Step-up-Authentifizierung
Step-up-Authentifizierung ist ein Sicherheitsverfahren, bei dem ein System mitten in einer Sitzung eine zusätzliche Identitätsprüfung verlangt — aber nur dann, wenn eine Aktion besonders heikel ist. So bleibt der Alltag bequem, ohne die Sicherheit zu opfern.
Wer eine App öffnet, meldet sich einmal an — und ist dann drin. Doch manche Aktionen sind riskanter als andere. Eine Banking-App lässt dich dein Guthaben sehen, ohne nachzufragen. Willst du aber 5.000 Euro überweisen, verlangt sie plötzlich eine PIN oder einen Fingerabdruck. Genau das ist Step-up-Authentifizierung: Das System stuft die Sicherheitsanforderung mitten in der Sitzung hoch — nicht pauschal für alles, sondern gezielt für heikle Aktionen.
Warum Step-up-Authentifizierung existiert
Sicherheit und Bequemlichkeit stehen sich normalerweise im Weg. Wer bei jedem Klick sein Passwort eingeben muss, ist genervt. Wer gar nichts prüft, riskiert, dass ein Fremder mit einem gestohlenen Gerät alles tun kann. Step-up-Authentifizierung ist der Kompromiss: Geringe Risiken bleiben reibungslos, hohe Risiken lösen eine extra Prüfung aus.
Das Prinzip hat auch eine rechtliche Seite. In der EU schreibt die Zahlungsrichtlinie PSD2 vor, dass Banken bei Überweisungen über einem bestimmten Betrag eine sogenannte Starke Kundenauthentifizierung verlangen müssen — also mindestens zwei unabhängige Prüfschritte. Step-up-Authentifizierung ist die technische Umsetzung dieser Anforderung in der Praxis.
Wie das System entscheidet, wann es hochstuft
Im Hintergrund bewertet ein Risikomodul jede Anfrage. Es zieht Faktoren heran: Wie groß ist der Betrag? Kommt die Anfrage von einem bekannten Gerät? Ist die Uhrzeit ungewöhnlich? Hat sich der Standort gerade sprunghaft verändert? Aus diesen Signalen ergibt sich ein Risikowert.
Überschreitet der Risikowert eine Schwelle, löst das System den Step-up aus. Der Nutzer muss dann einen zweiten Faktor bestätigen — zum Beispiel eine SMS mit einem Einmalcode, einen Fingerabdruck oder eine Bestätigung in einer separaten App. Erst danach führt das System die Aktion durch. Bleibt das Risiko niedrig, passiert gar nichts — der Nutzer merkt den Mechanismus nicht mal.
Ein häufiger Irrtum: Step-up-Authentifizierung ist keine neue Anmeldung. Die ursprüngliche Sitzung läuft weiter. Das System erhöht nur kurzfristig die Anforderungen für eine einzelne kritische Aktion, danach fällt die Sicherheitsstufe wieder auf das normale Niveau zurück.
Wo Step-up-Authentifizierung im Alltag auftaucht
Am häufigsten begegnet man dem Verfahren im Online-Banking und in Payment-Apps wie PayPal oder Apple Pay. Kontostand prüfen geht ohne Zusatzschritt, Geld senden nicht. Auch große E-Commerce-Plattformen setzen es ein: Amazon etwa verlangt bei manchen Käufen eine erneute Passwort-Eingabe, obwohl man bereits eingeloggt ist.
Unternehmens-Software nutzt Step-up-Authentifizierung ebenfalls. Wer sich morgens in sein Firmenkonto einloggt, kann E-Mails lesen. Will er aber auf das HR-System mit Gehaltsabrechnungen aller Mitarbeiter zugreifen, verlangt das System einen zweiten Faktor. So schützen Unternehmen besonders sensible Daten, ohne jeden Mitarbeiter bei jedem Login aufzuhalten.
In News und Produktberichten taucht der Begriff oft im Zusammenhang mit Identitätsplattformen wie Okta oder Microsoft Entra auf. Diese Dienste bieten Step-up-Authentifizierung als konfigurierbares Werkzeug an: Administratoren legen fest, welche Aktionen welchen Risikowert bekommen — und was das System dann verlangt.