Mehrfaktor-Authentifizierung

Wer sich bei einem Online-Dienst anmeldet, muss beweisen, dass er wirklich der Kontoinhaber ist. Klassisch geschieht das mit einem Passwort. Passwörter werden aber erraten, abgefangen oder bei einem Einbruch in eine Firmendatenbank massenhaft gestohlen. Bei der Mehrfaktor-Authentifizierung verlangt der Dienst deshalb mindestens zwei verschiedene Nachweise. Erst wenn beide stimmen, öffnet sich das Konto. Ein Angreifer, der nur das Passwort kennt, steht dann vor einer zweiten verschlossenen Tür.

Was ein gestohlenes Passwort dann noch wert ist

Passwörter sind der schwächste Punkt fast jedes Systems. Viele Menschen benutzen dasselbe Passwort für mehrere Dienste. Taucht es einmal in einem geleakten Datensatz auf, probieren Angreifer es automatisiert bei hunderten anderen Seiten durch. Dieses Verfahren heißt Credential Stuffing und läuft vollautomatisch ab, ohne dass ein Mensch mitliest.

Ein zweiter Faktor macht solche Massenangriffe weitgehend wirkungslos. Der Angreifer müsste zusätzlich das Handy oder den Sicherheitsschlüssel des Opfers besitzen. Das lohnt sich nicht mehr, wenn man Millionen Konten gleichzeitig angreifen will. Große Anbieter berichten, dass ein zweiter Faktor die allermeisten automatisierten Übernahmeversuche stoppt.

Deshalb ist Mehrfaktor-Authentifizierung inzwischen oft Pflicht, nicht nur Empfehlung. Banken müssen sie in der EU bei Zahlungen anbieten. Viele Unternehmen schreiben sie ihren Mitarbeitern vor, und Versicherungen gegen Cyberschäden verlangen sie als Bedingung. Auch KI-Dienste mit Zugriff auf Firmendaten sichern ihre Konten so ab.

Wissen, Besitz und Biometrie als drei Sorten von Nachweis

Fachleute unterscheiden drei Kategorien von Faktoren. Der erste ist Wissen: etwas, das nur du kennst, also Passwort oder PIN. Der zweite ist Besitz: etwas, das nur du hast, etwa dein Handy oder ein kleiner USB-Stick als Sicherheitsschlüssel. Der dritte ist Biometrie: etwas, das du bist, also Fingerabdruck oder Gesicht.

Entscheidend ist, dass die Faktoren aus verschiedenen Kategorien stammen. Zwei Passwörter hintereinander sind keine echte Mehrfaktor-Authentifizierung. Wer beide errät, hat trotzdem alles. Zwei unabhängige Kategorien muss ein Angreifer dagegen auf zwei völlig verschiedenen Wegen knacken.

Am häufigsten ist heute ein sechsstelliger Zahlencode. Eine App auf dem Handy erzeugt ihn aus einem geheimen Startwert und der aktuellen Uhrzeit. Der Server rechnet dasselbe und vergleicht. Nach dreißig Sekunden ist der Code ungültig. Codes per SMS funktionieren ähnlich, gelten aber als unsicherer, weil Angreifer Mobilfunknummern übernehmen können.

Ein verbreiteter Irrtum ist, dass ein zweiter Faktor gegen alles schützt. Bei einer gefälschten Anmeldeseite tippt das Opfer Passwort und Code ein, und der Angreifer leitet beides sofort weiter. Nur Hardware-Schlüssel und Passkeys verhindern das zuverlässig, weil sie prüfen, mit welcher Internetadresse sie sprechen.

Vom Bank-Login bis zum Passkey auf dem Smartphone

Beim Online-Banking ist das Verfahren längst Alltag. Man gibt Zugangsdaten ein und bestätigt die Überweisung dann in einer App oder mit einem TAN-Gerät. Auch E-Mail-Anbieter, soziale Netzwerke und Spieleplattformen bieten die Funktion an. Meist findet man sie in den Einstellungen unter Sicherheit oder Anmeldung.

In den Nachrichten taucht der Begriff vor allem nach großen Hackerangriffen auf. Oft heißt es dann, ein Konto ohne zweiten Faktor sei der Einstiegspunkt gewesen. Sicherheitsbehörden wie das BSI in Deutschland empfehlen die Aktivierung ausdrücklich für alle wichtigen Konten.

Der aktuelle Trend geht zu Passkeys. Dabei liegt ein digitaler Schlüssel im Handy oder Laptop, freigeschaltet per Fingerabdruck oder Gesicht. Passwort und Code entfallen komplett. Technisch bleibt es Mehrfaktor-Authentifizierung, denn es kombiniert Besitz des Geräts mit Biometrie. Für Nutzer fühlt es sich aber einfacher an als jede Tipperei.