Ratgeber

Was bedeutet Zwei-Faktor-Authentifizierung?

Ein Artikel von , veröffentlicht am 17.06.2016, bearbeitet am19.12.2018

Passwörter schützen den Zugang zu Daten, Geräten oder Online-Konten vor Unbefugten. Doch selbst gute Passwörter können gestohlen oder verloren werden. Immer mehr Anbieter setzen daher auf einen zweiten Faktor, um Zugänge besser zu sichern.

Bei der Zwei-Faktor-Authentifizierung müssen Sie nicht nur Ihr Passwort kennen, sondern brauchen noch eine zusätzliche Information, um Ihre Zugangsberechtigung zu belegen. Diese zusätzliche Information ist der zweite Faktor.

Das kann ein Mobilgerät sein, auf das dann eine Zugangs-SMS verschickt wird. Es kann aber auch ein biometrisches Merkmal sein, zum Beispiel ein Fingerabdruck.

Das Verfahren gilt als besonders sicher, weil ein unbefugter Dritter in diesem Fall nicht nur das Passwort knacken oder stehlen müsste, sondern auch noch den zweiten Faktor in seinen Besitz bringen muss, um sich Zugang zu verschaffen.

Zweiter Faktor: Mobilgerät

Häufig wird als zweiter Faktor das Mobilgerät verwendet. Wenn beispielsweise das Passwort am Computer eingegeben wird, gibt der Server zusätzlich ein Einmalpasswort aus, das per SMS an eine vorher hinterlegte Handynummer versendet wird.

Solche Einmalpasswörter sind oft nur für einen bestimmten Zeitraum gültig. Daher heißen sie im Jargon „Timed One Time Password“ (TOTP), auf Deutsch etwa „zeitlich beschränkte Einmalpasswörter“. Nur wer im Besitz des Handys ist, kommt an das Einmalpasswort.

Manchmal findet dieser zweite Kanal auch auf dem selben Gerät statt. So senden zum Beispiel Banken beim mobilen Banking die TAN oft über eine andere App auf dasselbe Gerät. Ist das Gerät zum Beispiel mit einem Schadprogramm infiziert, so kann dieses sowohl das Passwort als auch die die TAN abfangen. Die Zwei-Faktor-Authentifizierung über das selbe Gerät gilt daher als nicht so sicher.

Inzwischen gibt es auch unabhängige TOTP-Apps, die das "Einmalpasswort" für verschiedene Konten erzeugen, die eine Zwei-Faktor-Authentifizierung unterstützen. Am weitesten verbreitet ist hier ein Produkt von Google, der "Google Authenticator" (für iOS und Android).

Als nichtkommerzielle Alternative bietet sich für Android die App andOTP von dem deutschen Entwickler Jakob Nixdorf, alias Flocke, an. Erhältlich im alternativen App-Store F-Droid oder im Play-Store.

Welche Verfahren es beim mobilen Banking gibt, und welche davon sicher sind, erklären wir im Beitrag Online-Banking mit Handy und Tablet.

Gegenstand als zweiter Faktor

Der zweite Faktor kann auch ein Gegenstand sein. Ein bekanntes Beispiel für eine solche Zwei-Faktor-Authentifizierung ist die Bezahlung mit EC-Karte: die Hardware (EC-Karte) muss sich im Besitz der Person befinden und zusätzlich muss ein Passwort (die PIN) eingegeben werden.

Neuere Verfahren sind zum Beispiel der Yubikey. Es handelt sich um einen Chip, der aussieht wie ein kleiner USB-Stick. Er kann wie ein Schlüssel gehandhabt werden und kommuniziert per USB oder NFC mit Computer oder Handy.

Yubikey wurde von der Firma Yubico entwickelt, und unterstützt die Standards der FIDO-Allianz (Konsortium aus Finanz- und Technik-Unternehmen). Eine Alternative dazu ist der "Nitrokey", dessen Programmcode für Jedermann zugänglich ist (open source).

Das Verfahren gilt als sicher, aber umständlich. Und wer Yubikey oder Nitrokey verliert, hat keine Chance zur Wiederherstellung.

Biometrie als zweiter Faktor

Bei Mobiltelefonen und manchen Laptops sind biometrische Daten inzwischen populär, wie beispielsweise die Authentifizierung per Fingerabdruck oder Gesichtserkennung. Kombiniert mit einem Passwort ist das Verfahren sehr sicher. Auch an Verfahren zur Erkennung der Stimme oder von Bewegungsmustern wird derzeit gearbeitet.

Welche Vorteile und Nachteile biometrische Merkmale bieten, erklären wir im Beitrag Touch-ID und Co: Wie sicher sind Fingerabdrucksensoren?

Solche Verfahren sind auch mit mehr als zwei Faktoren vorstellbar. Eine sogenannte Multi-Faktor-Authentifizierung wird derzeit vor allem von Banking-Anbietern entwickelt. Mit einer Mischung aus biometrischen Daten, Gerätedaten (Mobiltelefone lassen sich eindeutig identifizieren) und Passwörtern können dann Personen eindeutig identifiziert werden.

Daraus ergeben sich allerdings Probleme in der Praxis: Gelingt es einem unbefugten Dritten doch einmal, an ein biometrisches Merkmal zu gelangen, so lässt sich dieses nicht ändern. Zugangsdaten könnte man außerdem nur noch schwer mit anderen teilen. Vor allem aber basieren die Verfahren darauf, dass sehr viele Daten von Nutzern durch den Service-Anbieter erhoben werden. Das wiederum bringt Datenschutz-Probleme mit sich.

Weitere Artikel

Ratgeber 

So messen wir den Stromverbrauch von Apps

Um herauszufinden, wie stark verschiedene Apps die Übertragungsinfrastruktur beanspruchen und damit Energie verbrauchen, haben wir ein Testverfahren entwickelt. Hier erklären wir es.

Mehr
Ratgeber 

So verbinden Sie Ihr Gerät mit einer eigenen Cloud (Android)

Von Haus aus ist Android darauf ausgelegt, Nutzerdaten mit Google-Servern zu synchronisieren. Dabei landen sehr viele Informationen beim Konzern. Die Alternative ist eine eigene Cloud. Wir zeigen, wie Sie wechseln.

Mehr
YouTube-Video 

Handy-Recycling

Smartphone-Recycling ist eine technische Herausforderung. Warum das so ist und wie Recycler es trotzdem hinkriegen – das erfahrt ihr im Video.

Ansehen
YouTube-Video 

iPhone-Privatsphäre: 3 gute Dinge an iOS 14

Wie jedes Jahr ist auch diesen Herbst Apples neue Betriebssystem-Version für iPhones erschienen. Was bringt iOS 14 Gutes für Privatsphäre und Sicherheit? Die drei wichtigsten Punkte auf einen Blick.

Ansehen