Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung, einfach erklärt

Bei der Zwei-Faktor-Authentifizierung, kurz 2FA, reicht das Passwort allein nicht aus. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt es so: Die beiden Faktoren müssen aus verschiedenen Kategorien stammen, nämlich Wissen wie Passwort oder PIN, Besitz wie eine Chipkarte, ein TAN-Generator oder ein Smartphone, oder Biometrie wie ein Fingerabdruck. Zwei Passwörter sind deshalb keine 2FA.

Gängige Verfahren sind Einmalcodes (TAN oder OTP), die ein Generator oder eine Authenticator-App erzeugt. Das BSI nennt TAN-Generatoren und Authenticator-Apps ausdrücklich besser als Papierlisten mit TANs, die seit geraumer Zeit als nicht mehr sicher genug gelten. Auch Verfahren, die zwei Faktoren direkt kombinieren, wie die Online-Ausweisfunktion des Personalausweises, bieten laut BSI noch größere Sicherheit als die Prüfung nacheinander.

Der Nutzen liegt darin, dass ein gestohlenes Passwort allein nichts mehr nützt. Das BSI rät, die Zwei-Faktor-Authentisierung zu nutzen, sobald ein Dienst sie anbietet, und sie nicht zu deaktivieren. Die Nachteile sind klein, aber real: Die Anmeldung dauert etwas länger, und wer den zweiten Faktor verliert, verliert in der Regel den Zugang. Für diesen Fall braucht es einen geplanten Weg zur Wiederherstellung.

Für Web-Apps und Portale heißt das: Entscheiden Sie vor dem Bau, wer sich mit welchem Schutz anmeldet. Interne Administratoren brauchen mehr Schutz als Kunden, die nur ihren Auftragsstand ansehen. Dieser Eintrag ist eine Orientierung.