Ratgeber

Was bedeutet Zwei-Faktor-Authentifizierung?

Ein Artikel von , veröffentlicht am 17.06.2016, bearbeitet am19.12.2018

Passwörter schützen den Zugang zu Daten, Geräten oder Online-Konten vor Unbefugten. Doch selbst gute Passwörter können gestohlen oder verloren werden. Immer mehr Anbieter setzen daher auf einen zweiten Faktor, um Zugänge besser zu sichern.

Bei der Zwei-Faktor-Authentifizierung müssen Sie nicht nur Ihr Passwort kennen, sondern brauchen noch eine zusätzliche Information, um Ihre Zugangsberechtigung zu belegen. Diese zusätzliche Information ist der zweite Faktor.

Das kann ein Mobilgerät sein, auf das dann eine Zugangs-SMS verschickt wird. Es kann aber auch ein biometrisches Merkmal sein, zum Beispiel ein Fingerabdruck.

Das Verfahren gilt als besonders sicher, weil ein unbefugter Dritter in diesem Fall nicht nur das Passwort knacken oder stehlen müsste, sondern auch noch den zweiten Faktor in seinen Besitz bringen muss, um sich Zugang zu verschaffen.

Zweiter Faktor: Mobilgerät

Häufig wird als zweiter Faktor das Mobilgerät verwendet. Wenn beispielsweise das Passwort am Computer eingegeben wird, gibt der Server zusätzlich ein Einmalpasswort aus, das per SMS an eine vorher hinterlegte Handynummer versendet wird.

Solche Einmalpasswörter sind oft nur für einen bestimmten Zeitraum gültig. Daher heißen sie im Jargon „Timed One Time Password“ (TOTP), auf Deutsch etwa „zeitlich beschränkte Einmalpasswörter“. Nur wer im Besitz des Handys ist, kommt an das Einmalpasswort.

Manchmal findet dieser zweite Kanal auch auf dem selben Gerät statt. So senden zum Beispiel Banken beim mobilen Banking die TAN oft über eine andere App auf dasselbe Gerät. Ist das Gerät zum Beispiel mit einem Schadprogramm infiziert, so kann dieses sowohl das Passwort als auch die die TAN abfangen. Die Zwei-Faktor-Authentifizierung über das selbe Gerät gilt daher als nicht so sicher.

Inzwischen gibt es auch unabhängige TOTP-Apps, die das "Einmalpasswort" für verschiedene Konten erzeugen, die eine Zwei-Faktor-Authentifizierung unterstützen. Am weitesten verbreitet ist hier ein Produkt von Google, der "Google Authenticator" (für iOS und Android).

Als nichtkommerzielle Alternative bietet sich für Android die App andOTP von dem deutschen Entwickler Jakob Nixdorf, alias Flocke, an. Erhältlich im alternativen App-Store F-Droid oder im Play-Store.

Welche Verfahren es beim mobilen Banking gibt, und welche davon sicher sind, erklären wir im Beitrag Online-Banking mit Handy und Tablet.

Gegenstand als zweiter Faktor

Der zweite Faktor kann auch ein Gegenstand sein. Ein bekanntes Beispiel für eine solche Zwei-Faktor-Authentifizierung ist die Bezahlung mit EC-Karte: die Hardware (EC-Karte) muss sich im Besitz der Person befinden und zusätzlich muss ein Passwort (die PIN) eingegeben werden.

Neuere Verfahren sind zum Beispiel der Yubikey. Es handelt sich um einen Chip, der aussieht wie ein kleiner USB-Stick. Er kann wie ein Schlüssel gehandhabt werden und kommuniziert per USB oder NFC mit Computer oder Handy.

Yubikey wurde von der Firma Yubico entwickelt, und unterstützt die Standards der FIDO-Allianz (Konsortium aus Finanz- und Technik-Unternehmen). Eine Alternative dazu ist der "Nitrokey", dessen Programmcode für Jedermann zugänglich ist (open source).

Das Verfahren gilt als sicher, aber umständlich. Und wer Yubikey oder Nitrokey verliert, hat keine Chance zur Wiederherstellung.

Biometrie als zweiter Faktor

Bei Mobiltelefonen und manchen Laptops sind biometrische Daten inzwischen populär, wie beispielsweise die Authentifizierung per Fingerabdruck oder Gesichtserkennung. Kombiniert mit einem Passwort ist das Verfahren sehr sicher. Auch an Verfahren zur Erkennung der Stimme oder von Bewegungsmustern wird derzeit gearbeitet.

Welche Vorteile und Nachteile biometrische Merkmale bieten, erklären wir im Beitrag Touch-ID und Co: Wie sicher sind Fingerabdrucksensoren?

Solche Verfahren sind auch mit mehr als zwei Faktoren vorstellbar. Eine sogenannte Multi-Faktor-Authentifizierung wird derzeit vor allem von Banking-Anbietern entwickelt. Mit einer Mischung aus biometrischen Daten, Gerätedaten (Mobiltelefone lassen sich eindeutig identifizieren) und Passwörtern können dann Personen eindeutig identifiziert werden.

Daraus ergeben sich allerdings Probleme in der Praxis: Gelingt es einem unbefugten Dritten doch einmal, an ein biometrisches Merkmal zu gelangen, so lässt sich dieses nicht ändern. Zugangsdaten könnte man außerdem nur noch schwer mit anderen teilen. Vor allem aber basieren die Verfahren darauf, dass sehr viele Daten von Nutzern durch den Service-Anbieter erhoben werden. Das wiederum bringt Datenschutz-Probleme mit sich.

Weitere Artikel

Ratgeber 

Bluetooth: Praktische Technologie mit Tücken

Fast alle Smartphones und Tablets verfügen über Bluetooth, um Verbindungen mit Geräten in der näheren Umgebung aufzubauen. Vor allem durch unvorsichtige Nutzung kann es dabei Sicherheitsprobleme geben. Wir erklären, wie Bluetooth funktioniert und wo es dabei Risiken gibt.

Mehr
YouTube-Video 

Tastatur-Apps: Was sie über Sie erfahren und welche App wir empfehlen

Die Tastatur Ihres Smartphones kann Ihnen Vorschläge für ganze Satzbausteine machen - und weiß dann gut darüber Bescheid, was Sie schreiben. Im Video erklären wir, welche Gefahren dadurch entstehen und welche alternative Tastatur-App wir empfehlen.

Ansehen
Ratgeber 

Eingeschränkte Profile (Android)

Sie teilen Ihr Tablet mit der Famlie, der WG oder den Kollegen im Büro? Dann können Sie eingeschränkte Profile für die Mitnutzer einrichten. Anders als bei den normalen Nutzerkonten kann man hier den Funktionsumfang stark einschränken.

Mehr
Messenger 

Messenger-App Telegram kurz vorgestellt

Der Messenger wird gerne als WhatsApp-Alternative Nummer eins gehandelt. Er stammt von russischen Entwickler*innen, die nach eigener Aussage großen Wert auf Privatsphäre legen. Doch Vorsicht: Chats bei Telegram sind standardmäßig nicht Ende-zu-Ende verschlüsselt.

Mehr