Ratgeber

Was bedeutet Zwei-Faktor-Authentifizierung?

Ein Artikel von , veröffentlicht am 17.06.2016, bearbeitet am19.12.2018

Passwörter schützen den Zugang zu Daten, Geräten oder Online-Konten vor Unbefugten. Doch selbst gute Passwörter können gestohlen oder verloren werden. Immer mehr Anbieter setzen daher auf einen zweiten Faktor, um Zugänge besser zu sichern.

Bei der Zwei-Faktor-Authentifizierung müssen Sie nicht nur Ihr Passwort kennen, sondern brauchen noch eine zusätzliche Information, um Ihre Zugangsberechtigung zu belegen. Diese zusätzliche Information ist der zweite Faktor.

Das kann ein Mobilgerät sein, auf das dann eine Zugangs-SMS verschickt wird. Es kann aber auch ein biometrisches Merkmal sein, zum Beispiel ein Fingerabdruck.

Das Verfahren gilt als besonders sicher, weil ein unbefugter Dritter in diesem Fall nicht nur das Passwort knacken oder stehlen müsste, sondern auch noch den zweiten Faktor in seinen Besitz bringen muss, um sich Zugang zu verschaffen.

Zweiter Faktor: Mobilgerät

Häufig wird als zweiter Faktor das Mobilgerät verwendet. Wenn beispielsweise das Passwort am Computer eingegeben wird, gibt der Server zusätzlich ein Einmalpasswort aus, das per SMS an eine vorher hinterlegte Handynummer versendet wird.

Solche Einmalpasswörter sind oft nur für einen bestimmten Zeitraum gültig. Daher heißen sie im Jargon „Timed One Time Password“ (TOTP), auf Deutsch etwa „zeitlich beschränkte Einmalpasswörter“. Nur wer im Besitz des Handys ist, kommt an das Einmalpasswort.

Manchmal findet dieser zweite Kanal auch auf dem selben Gerät statt. So senden zum Beispiel Banken beim mobilen Banking die TAN oft über eine andere App auf dasselbe Gerät. Ist das Gerät zum Beispiel mit einem Schadprogramm infiziert, so kann dieses sowohl das Passwort als auch die die TAN abfangen. Die Zwei-Faktor-Authentifizierung über das selbe Gerät gilt daher als nicht so sicher.

Inzwischen gibt es auch unabhängige TOTP-Apps, die das "Einmalpasswort" für verschiedene Konten erzeugen, die eine Zwei-Faktor-Authentifizierung unterstützen. Am weitesten verbreitet ist hier ein Produkt von Google, der "Google Authenticator" (für iOS und Android).

Als nichtkommerzielle Alternative bietet sich für Android die App andOTP von dem deutschen Entwickler Jakob Nixdorf, alias Flocke, an. Erhältlich im alternativen App-Store F-Droid oder im Play-Store.

Welche Verfahren es beim mobilen Banking gibt, und welche davon sicher sind, erklären wir im Beitrag Online-Banking mit Handy und Tablet.

Gegenstand als zweiter Faktor

Der zweite Faktor kann auch ein Gegenstand sein. Ein bekanntes Beispiel für eine solche Zwei-Faktor-Authentifizierung ist die Bezahlung mit EC-Karte: die Hardware (EC-Karte) muss sich im Besitz der Person befinden und zusätzlich muss ein Passwort (die PIN) eingegeben werden.

Neuere Verfahren sind zum Beispiel der Yubikey. Es handelt sich um einen Chip, der aussieht wie ein kleiner USB-Stick. Er kann wie ein Schlüssel gehandhabt werden und kommuniziert per USB oder NFC mit Computer oder Handy.

Yubikey wurde von der Firma Yubico entwickelt, und unterstützt die Standards der FIDO-Allianz (Konsortium aus Finanz- und Technik-Unternehmen). Eine Alternative dazu ist der "Nitrokey", dessen Programmcode für Jedermann zugänglich ist (open source).

Das Verfahren gilt als sicher, aber umständlich. Und wer Yubikey oder Nitrokey verliert, hat keine Chance zur Wiederherstellung.

Biometrie als zweiter Faktor

Bei Mobiltelefonen und manchen Laptops sind biometrische Daten inzwischen populär, wie beispielsweise die Authentifizierung per Fingerabdruck oder Gesichtserkennung. Kombiniert mit einem Passwort ist das Verfahren sehr sicher. Auch an Verfahren zur Erkennung der Stimme oder von Bewegungsmustern wird derzeit gearbeitet.

Welche Vorteile und Nachteile biometrische Merkmale bieten, erklären wir im Beitrag Touch-ID und Co: Wie sicher sind Fingerabdrucksensoren?

Solche Verfahren sind auch mit mehr als zwei Faktoren vorstellbar. Eine sogenannte Multi-Faktor-Authentifizierung wird derzeit vor allem von Banking-Anbietern entwickelt. Mit einer Mischung aus biometrischen Daten, Gerätedaten (Mobiltelefone lassen sich eindeutig identifizieren) und Passwörtern können dann Personen eindeutig identifiziert werden.

Daraus ergeben sich allerdings Probleme in der Praxis: Gelingt es einem unbefugten Dritten doch einmal, an ein biometrisches Merkmal zu gelangen, so lässt sich dieses nicht ändern. Zugangsdaten könnte man außerdem nur noch schwer mit anderen teilen. Vor allem aber basieren die Verfahren darauf, dass sehr viele Daten von Nutzern durch den Service-Anbieter erhoben werden. Das wiederum bringt Datenschutz-Probleme mit sich.

Weitere Artikel

Ratgeber 

Kritisch hinterfragt: App-Rankings auf Android und iOS

Wenn Sie im Play-Store von Android oder im App-Store von iOS einen Suchbegriff eingeben, präsentieren Google und Apple Ihnen eine Reihenfolge von Apps. Wie erzeugen die IT-Konzerne diese Listen, und befinden sich auf den vorderen Plätzen automatisch auch die nutzerfreundlichsten Apps?

Mehr
Ratgeber 

Video-Chat mit GoToMeeting kurz vorgestellt

GoToMeeting ist ein kostenpflichtiger Dienst für abhörsicheren Videochat mit bis zu 150 Personen. Wie schneidet er im Vergleich zu ZOOM und Skype ab? Die Vor- und Nachteile im Überblick.

Mehr
Ratgeber 

Wir suchen Verstärkung

Schon lange keinen neuen Beiträge mehr auf mobilsicher.de gesehen? Kein Wunder - unser Team hat Winterpause gemacht. Ab Mai geht es bei uns mit neuen Inhalten weiter. Dafür suchen wir noch Verstärkung:

Mehr
Ratgeber 

Bilder anonymisieren mit ObscuraCam

Digitale Fotos enthalten mehr Informationen, als das, was auf dem Bild zu sehen ist. Zum Beispiel Uhrzeit und Ort der Aufnahme. Die App ObscuraCam entfernt diese Metadaten und kann Bilder auch verpixeln. Wir zeigen, wie es geht, und wo die App Schwächen hat.

Mehr