Ratgeber

Was bedeutet Zwei-Faktor-Authentifizierung?

Ein Artikel von , veröffentlicht am 17.06.2016, bearbeitet am19.12.2018

Passwörter schützen den Zugang zu Daten, Geräten oder Online-Konten vor Unbefugten. Doch selbst gute Passwörter können gestohlen oder verloren werden. Immer mehr Anbieter setzen daher auf einen zweiten Faktor, um Zugänge besser zu sichern.

Bei der Zwei-Faktor-Authentifizierung müssen Sie nicht nur Ihr Passwort kennen, sondern brauchen noch eine zusätzliche Information, um Ihre Zugangsberechtigung zu belegen. Diese zusätzliche Information ist der zweite Faktor.

Das kann ein Mobilgerät sein, auf das dann eine Zugangs-SMS verschickt wird. Es kann aber auch ein biometrisches Merkmal sein, zum Beispiel ein Fingerabdruck.

Das Verfahren gilt als besonders sicher, weil ein unbefugter Dritter in diesem Fall nicht nur das Passwort knacken oder stehlen müsste, sondern auch noch den zweiten Faktor in seinen Besitz bringen muss, um sich Zugang zu verschaffen.

Zweiter Faktor: Mobilgerät

Häufig wird als zweiter Faktor das Mobilgerät verwendet. Wenn beispielsweise das Passwort am Computer eingegeben wird, gibt der Server zusätzlich ein Einmalpasswort aus, das per SMS an eine vorher hinterlegte Handynummer versendet wird.

Solche Einmalpasswörter sind oft nur für einen bestimmten Zeitraum gültig. Daher heißen sie im Jargon „Timed One Time Password“ (TOTP), auf Deutsch etwa „zeitlich beschränkte Einmalpasswörter“. Nur wer im Besitz des Handys ist, kommt an das Einmalpasswort.

Manchmal findet dieser zweite Kanal auch auf dem selben Gerät statt. So senden zum Beispiel Banken beim mobilen Banking die TAN oft über eine andere App auf dasselbe Gerät. Ist das Gerät zum Beispiel mit einem Schadprogramm infiziert, so kann dieses sowohl das Passwort als auch die die TAN abfangen. Die Zwei-Faktor-Authentifizierung über das selbe Gerät gilt daher als nicht so sicher.

Inzwischen gibt es auch unabhängige TOTP-Apps, die das "Einmalpasswort" für verschiedene Konten erzeugen, die eine Zwei-Faktor-Authentifizierung unterstützen. Am weitesten verbreitet ist hier ein Produkt von Google, der "Google Authenticator" (für iOS und Android).

Als nichtkommerzielle Alternative bietet sich für Android die App andOTP von dem deutschen Entwickler Jakob Nixdorf, alias Flocke, an. Erhältlich im alternativen App-Store F-Droid oder im Play-Store.

Welche Verfahren es beim mobilen Banking gibt, und welche davon sicher sind, erklären wir im Beitrag Online-Banking mit Handy und Tablet.

Gegenstand als zweiter Faktor

Der zweite Faktor kann auch ein Gegenstand sein. Ein bekanntes Beispiel für eine solche Zwei-Faktor-Authentifizierung ist die Bezahlung mit EC-Karte: die Hardware (EC-Karte) muss sich im Besitz der Person befinden und zusätzlich muss ein Passwort (die PIN) eingegeben werden.

Neuere Verfahren sind zum Beispiel der Yubikey. Es handelt sich um einen Chip, der aussieht wie ein kleiner USB-Stick. Er kann wie ein Schlüssel gehandhabt werden und kommuniziert per USB oder NFC mit Computer oder Handy.

Yubikey wurde von der Firma Yubico entwickelt, und unterstützt die Standards der FIDO-Allianz (Konsortium aus Finanz- und Technik-Unternehmen). Eine Alternative dazu ist der "Nitrokey", dessen Programmcode für Jedermann zugänglich ist (open source).

Das Verfahren gilt als sicher, aber umständlich. Und wer Yubikey oder Nitrokey verliert, hat keine Chance zur Wiederherstellung.

Biometrie als zweiter Faktor

Bei Mobiltelefonen und manchen Laptops sind biometrische Daten inzwischen populär, wie beispielsweise die Authentifizierung per Fingerabdruck oder Gesichtserkennung. Kombiniert mit einem Passwort ist das Verfahren sehr sicher. Auch an Verfahren zur Erkennung der Stimme oder von Bewegungsmustern wird derzeit gearbeitet.

Welche Vorteile und Nachteile biometrische Merkmale bieten, erklären wir im Beitrag Touch-ID und Co: Wie sicher sind Fingerabdrucksensoren?

Solche Verfahren sind auch mit mehr als zwei Faktoren vorstellbar. Eine sogenannte Multi-Faktor-Authentifizierung wird derzeit vor allem von Banking-Anbietern entwickelt. Mit einer Mischung aus biometrischen Daten, Gerätedaten (Mobiltelefone lassen sich eindeutig identifizieren) und Passwörtern können dann Personen eindeutig identifiziert werden.

Daraus ergeben sich allerdings Probleme in der Praxis: Gelingt es einem unbefugten Dritten doch einmal, an ein biometrisches Merkmal zu gelangen, so lässt sich dieses nicht ändern. Zugangsdaten könnte man außerdem nur noch schwer mit anderen teilen. Vor allem aber basieren die Verfahren darauf, dass sehr viele Daten von Nutzern durch den Service-Anbieter erhoben werden. Das wiederum bringt Datenschutz-Probleme mit sich.

Weitere Artikel

YouTube-Video 

Anleitung: So löschen Sie WhatsApp richtig

Keine Lust mehr auf WhatsApp? Dann denken Sie daran, Ihr Profil zu löschen, bevor Sie die App vom Handy werfen. Nur dann sind Sie wirklich vom Dienst abgemeldet. Im Video zeigen wir, wie das geht.

Ansehen
App-Test 

App-Test: Salfeld Kindersicherung

Die Kindersicherungs-App kann dabei helfen, zwischen Eltern und Kind getroffene Absprachen zur Smartphone-Nutzung durchzusetzen. Jedoch erfahren Eltern alles darüber, wie das Kind sein Handy nutzt - und der Anbieter kann theoretisch mitlesen.

Mehr
YouTube-Video 

3 Tipps, damit Sie zu Weihnachten das richtige Handy verschenken

Sie möchten zu Weihnachten ein Handy verschenken, haben aber keine Ahnung, worauf Sie achten sollen? Viele Händler versuchen kurz vor Weihnachten, ihre Kund*innen abzuzocken - mit unseren Tipps sind Sie klüger.

Ansehen
App-Test 

Navi-Apps im Check: Offline Maps & Navigation (Android)

"Offline Maps & Navigation" ist kostenlos und werbefrei. Allerdings integriert die App Tracker und der Anbieter speichert Standortdaten und Navigationsverlauf der Nutzer - sogar dann, wenn man offline navigiert. Hier gibt es deutlich bessere Alternativen.

Mehr