Zwei-Faktor-Authentifizierung: Schütze deine Online-Konten

Die Zwei-Faktor-Authentifizierung (2FA) ist die einfachste und stärkte Methode, um Online-Konten zu schützen. Immer mehr Dienste bieten 2FA als zusätzliche Option an. Oft lässt sich der Schutz mit nur wenigen Klicks einrichten. Doch viele Plattformen verwenden unterschiedliche Begriffe für Zwei-Faktor-Authentifizierung. 

Facebook nennt die Zwei-Faktor-Authentifizierung Anmeldebestätigung und bei PayPal heißt die Option Sicherheitsschlüssel. Die meisten Online-Dienste bringen die 2FA jedoch in den Einstellungen unter der Option Sicherheit unter.

Zwei-Faktor-Authentifizierung: Schütze deine Online-Konten

Doch was macht die Zwei-Faktor-Authentifizierung so sicher und gibt es Risiken? Die 2FA verlangt vom Benutzer zusätzlich zu den normalen Login-Daten wie E-Mail-Adresse und Passwort (1. Faktor) ein PIN über einen 2. Faktor. Der PIN wird beispielsweise via SMS auf das Handy zugestellt, über eine Authentifizierungs-App erstellt oder über einen Hardware-Schlüssel berechnet.

Für den Fall, dass Hacker oder andere unbefugte Dritte den Benutzername und Passwort kennen, ist ein Login nicht möglich, solange der kurzfristig gültige PIN über den 2. Faktor nicht bekannt ist. Das ist deshalb wichtig, da Benutzer dazu tendieren die gleichen Login-Informationen für mehrere Online-Dienste zu nutzen.

Wird einer dieser Dienste gehackt, können die Angreifer mit gestohlenen Login-Informationen sich bei anderen Diensten anmelden. Ist die 2FA aktiviert, sind die gestohlenen Login-Informationen wertlos.

Die Zwei-Faktor-Authentifizierung ist nicht die einzige und nicht die beste Vorsichtsmaßnahme, die Benutzer ergreifen sollten. 2FA ist jedoch ein einfacher und wirkungsvoller Weg für zusätzliche Sicherheit im Internet.

Für zusätzlichen Komfort merken sich viele Dienste einen mit der Zwei-Faktor-Authentifizierung angemeldeten Computer. Das erspart die Eingabe von Benutzername, Passwort und PIN bei jedem Login. Dann wird der 2. Faktor nur bei unbekannten Geräten, beispielsweise ein neuer Laptop, erfragt.

Die nachfolgende Liste ist nicht vollständig, soll jedoch dazu anregen, dass ihr euch Gedanken um den zusätzlichen Schutz eurer Online-Konten macht.

• Amazon
• Apple iCloud
• Boxcryptor
• Dropbox
• Facebook
• Gmail und Google
• Instagram
• LinkedIn
• Nextcloud 10
• Outlook.com und Microsoft
• PayPal
• Slack
• Snapchat
• Twitter
• WhatsApp
• WordPress
• Yahoo Mail

Eine vollumfassende Liste an Webseiten und Dienste findet ihr auf Two Factor Auth.

Jeder Handlung die eine Authentifizierung benötigt, vom Aufschließen des Autos mit einem Schlüssel über den Login für die E-Mails mit einem Passwort, benötigt etwas das der Benutzer weiß (Passwort) etwas das der Benutzer hat (einen Schlüssel oder Smartphone) oder etwas das der Benutzer ist (Fingerabdruck oder Stimme).

Werden diese Anmeldemethoden zur 2FA oder Multi-Faktor-Authentifizierung kombiniert, verbessert sich die Sicherheit. Diese zusätzliche Sicherheitsschicht schützt das Online-Konto vor dem Fall, dass Benutzername und Passwort gestohlen werden.

Ein sicheres Passwort ist absolut wichtig und wird durch die 2FA nicht irrelevant. Da sich Passwörter aber relativ leicht stehlen lassen, beispielsweise durch Lauschangriffe in öffentlichen WLANs oder Phishing-Attacken, ist ein 2. Faktor ein notwendiger Schutz. Angreifer benötigen jetzt nicht nur Benutzername und Passwort sondern physischen Zugriff auf den 2. Faktor.

Der 2. Faktor kann unterschiedliche Formen annehmen. Dazu gehören beispielsweise:

• Einmaliger Anmeldecode via SMS
• Eine Authentifizierungs-App erstellt ein zeitlich limitiertes Einmal-Passwort, beispielsweise über den Google Authenticator oder Authy (time-based one-time password (TOTP))
• Ausgedruckte Backup-Codes
• Ein Hardware-Schlüssel wie der YubiKey

Keine der Methoden ist perfekt und jede hat ihr Vor- und Nachteile. SMS wird am häufigsten verwendet, setzt jedoch den sofortigen Zugriff auf das Handy voraus. Zudem mehren sich in den USA Attacken auf diesen Faktor, in dem durch einen Angriff die Mobilfunknummer zu einem anderen Mobilfunkanbieter portiert wird. Auch kann die SMS durch den Mobilfunkanbieter oder Dritte angefangen werden.

Der YubiKey mag die sicherste und eine leicht zu verwendende 2FA Methode sein, wird aber von den meisten Diensten nicht unterstützt. Zudem ist er durch seine kleine Größe leicht zu verlieren. Authentifizierungs-Apps mögen ein guter Mittelweg sein, schließen jedoch Benutzer ohne Smartphone aus.

Persönliche Meinung

Egal für welche 2FA Methode man sich entscheidet, jede Zwei-Faktor-Authentifizierung ist besser als keine. Das heißt aber nicht, dass man sich keine Mühe mehr beim Passwort geben muss. Ein sicheres Passwort ist weiterhin unverzichtbar.