Ratgeber

Was bedeutet Zwei-Faktor-Authentifizierung?

Ein Artikel von , veröffentlicht am 17.06.2016, bearbeitet am19.12.2018

Passwörter schützen den Zugang zu Daten, Geräten oder Online-Konten vor Unbefugten. Doch selbst gute Passwörter können gestohlen oder verloren werden. Immer mehr Anbieter setzen daher auf einen zweiten Faktor, um Zugänge besser zu sichern.

Bei der Zwei-Faktor-Authentifizierung müssen Sie nicht nur Ihr Passwort kennen, sondern brauchen noch eine zusätzliche Information, um Ihre Zugangsberechtigung zu belegen. Diese zusätzliche Information ist der zweite Faktor.

Das kann ein Mobilgerät sein, auf das dann eine Zugangs-SMS verschickt wird. Es kann aber auch ein biometrisches Merkmal sein, zum Beispiel ein Fingerabdruck.

Das Verfahren gilt als besonders sicher, weil ein unbefugter Dritter in diesem Fall nicht nur das Passwort knacken oder stehlen müsste, sondern auch noch den zweiten Faktor in seinen Besitz bringen muss, um sich Zugang zu verschaffen.

Zweiter Faktor: Mobilgerät

Häufig wird als zweiter Faktor das Mobilgerät verwendet. Wenn beispielsweise das Passwort am Computer eingegeben wird, gibt der Server zusätzlich ein Einmalpasswort aus, das per SMS an eine vorher hinterlegte Handynummer versendet wird.

Solche Einmalpasswörter sind oft nur für einen bestimmten Zeitraum gültig. Daher heißen sie im Jargon „Timed One Time Password“ (TOTP), auf Deutsch etwa „zeitlich beschränkte Einmalpasswörter“. Nur wer im Besitz des Handys ist, kommt an das Einmalpasswort.

Manchmal findet dieser zweite Kanal auch auf dem selben Gerät statt. So senden zum Beispiel Banken beim mobilen Banking die TAN oft über eine andere App auf dasselbe Gerät. Ist das Gerät zum Beispiel mit einem Schadprogramm infiziert, so kann dieses sowohl das Passwort als auch die die TAN abfangen. Die Zwei-Faktor-Authentifizierung über das selbe Gerät gilt daher als nicht so sicher.

Inzwischen gibt es auch unabhängige TOTP-Apps, die das "Einmalpasswort" für verschiedene Konten erzeugen, die eine Zwei-Faktor-Authentifizierung unterstützen. Am weitesten verbreitet ist hier ein Produkt von Google, der "Google Authenticator" (für iOS und Android).

Als nichtkommerzielle Alternative bietet sich für Android die App andOTP von dem deutschen Entwickler Jakob Nixdorf, alias Flocke, an. Erhältlich im alternativen App-Store F-Droid oder im Play-Store.

Welche Verfahren es beim mobilen Banking gibt, und welche davon sicher sind, erklären wir im Beitrag Online-Banking mit Handy und Tablet.

Gegenstand als zweiter Faktor

Der zweite Faktor kann auch ein Gegenstand sein. Ein bekanntes Beispiel für eine solche Zwei-Faktor-Authentifizierung ist die Bezahlung mit EC-Karte: die Hardware (EC-Karte) muss sich im Besitz der Person befinden und zusätzlich muss ein Passwort (die PIN) eingegeben werden.

Neuere Verfahren sind zum Beispiel der Yubikey. Es handelt sich um einen Chip, der aussieht wie ein kleiner USB-Stick. Er kann wie ein Schlüssel gehandhabt werden und kommuniziert per USB oder NFC mit Computer oder Handy.

Yubikey wurde von der Firma Yubico entwickelt, und unterstützt die Standards der FIDO-Allianz (Konsortium aus Finanz- und Technik-Unternehmen). Eine Alternative dazu ist der "Nitrokey", dessen Programmcode für Jedermann zugänglich ist (open source).

Das Verfahren gilt als sicher, aber umständlich. Und wer Yubikey oder Nitrokey verliert, hat keine Chance zur Wiederherstellung.

Biometrie als zweiter Faktor

Bei Mobiltelefonen und manchen Laptops sind biometrische Daten inzwischen populär, wie beispielsweise die Authentifizierung per Fingerabdruck oder Gesichtserkennung. Kombiniert mit einem Passwort ist das Verfahren sehr sicher. Auch an Verfahren zur Erkennung der Stimme oder von Bewegungsmustern wird derzeit gearbeitet.

Welche Vorteile und Nachteile biometrische Merkmale bieten, erklären wir im Beitrag Touch-ID und Co: Wie sicher sind Fingerabdrucksensoren?

Solche Verfahren sind auch mit mehr als zwei Faktoren vorstellbar. Eine sogenannte Multi-Faktor-Authentifizierung wird derzeit vor allem von Banking-Anbietern entwickelt. Mit einer Mischung aus biometrischen Daten, Gerätedaten (Mobiltelefone lassen sich eindeutig identifizieren) und Passwörtern können dann Personen eindeutig identifiziert werden.

Daraus ergeben sich allerdings Probleme in der Praxis: Gelingt es einem unbefugten Dritten doch einmal, an ein biometrisches Merkmal zu gelangen, so lässt sich dieses nicht ändern. Zugangsdaten könnte man außerdem nur noch schwer mit anderen teilen. Vor allem aber basieren die Verfahren darauf, dass sehr viele Daten von Nutzern durch den Service-Anbieter erhoben werden. Das wiederum bringt Datenschutz-Probleme mit sich.

Weitere Artikel

Start mit Android 

So stellen Sie die Standort-Funktionen auf Android richtig ein

Neben GPS können Mobilgeräte ihre Position auch über WLAN, Bluetooth und Mobilfunk bestimmen. Bei Android lässt sich einstellen, welche Methode genutzt wird. Das kann Datenspuren reduzieren – aber auch die Nutzerfreundlichkeit einschränken.

Mehr
Schwerpunkt 

Alles rund um Messenger

Wie sicher ist es, Nachrichten übers Internet zu verschicken? Worauf sollten Sie bei der Auswahl eines Messengers achten? Und was ist eigentlich das Problem mit WhatsApp? Auf dieser Seite finden Sie unsere Beiträge und Tests zum Thema Messenger.

Mehr
Kinder und Jugendliche 

Schritt für Schritt: YouTube Kids einrichten (Android)

Die App YouTube Kids filtert Inhalte und bietet Eltern verschiedene Kontrollmöglichkeiten. In dieser Anleitung erfahren Sie Schritt für Schritt, wie Sie die kinderfreundliche Version der YouTube-App sinnvoll einstellen.

Mehr
Browser und Suchmaschinen 

Firefox Klar: Geeignet als Zweit-Browser

Der Browser Firefox Klar verspricht privates Surfen. Analysedaten werden nur nach Zustimmung übermittelt. Doch Firefox Klar ist in seinen Funktionen eingeschränkt. Daher bleibt er ein Zweit-Browser für besondere Gelegenheiten oder zum Einbinden als Werbeblocker in Safari.

Mehr