Zwei-Faktor-Authentifizierung

Wenn du dich bei einem Onlinedienst anmeldest, musst du normalerweise beweisen, dass du wirklich der Kontoinhaber bist. Meist geschieht das mit einem Passwort. Ein Passwort hat aber eine Schwäche: Wer es kennt, kommt hinein. Die Zwei-Faktor-Anmeldung verlangt deshalb einen zweiten, unabhängigen Nachweis. Das kann ein sechsstelliger Zahlencode sein, der auf deinem Handy erscheint und nach 30 Sekunden ungültig wird. Erst Passwort und Code zusammen öffnen das Konto. Das Prinzip ähnelt dem Geldautomaten: Die Karte allein genügt nicht, und die Geheimzahl allein auch nicht.

Was ein gestohlenes Passwort dann noch wert ist

Passwörter werden ständig gestohlen. Manchmal werden ganze Kundendatenbanken von Firmen kopiert und im Internet verkauft. Manchmal tippt jemand sein Passwort auf einer gefälschten Anmeldeseite ein, die einer echten zum Verwechseln ähnlich sieht. Solche Täuschungsversuche nennt man Phishing. Millionen Zugangsdaten sind auf diesem Weg schon in falsche Hände geraten.

Mit einem zweiten Faktor ist ein gestohlenes Passwort für sich allein wertlos. Der Angreifer sitzt vielleicht in einem anderen Land und hat dein Handy nicht. Große Anbieter berichten, dass ein zweiter Faktor die überwiegende Mehrheit automatisierter Angriffe auf Konten stoppt. Deshalb schreiben Banken in der EU inzwischen gesetzlich zwei Faktoren für Onlinezahlungen vor.

Ein zweiter Faktor ersetzt aber kein gutes Passwort. Er ist eine zusätzliche Hürde, kein Ausgleich für Nachlässigkeit. Wer dasselbe schwache Passwort überall benutzt, hat trotzdem ein Problem — etwa bei Diensten ohne zweiten Faktor.

Wissen, Besitz und Körpermerkmal als die drei Kategorien

Fachleute unterscheiden drei Arten von Nachweisen. Erstens etwas, das man weiß: Passwort oder PIN. Zweitens etwas, das man besitzt: ein Handy, ein kleiner USB-Stecker als Sicherheitsschlüssel, eine Bankkarte. Drittens etwas, das man ist: Fingerabdruck oder Gesicht. Entscheidend ist, dass die beiden Faktoren aus verschiedenen Kategorien kommen. Zwei Passwörter hintereinander sind kein Zwei-Faktor-Verfahren.

Am häufigsten sind wechselnde Zahlencodes. Eine App auf dem Handy und der Server teilen ein gemeinsames Geheimnis, das beim Einrichten meist per QR-Code übertragen wird. Aus diesem Geheimnis und der aktuellen Uhrzeit berechnen beide unabhängig denselben Code. Deshalb muss die App keine Internetverbindung haben, und deshalb läuft der Code nach kurzer Zeit ab.

Nicht alle Verfahren sind gleich sicher. Codes per SMS gelten als die schwächste Variante, weil Kriminelle Telefonnummern auf fremde SIM-Karten umschreiben lassen können. Auch einen App-Code kann man erbeuten, wenn das Opfer ihn auf einer gefälschten Seite eintippt. Ein physischer Sicherheitsschlüssel prüft dagegen selbst, ob die Webseite echt ist, und schützt so auch gegen Phishing.

Von der Banking-App bis zur Passkey-Anmeldung

Im Alltag begegnet dir das Verfahren ständig. Eine Überweisung im Onlinebanking muss meist in einer zweiten App auf dem Handy freigegeben werden. Bei Instagram, Steam oder deinem Schul-Account kannst du 2FA in den Sicherheitseinstellungen einschalten. Dort bekommst du auch Ersatzcodes zum Ausdrucken — wichtig, falls das Handy verloren geht.

In Nachrichten über Hackerangriffe auf Firmen ist fehlende Zwei-Faktor-Anmeldung ein Dauerthema. Oft genügte ein einziger Zugang ohne zweiten Faktor, um in ein Firmennetz zu gelangen. Viele Cyberversicherungen verlangen inzwischen den Nachweis, dass alle Mitarbeiterkonten geschützt sind.

Aktuell verschiebt sich die Technik in Richtung Passkeys. Dabei ersetzt ein im Gerät gespeicherter kryptografischer Schlüssel das Passwort, freigegeben per Fingerabdruck oder Gesichtsscan. Besitz des Geräts und Körpermerkmal stecken dann in einem einzigen Anmeldeschritt. Der Umweg über einen getippten Code entfällt — das Grundprinzip von zwei unabhängigen Nachweisen bleibt aber erhalten.