Zweiter Faktor
Ein zweiter Faktor ist ein zusätzlicher Nachweis beim Anmelden, der neben dem Passwort verlangt wird – etwa ein Zahlencode aus einer App oder ein kleiner USB-Stick. Wer nur das Passwort kennt, kommt damit nicht mehr in das Konto.
Wenn du dich bei einem Online-Dienst anmeldest, musst du beweisen, dass du wirklich der Kontoinhaber bist. Normalerweise reicht dafür ein Passwort. Ein Passwort ist aber nur ein einziger Nachweis – und es kann geraten, abgeschaut oder bei einem Einbruch in die Datenbank des Anbieters gestohlen werden. Deshalb verlangen viele Dienste einen zweiten, unabhängigen Nachweis. Das kann ein sechsstelliger Zahlencode sein, den eine App auf deinem Handy alle 30 Sekunden neu erzeugt. Dieser zusätzliche Nachweis heißt zweiter Faktor, und das ganze Verfahren nennt man Zwei-Faktor-Authentifizierung.
Was ein gestohlenes Passwort dann noch wert ist
Passwörter sind das schwächste Glied der digitalen Sicherheit. Jedes Jahr tauchen Listen mit Milliarden gestohlener Zugangsdaten im Netz auf. Viele Menschen benutzen dasselbe Passwort für mehrere Dienste. Angreifer probieren gestohlene Kombinationen darum automatisch bei hunderten Seiten durch. Dieser Trick hat einen eigenen Namen: Credential Stuffing.
Ein zweiter Faktor entschärft genau dieses Problem. Der Angreifer sitzt vielleicht in einem anderen Land und hat dein Passwort. Dein Handy hat er aber nicht. Ohne den Code aus der App bleibt die Tür zu. Microsoft hat mehrfach berichtet, dass Konten mit zweitem Faktor um mehr als 99 Prozent seltener übernommen werden.
Deshalb ist der zweite Faktor inzwischen oft keine freiwillige Option mehr. Banken müssen ihn in der EU bei Zahlungen anbieten, weil eine Richtlinie namens PSD2 das vorschreibt. Große Plattformen wie GitHub oder Google haben ihn für bestimmte Nutzergruppen zur Pflicht gemacht. Auch Arbeitgeber verlangen ihn für Firmenzugänge fast durchgängig.
Wissen, Besitz, Körper: die drei Sorten von Nachweisen
Fachleute unterscheiden drei Kategorien von Nachweisen. Erstens etwas, das man weiß: ein Passwort oder eine PIN. Zweitens etwas, das man besitzt: ein Handy, eine Chipkarte, ein kleiner USB-Stick. Drittens etwas, das man ist: ein Fingerabdruck oder ein Gesichtsscan. Entscheidend ist, dass die beiden Faktoren aus verschiedenen Kategorien kommen. Zwei Passwörter hintereinander sind kein echter zweiter Faktor, weil ein einziger Datendiebstahl beide verraten kann.
Die häufigste Variante ist heute eine App wie Google Authenticator oder Aegis. Beim Einrichten scannst du einen QR-Code. Damit bekommen App und Dienst dasselbe geheime Startwert-Geheimnis. Aus diesem Geheimnis und der aktuellen Uhrzeit berechnen beide Seiten unabhängig denselben Code. Der Code läuft nach kurzer Zeit ab, deshalb nützt er einem Angreifer später nichts.
Nicht jeder zweite Faktor ist gleich sicher. Codes per SMS gelten als schwach, weil Kriminelle Telefonnummern auf ihre eigene SIM-Karte umschreiben lassen können. Auch App-Codes lassen sich abfangen, wenn dich eine gefälschte Login-Seite zur Eingabe verleitet. Am sichersten sind Hardware-Schlüssel nach dem FIDO2-Standard. Sie prüfen mit, für welche Internetadresse sie sich anmelden, und verweigern gefälschten Seiten die Antwort.
Vom Bank-Login bis zum Passkey auf dem Handy
Im Alltag begegnet dir der zweite Faktor am deutlichsten beim Online-Banking. Jede Überweisung muss mit einer TAN aus der Banking-App bestätigt werden. Ähnlich läuft es bei Instagram, Steam oder deinem Schul-Account, sobald du die Funktion in den Sicherheitseinstellungen aktivierst. Meist bekommst du dort auch Ersatzcodes zum Ausdrucken. Die solltest du aufbewahren – bei einem verlorenen Handy sind sie oft der einzige Weg zurück ins Konto.
In Nachrichten über Hackerangriffe ist der zweite Faktor fast immer Thema. Nach dem Angriff auf den Fahrdienst Uber im Jahr 2022 wurde bekannt, dass ein Mitarbeiter durch Dutzende Push-Anfragen so genervt war, dass er eine bestätigte. Solche Angriffe heißen MFA-Fatigue, also Ermüdung durch zu viele Bestätigungsanfragen. Sie zeigen: Technik allein schützt nicht, der Mensch bleibt Teil des Systems.
Aktuell verschiebt sich das Thema in Richtung Passkeys. Dabei ersetzt ein im Gerät gespeicherter kryptografischer Schlüssel das Passwort komplett, freigegeben per Fingerabdruck oder Gesicht. Der Nachweis wird also nicht zweigeteilt, sondern von Grund auf anders gebaut. Wer sich mit dem zweiten Faktor auskennt, versteht diese Entwicklung leichter – es ist derselbe Grundgedanke: Ein einzelnes geklautes Geheimnis darf nicht ausreichen.