwa einem Smartphone – ein neues TOTP erstellen. 

Authenticator-Apps sind eine kostenlose, aber nicht ganz so sichere Alternative zu Hardware-Tokens. Denn hier besteht ein Phishingrisiko. Cyberkriminelle können nämlich Log-in-Daten und TOTP-Code abfangen und haben dann einige Sekunden Zeit, sich damit beim echten Online-Dienst anzumelden. Diese Art von Cyberattacke ist auch als Adversary-in-the-Middle (AiTM) bekannt. 

Die bekanntesten Authentifizierungs-Apps stammen von US-Giganten – wie der Google Authenticator oder der Microsoft Authenticator. Für alle, die diese nicht verwenden möchten, empfehlen wir drei Open-Source-Programme, die alle mit verschlüsselten Backups arbeiten: 

- 2 FAS (für Android- und iOS-Geräte) 

- Aegis Authenticator (für Android-Geräte) 

- Ente Auth (plattformübergreifend und auch für Desktop-Betriebssysteme) 

c) Benachrichtigungen (niedriges Schutzniveau) 

Bei diesem Verfahren schickt Dir der Online-Dienst, bei dem Du gerade Benutzernamen und Passwort eingegeben hast, eine Benachrichtigung. Diese erreicht Dich meistens via E-Mail oder SMS. Hier ist der Schutz zwar immer noch höher, als wenn Du nur ein Passwort verwenden würdest. Du solltest Dir jedoch besser einen anderen Authentifizierungsfaktor suchen. Denn es gibt entscheidende Schwachstellen. 

Bei einer Authentifizierungsmail, steht und fällt der Schutz mit der Sicherheit Deines E-Mail-Postfachs. Erhalten Hacker Zugang zu diesem oder haben sie diesen bereits, bietet der Faktor keine Sicherheit mehr. Auch bei einer Benachrichtigung via SMS bist Du nicht auf der sicheren Seite. So können Schadprogramme längst auch Kurznachrichten auf Deinem Handy mitlesen. Selbst wenn Dein Smartphone frei von derartiger Schadsoftware ist, droht ein Risiko durch SIM-Swapping. Hierbei bringen Cyberkriminelle Mobilfunkgesellschaften – etwa durch Techniken des Social Engineering – dazu, Deine Handynummer auf eine neue SIM zu transferieren, zu der sie Zugang haben. Dadurch erhalten sie jede für Dich gedachte 2FA-SMS. 

4. Wie funktioniert die Einrichtung der 2FA? 

Einige scheuen die Zwei-Faktor-Authentifizierung, weil sie befürchten, dass die Einrichtung und Nutzung kompliziert sind. Doch der Mehraufwand erweist sich in der Praxis als gering. Ob der jeweilige Dienst eine 2FA-Option bietet, zeigt Dir bei den meisten Anbietern die Website 2FA Directory oder eine Anfrage bei der Suchmaschine Deines Vertrauens. Zu finden ist die Option meistens in den Einstellungen des Anbieters in Kategorien wie "Datenschutz" oder "Sicherheit". 

Wie die Einrichtung genau funktioniert, skizzieren wir am Beispiel von Amazon, wo das Verfahren den Namen Zwei-Schritt-Verifizierung (2SV) trägt. Auf anderen Plattformen ist das Prozedere oft ähnlich gestaltet. Nach der Anmeldung klickst Du zunächst auf "Mein Konto", wählst dann die Kategorie "Anmelden und Sicherheit" und schließlich die Option "Einstellungen für die Zwei-Schritt-Verifizierung (2SV): Bearbeiten". Amazon sendet Dir daraufhin eine Bestätigung an die hinterlegte E-Mail-Adresse. Folge einfach den Anweisungen und entscheide Dich für eine Authentifizierungsvariante. 

5. Wie nutzt Du die Zwei-Faktor-Authentifizierung? 

In der Praxis ist der Unterschied der 2FA im Vergleich zur klassischen Passworteingabe oft nur minimal. Du meldest Dich zunächst wie gewohnt mit Benutzernamen und Passwort bei einem Dienst an, bei dem Du die 2FA eingerichtet hast. Danach fragt Dich das System nach dem zweiten Faktor. Erst wenn Du diesen vorlegen kannst, erhältst Du Zugang. 

Dieses Prozedere ist aber meistens nur dann erforderlich, wenn das System das Gerät, mit dem Du Dich einloggst, nicht kennt. Meldest Du Dich immer mit Deinem PC oder Smartphone an, stuft das System dieses als vertrauenswürdig ein. Dadurch entfällt dann in der Regel die manuelle Eingabe des zweiten Faktors und dieser ist erst dann wieder erforderlich, wenn Du das Gerät wechselst.  

6. Was solltest Du beim Verlust eines Authentifizierungsfaktors tun und wie kannst Du Dich davor schützen? 

Generell empfiehlt es sich, mehr als eine 2FA-Authentifizierungsmethode auszuwählen, sodass Du bei Verlust eines Faktors Alternativen hast. Zudem bieten viele Dienste die Option, bei der Einrichtung der Zwei-Faktor-Authentifizierung Wiederherstellungscodes zu generieren. Diese solltest Du direkt abrufen, sauber notieren und sicher aufbewahren. Ansonsten kannst Du nur noch Kontakt mit dem Support des Anbieters aufnehmen. 

7. Für welche Konten ist eine Zwei-Faktor-Authentifizierung sinnvoll? 

Der Aufwand einer 2FA ist natürlich etwas höher als beim klassischen Passwort. Deshalb musst Du diese Art der Authentifizierung auch nicht bei allen Deinen Online-Konten nutzen. Wir empfehlen jedoch, dass Du  zumindest folgende Dienste nicht nur mit einem einfachen Passwort schützt: 

- Bezahldienste 

- E-Mail-Postfach 

- Online-Shops, vor allem bei gespeicherten Bezahldaten 

- Passwortmanager 

- Soziale Netzwerke 

8. Sind Passkeys der 2FA überlegen? 

Ein Passkey ist ein kryptografisches Schlüsselpaar. Das Besondere ist, dass dieses komplett auf Deinem Gerät gespeichert bleibt und dieses auch nicht verlässt. Passkeys sind zudem sicher vor Phishingattacken. Denn Authentifizierungen funktionieren nur auf echten, aber nie auf gefakten Webseiten. Realisieren lassen sich Passkeys über eine Geräte-PIN oder biometrische Merkmale wie Fingerabdruck oder Gesichtsscan. 

Passkeys sind sogar der 2FA überlegen. Denn das kostenlose Verfahren ist komfortabler als Hardware-Token und sicherer als TOTP oder Benachrichtigungen via E-Mail oder SMS. Allerdings unterstützen noch nicht alle Dienste diese Art der Authentifizierung. Zu den Vorreitern zählen: 
- Amazon 
- Apple 
- Dropbox 
- GitHub 
- Google 
- Microsoft 
- PayPal 

Mehrere Passwortmanager wie 1Password, Bitwarden oder Proton Pass unterstützen ebenfalls Passkeys. Zudem empfiehlt das Bundesamt für Sicherheit in der Informationstechnik deren Einsatz.