Zwei-Faktor-Authentifizierung (2FA) – Was ist das und wie richtet man sie ein?

Kein Tag vergeht, an dem Sie sich keine Sorgen um Ihre Sicherheit im Internet machen. Die bekannteste Methode, Ihre Daten online zu schützen, ist das regelmäßige Ändern Ihres Passworts. Passwörter allein bieten jedoch nicht genügend Sicherheit, da sie heutzutage von Betrügern mithilfe von Phishing oder Brute-Force-Angriffen leicht erbeutet werden können. Angesichts der jährlich gemeldeten Millionen gestohlener Nutzerdaten sollten Sie sich darüber im Klaren sein, dass Passwörter allein nicht ausreichen, um Ihre Daten zu schützen. Was Sie benötigen, ist die Zwei-Faktor-Authentifizierung, auch 2FA oder Zwei-Schritt-Verifizierung genannt .

Dieses neue Sicherheitsniveau wird vom Durchschnittsnutzer wie Ihnen jedoch nicht vollständig verstanden. Nehmen Sie sich also bitte Zeit und lassen Sie uns gemeinsam eine einfache, aber detaillierte Erklärung der Zwei-Faktor-Authentifizierung (2FA) geben. Fangen wir ganz von vorne an.

Was sind Authentifizierungsfaktoren?

Es gibt verschiedene Möglichkeiten, sich durch die Kombination mehrerer Authentifizierungsmethoden zu authentifizieren. Aktuell basieren die meisten Authentifizierungsmethoden auf Wissensfaktoren und einem zusätzlichen Faktor bei der Zwei-Faktor-Authentifizierung. Im Folgenden sind einige der verwendeten Authentifizierungsfaktoren aufgeführt:

1. Wissensfaktor – das ist etwas, das dem Benutzer bekannt ist. Es kann sich um ein Passwort, eine PIN (persönliche Identifikationsnummer) oder geteilte Daten handeln.
2. Besitzfaktor – dabei handelt es sich meist um etwas, das dem Nutzer gehört, z. B. ein Mobiltelefon, eine mobile App, ein Sicherheitstoken oder ein Ausweis. Er dient zur Genehmigung von Authentifizierungsanfragen.
3. Inhärenzfaktoren – auch biometrische Faktoren genannt – sind in der Regel persönliche Merkmale des Nutzers, beispielsweise Fingerabdrücke, Gesichtserkennung oder Stimmerkennung . Auch Verhaltensmerkmale wie Sprachmuster, Tastenanschlagdynamik und Gangart zählen zu den Inhärenzfaktoren.
4. Standortfaktor – wie der Name schon sagt, hängt dieser Faktor vom Ort des Authentifizierungsversuchs ab. Die Authentifizierung mit diesem Faktor beschränkt sich auf bestimmte Standorte, Geräte und die Verfolgung der Quelle des Authentifizierungsversuchs mittels IP-Adresse und/oder GPS .
5. Zeitfaktor – Die Authentifizierung mit diesem Faktor beschränkt den Benutzer auf ein bestimmtes Zeitfenster. Außerhalb dieses Fensters wird keinem Benutzer der Zugriff auf das System gewährt.

Bei Zwei-Faktor-Authentifizierungsmethoden werden die ersten drei Authentifizierungsfaktoren verwendet, während Systeme mit einem höheren Sicherheitsbedarf eine Multi-Faktor-Authentifizierung implementieren , bei der mehr als zwei unabhängige Faktoren für eine sichere Authentifizierung eingesetzt werden.

Was ist Multi-Faktor-Authentifizierung?

Obwohl die Zwei-Faktor-Authentifizierung zusätzliche Sicherheit bietet und Angreifern den Zugriff auf Ihr System erschwert, gelingt es ihnen manchmal dennoch. Für Systeme mit höheren Sicherheitsanforderungen empfiehlt sich daher die Multi-Faktor-Authentifizierung.

Eine Multi-Faktor-Authentifizierungsmethode (MFA) kann eine Drei-Faktor-Authentifizierungsmethode (3FA) oder weitere Faktoren umfassen. Üblicherweise benötigen Sie einen Besitzfaktor, einen Wissensfaktor, einen Inhärenzfaktor und einen Standortfaktor.

Was ist Zwei-Faktor-Authentifizierung?

Die Zwei-Faktor-Authentifizierung (2FA) ist eine Form der Multi-Faktor-Authentifizierung. Nutzer bestätigen ihre Identität und erhalten Zugriff auf ein System, indem zwei verschiedene Authentifizierungsfaktoren kombiniert werden. Beispielsweise benötigen Sie am Geldautomaten Ihre Karte (Besitzfaktor) und Ihre PIN (Wissensfaktor), um Geld abzuheben. Bei den meisten Systemen mit Zwei-Faktor-Authentifizierung ist der Wissensfaktor (PIN oder Passwort) der erste Authentifizierungsschritt. Ein zweiter Faktor kann beispielsweise Besitz-, Inhärenz- oder Standortfaktor sein.

Warum benötigen Sie 2FA?

Sie haben sich sicher schon einmal gefragt: „Warum der ganze Aufwand mit einer zusätzlichen Schutzebene ? Ich habe doch sichere Passwörter für alle meine Konten. Ich brauche keine zusätzliche Sicherheit.“ In gewisser Weise haben Sie Recht, wenn Sie sagen, dass Ihre Passwörter sicher sind. Allerdings hat die Zahl der Webseiten, die Nutzerdaten verlieren, in letzter Zeit sprunghaft zugenommen. Unternehmen, die in ihrer Sicherheitstechnik stagnieren und weiterhin veraltete Systeme nutzen, können den modernen Bedrohungen und Angriffen von Hackern nicht standhalten. Die Auswirkungen von Cyberkriminalität auf Unternehmen, Webseiten, gemeinnützige Organisationen und ähnliche Einrichtungen sind verheerend, aber auch die Nutzer selbst leiden unter diesen Angriffen. Die dabei gestohlenen Zugangsdaten werden verwendet, um gefälschte Kreditkarten zu erhalten, die die Kreditwürdigkeit der Opfer schädigen. Laut einer Studie aus dem Jahr 2016 wurden mehr als 16 Milliarden US-Dollar von über 15 Millionen US-Verbrauchern gestohlen, und in den letzten sechs Jahren haben Identitätsdiebe über 105 Milliarden US-Dollar erbeutet . Dies beweist, dass Webseiten und Unternehmen ihren Nutzern eine bessere Sicherheit bieten müssen.

Die Nutzer haben Passwörter nach und nach zu einer weniger zuverlässigen Authentifizierungsmethode gemacht. Zwar ist ein Passwort besser als gar kein Schutz, doch sind Passwörter nicht unfehlbar.

• Schlechtes Gedächtnis: Eine Studie mit 1,4 Milliarden gestohlenen Passwörtern zeigte, dass ein Großteil davon viel zu einfach war. Zu den beliebtesten Passwörtern zählten „123456“, „111111“, „123456789“, „password“ und „qwerty“. Zwar lassen sich diese Passwörter leicht merken, doch ein versierter Hacker bräuchte nicht viel Zeit, um sie zu knacken.
• Passwortmüdigkeit: Während manche Nutzer immer wieder schwache Passwörter erstellen, verstehen andere, warum ein komplexes Passwort den besten Schutz für ihre Konten bietet. Doch mit der Zeit lässt die Motivation dieser Nutzer nach, wenn sie immer wieder sehen, wie leicht Nutzerdaten im Darknet in Umlauf geraten. Schließlich begnügen sie sich mit schwächeren Passwörtern.
• Mehrere Konten: Da heutzutage fast alles online verfügbar ist, ist es üblich, mehrere Online-Konten anzulegen. Für jedes neue Konto wird ein neues, komplexes Passwort erwartet. Doch ist das überhaupt machbar? Zu viele Passwörter verleiten schnell zum „Passwort-Recycling“. Hacker freuen sich darüber, denn warum? Schon wenige Sekunden, in denen sie gestohlene Anmeldedaten testen, genügen ihnen, um Zugriff auf eines Ihrer Konten zu erlangen. Sobald sie das geschafft haben, müssen sie dieselben Daten nur noch für andere Ihrer Konten ausprobieren. Wenn Sie sich das Passwort-Recycling angewöhnt haben – und das ist sehr wahrscheinlich –, können Hacker auch auf diese Konten zugreifen.

Nachdem Sie nun gesehen haben, wie angreifbar Sie für Hacker sind, wenn Sie Ihre Konten ausschließlich mit Passwörtern schützen, wissen Sie, dass die Zwei-Faktor-Authentifizierung (2FA) das Mindeste ist, was Sie für mehr Sicherheit tun können. Angenommen, Ihr Passwort wird gestohlen: Selbst wenn Sie 2FA für Ihr Konto eingerichtet haben, benötigt ein Hacker Zugriff auf Ihre Zwei-Faktor-Informationen, um sich Zugang zu verschaffen.

Arten der Zwei-Faktor-Authentifizierung

Es gibt heutzutage verschiedene Zwei-Faktor-Authentifizierungsverfahren , die zwar stärker und komplexer als die anderen sind, aber alle einen besseren Schutz bieten als Passwörter allein.

Zwei-Faktor-Authentifizierung per SMS und Sprache

Die Zwei-Faktor-Authentifizierung erfolgt meist über Ihr Mobiltelefon und ist somit eine praktische Alternative zum Mitführen eines weiteren physischen Geräts nur zur Authentifizierung. Sie können Ihr Gerät mit Ihrem Code entsperren, woraufhin Ihnen ein Einmalpasswort (OTP) per SMS zugesendet wird. Dieses besteht in der Regel aus 4 bis 6 Ziffern. Ähnlich wie bei der SMS-basierten Zwei-Faktor-Authentifizierung werden Sie bei der Sprach-basierten Zwei-Faktor-Authentifizierung angerufen und Ihnen das OTP diktiert.

Bis 2018 entwickelte sich SMS zur meistgenutzten Methode der Multi-Faktor-Authentifizierung für Verbraucherkonten.Sicherheitsexperten kritisieren jedoch die Verwendung von SMS- und sprachbasierter Zwei-Faktor-Authentifizierung als unsichere Methode, da sie leicht durch Abhören oder SIM-Karten-Klonen manipuliert werden kann.

Für Ihre Konten und Websites, die Ihre persönlichen Daten enthalten, sollten Sie sich daher nicht allein auf SMS- oder sprachbasierte Zwei-Faktor-Authentifizierung verlassen, um maximale Sicherheit zu gewährleisten.

Hardware-Tokens

Es handelt sich dabei meist um kleine, schlüsselanhängerähnliche Geräte , die wohl älteste Form der Zwei-Faktor-Authentifizierung (2FA). Hardware-Token können entweder angeschlossen oder getrennt sein. Getrennte Hardware-Token generieren alle 30 Sekunden einen neuen numerischen Code und zeigen ihn auf einem integrierten Display an. Diesen Code müssen Sie eingeben, um auf Ihr Konto zuzugreifen. Angeschlossene Hardware-Token hingegen erfordern lediglich, dass Sie den Token an den verwendeten Computer anschließen. Der Code wird automatisch an das System übertragen.

Diese Methode der Multi-Faktor-Authentifizierung ist zwar sicherer, aber nicht völlig vor Hackerangriffen geschützt. Aufgrund ihrer geringen Größe kann man sie außerdem leicht verlegen. Für Unternehmen ist die Herstellung dieser Token zudem zu teuer.

Software-Tokens

In letzter Zeit haben sich Software-Token als beliebteste Methode zur Zwei-Faktor-Authentifizierung etabliert und sind SMS- und sprachbasierter 2FA vorzuziehen. Sie müssen eine 2FA-App auf Ihrem Smartphone oder PC installieren. Wenn Sie sich auf einer Website anmelden, die diese Authentifizierungsmethode unterstützt, und Ihren Benutzernamen und Ihr Passwort eingeben, wird ein Software-Token oder ein zeitbasierter Einmalcode (TOTP) generiert und an die 2FA-App gesendet. Sie werden dann aufgefordert, diesen einzugeben.

Der Software-Token hat sich zur am häufigsten verwendeten Form der Zwei-Faktor-Authentifizierung entwickelt, da der Code auf demselben Gerät generiert und verwendet wird, was die Möglichkeit des Abfangens durch Hacker verringert – ein wichtiger Aspekt bei der Verwendung von SMS- und sprachbasierten 2FA-Verfahren.

Push-Benachrichtigung

Eine weitere Option, die die meisten Websites und Apps nutzen, ist das Versenden einer Push-Benachrichtigung an ihre Nutzer, um sie über einen Authentifizierungsversuch zu informieren. Diese Benachrichtigung wird an jedes Gerät gesendet, das Sie als sicher registriert haben. Sie müssen den Authentifizierungsversuch nach Prüfung der Details entweder bestätigen oder ablehnen. Sie müssen weder ein Passwort noch einen Code eingeben.

Push-Benachrichtigungen minimieren das Risiko von Man-in-the-Middle-Angriffen, Phishing und unberechtigtem Zugriff . Sie sind zwar die mit Abstand sicherste Form der Zwei-Faktor-Authentifizierung für Endverbraucher, erfordern jedoch eine Internetverbindung und ein Smartphone mit installierten Apps.

Biometrie

Biometrische Zwei-Faktor-Authentifizierung (2FA), die der Öffentlichkeit noch nicht ohne Weiteres zur Verfügung steht, betrachtet den Nutzer als Token. Die Identitätsprüfung mittels Fingerabdrücken, Gesichtserkennung und Netzhautmustern wird bereits für biometrische 2FA eingesetzt. Tastaturanschlagmuster, Stimmprofile, Umgebungsgeräusche und Pulsdaten gehören jedoch zu den Methoden, die für die zukünftige Multi-Faktor-Authentifizierung erforscht werden.

Dienste mit 2FA

Im Folgenden stellen wir einige der beliebtesten Dienste vor, die über eine 2FA-Funktion verfügen, um Ihre Sicherheit auf möglichst vielen Apps und Websites zu erhöhen.

Google 2-Schritt-Verifizierung

Google ist sich bewusst, dass sich fast Ihr gesamtes Leben auf Google abspielt. Deshalb hat das Unternehmen 2010 mit der Entwicklung eines 2FA-Systems begonnen, der sogenannten Zwei-Schritt-Verifizierung . Wenn die Zwei-Schritt-Verifizierung für Ihr Google-Konto aktiviert ist, können Sie die Google-Benachrichtigung nutzen. Stellen Sie einfach sicher, dass die Google-Such-App auf Ihrem Smartphone installiert ist. Jedes Mal, wenn Sie sich auf einem beliebigen Gerät in Ihr Google-Konto einloggen, erhalten Sie eine Push-Benachrichtigung. Tippen Sie einfach darauf, um die Anmeldung zu bestätigen .

Sie können auch die Google Authenticator App verwenden, um einen Bestätigungscode zu generieren , insbesondere wenn Ihr Smartphone nicht mit dem Internet verbunden ist. Dafür müssen Sie sich jedoch zuvor für die zweistufige Bestätigung registriert haben. Auf Ihrem Bildschirm wird ein QR-Code angezeigt, den Sie scannen müssen. Anschließend erhalten Sie einen zeit- oder zählerbasierten Code, den Sie eingeben müssen. 

Sie können auch eine Telefonnummer auswählen, an die Sie Codes erhalten möchten, oder 10 ungenutzte Codes anfordern, die Sie sich für Notfälle notieren können. Diese Einstellungen finden Sie in den Sicherheitseinstellungen Ihres Google-Kontos .

Facebook-Zwei-Faktor-Authentifizierung

Gehen Sie beim Anmelden bei Facebook auf Ihrem Desktop zu „Sicherheit “ und melden Sie sich unter „Einstellungen“ an. Dort finden Sie die Option „Zwei-Faktor-Authentifizierung“. Klicken Sie auf „Bearbeiten“ und wählen Sie Ihre zweite Authentifizierungsmethode. Wir empfehlen die Verwendung einer Authentifizierungs-App. Facebook generiert einen QR-Code auf Ihrem Desktop-Bildschirm, den Sie mit der Authentifizierungs-App auf Ihrem Smartphone scannen. Immer wenn Sie sich bei Facebook anmelden und nach Ihrem sechsstelligen Code gefragt werden, öffnen Sie Ihre Authentifizierungs-App und rufen Sie den Code dort ab. Wie bei Google erhalten Sie auch eine Liste mit 10 Wiederherstellungscodes für Notfälle, falls Sie Ihr Smartphone nicht dabei haben. Bewahren Sie diese Codes an einem sicheren Ort auf.

Instagram Zwei-Faktor-Authentifizierung

Gehen Sie zu Ihrem Profil und tippen Sie oben rechts auf das Menüsymbol (drei Striche). Wählen Sie „Einstellungen“ > „Datenschutz und Sicherheit“ > „Zwei-Faktor-Authentifizierung“ und legen Sie fest, wohin Ihre Authentifizierung gesendet werden soll. Sie können entweder „ SMS“ oder „Authentifizierungs-App“ aktivieren . Sie werden durch die Einrichtung geführt. Außerdem erhalten Sie fünf Wiederherstellungscodes, die Sie zukünftig für die Anmeldung von anderen Geräten verwenden können.

WhatsApp-Zwei-Faktor-Authentifizierung

Neben der Ende-zu-Ende-Verschlüsselung bietet WhatsApp auch eine Zwei-Faktor-Authentifizierung, um seine Nutzer zusätzlich vor Spionage und Hacking zu schützen . Gehen Sie einfach in Ihre Einstellungen , dann zu „Konto“ und tippen Sie auf „Aktivieren“ , um die Zwei-Faktor-Authentifizierung zu aktivieren . Sie müssen eine sechsstellige PIN erstellen und eine E-Mail-Adresse angeben, falls Sie die Authentifizierung einmal deaktivieren möchten. Jedes Mal, wenn Sie sich von WhatsApp abmelden oder sich mit einem anderen Gerät anmelden, müssen Sie Ihre PIN erneut eingeben.

Twitter-Anmeldebestätigung

Klicken Sie auf Ihrem Desktop auf Ihr Profilbild und wählen Sie in der Dropdown-Liste „ Einstellungen und Datenschutz“ . Klicken Sie anschließend auf „Anmeldebestätigung einrichten“ . Geben Sie nun Ihr Twitter-Passwort ein und verknüpfen Sie gegebenenfalls eine Telefonnummer mit Ihrem Konto. Tippen Sie in der mobilen App auf Ihr Profilbild und gehen Sie zu „ Einstellungen und Datenschutz“ . Unter „Sicherheit“ im Kontomenü können Sie die Anmeldebestätigung aktivieren oder deaktivieren .

Sie können sich auch eine Liste mit Codes anzeigen lassen, die Sie im Notfall oder wenn Sie keinen Zugriff auf Ihr Gerät haben, verwenden können.

Apple Zwei-Faktor-Authentifizierung

iOS- und Mac-Nutzer können den Zugriff auf iCloud, iTunes, App Store, Apple Books und Apple Music mit der Zwei-Faktor-Authentifizierung (2FA) schützen. Melden Sie sich auf Ihrer „Meine Apple-ID“-Seite an . Gehen Sie zu „Sicherheit“ > „Zwei-Faktor-Authentifizierung “ und klicken Sie auf „ Los geht’s“ . Sie werden durch die notwendigen Schritte geführt, um die Zwei-Faktor-Authentifizierung für Ihr/Ihre Apple-Gerät(e) einzurichten. Wenn Sie iOS verwenden, gehen Sie zu „Einstellungen“ > „Ihr Name“ > „Passwort & Sicherheit“ > „Zwei-Faktor-Authentifizierung aktivieren“ .

Um die Einrichtung abzuschließen, müssen Sie zwei Ihrer drei Sicherheitsfragen beantworten, Ihre Kreditkarteninformationen erneut bestätigen und eine gültige Telefonnummer angeben. Wenn die Telefonnummer zum selben Telefon gehört, wird der Code automatisch eingegeben, sobald Sie ihn erhalten.

Ähnlich wie bei anderen Plattformen können Sie sich bei Bedarf einen Code zum Anmelden zusenden lassen. Gehen Sie auf Ihrem iOS-Gerät zu iCloud-Einstellungen > tippen Sie auf Ihren Benutzernamen > geben Sie Ihr Apple-ID-Passwort ein > Passwort & Sicherheit > Bestätigungscode anfordern .

Viele andere Plattformen bieten eine Zwei-Faktor-Authentifizierung an, wie beispielsweise die Zwei-Faktor - Authentifizierung von Microsoft , Amazon , Yahoo Account Key , Reddit , Slack , Dropbox , PayPal , WordPress und Fortnite .

Zu den Hauptursachen für Sicherheitslücken zählen gestohlene, wiederverwendete und schwache Passwörter. Da Passwörter nach wie vor die wichtigste Methode von Unternehmen sind, ihre Nutzer und deren Daten zu schützen, ist es für Sie als Nutzer wichtig, Ihre wichtigen Informationen nicht auf Apps und Websites zu speichern, die keine zusätzliche Sicherheitsebene in Form von Zwei-Faktor-Authentifizierung oder anderen Formen der Multi-Faktor-Authentifizierung bieten.