2FA: Warum ist Multi-Faktor-Authentifizierung wichtig?
Sarah Kolberg | Oktober 09, 2023
Ob Brute Force oder Phishing-Mails: Cyber-Attacken nehmen zu und Passwortdiebstahl gehört zur gängigen Praxis von Cyberkriminellen. Zudem steigt die Qualität der Angriffsmethoden durch neue technologische Entwicklungen wie ChatGPT. Passwörter können entsprechend schnell in die falschen Hände gelangen und sind nicht mehr ausreichend, um sensible Systeme zu schützen. Daher gewinnt die Zwei-Faktor-Authentifizierung (2FA) bzw. Multi-Faktor-Authentifizierung zunehmend an Bedeutung. Neben Benutzername und Passwort werden eines oder mehrere weitere Anmeldeverfahren genutzt, um Zugang zu einem Endgerät oder Account zu erhalten. Diese zusätzliche Schranke verspricht mehr Sicherheit.
Wie funktioniert Multi-Faktor-Authentifizierung?
In der Vergangenheit war hauptsächlich von Zwei-Faktor-Authentifizierung (2FA) die Rede. Mittlerweile sind jedoch auch mehr als zwei Identitätsnachweise üblich, weshalb man immer öfter von Multi-Faktor-Authentifizierung spricht.
Die Authentifizierung ist eine elementare Komponente für das Identity and Access Management. Insbesondere für kritische Bereiche oder aber Eingangs-Accounts, die den Einstieg zu weiteren Zugängen bieten, ist Multi-Faktor-Authentifizierung empfehlenswert.
Mithilfe von Multi-Faktor-Authentifizierung sollt verhindert werden, dass sich Dritte Zugang zu Accounts verschaffen können, weil sie in Besitz eines Passworts gekommen sind. Das kann insbesondere dann sehr gefährlich werden, wenn ein Passwort für mehrere Dienste genutzt wird.
Um eine Zugangsberechtigung zu erhalten, muss sich der Nutzer mit Authentifizierungsfaktoren ausweisen, die aus verschiedenen Kategorien (siehe Arten von Multi-Faktor-Authentifizierung) stammen. Das stärkt die Cyber Security, denn es müssten Angriffe auf mehreren Ebenen gleichzeitig erfolgen, um Zugang zu erhalten. Der Aufwand für Angreifer steigt. Der Account wird weniger attraktiv für Cyber-Attacken. Diese Art der Authentifizierung wird daher vom Bundesamt für Sicherheit in der Informationstechnik (BSI) empfohlen.
Zahlreiche Online- und cloudbasierte Dienste bieten Zwei-Faktor-Authentifizierung an. Überprüfen Sie in den Einstellungen, ob Sie 2FA aktivieren können. Meist ist eine einfache Authentifizierung via Benutzername und Passwort als Default hinterlegt. Sichten Sie daher die möglichen Login-Verfahren, um Ihren Account besser abzusichern.
Arten von Multi-Faktor-Authentifizierung
Man unterscheidet zwischen drei verschiedenen Kategorien der Authentifizierungsfaktoren: Wissen, Besitz und Biometrie.
Wissen
- Passwort
- PIN
- Sicherheitsfrage
Diese Kategorie der Authentifizierungsfaktoren ist weitläufig bekannt. Häufig begegnet uns eine weitere Wissensabfrage, wenn ein Passwort vergessen und ein neues angefordert werden muss. Dies kann durch das Einloggen in einen weiteren Account geschehen. Beispielsweise das Klicken eines Bestätigungs-Links, für den sich der Nutzer mit seinem E-Mail-Account anmelden muss. Weiterhin üblich, wenn man sich aus dem eigenen Account ausgesperrt hat, ist die Beantwortung einer Sicherheitsfrage. Klassiker sind hier der Mädchenname der Mutter oder der Name des ersten Haustiers. Insbesondere Sicherheitsfragen gelten mittlerweile jedoch auch als eher unsicher, denn Cyberkriminelle können über Social Media-Accounts an einige Informationen gelangen, die hier abgefragt werden.
Besitz
- Hardware z.B. Smartphone, Tablet
- Chipkarte
- TAN-Generator
Sicher können sich noch einige an eine Authentifizierungsmethode der Kategorie Besitz erinnern, die mittlerweile – auch aus sicherheitstechnischen Gründen – aus der Mode gekommen ist: die TAN-Liste. Mit jeder Überweisung via Online-Banking ging eine etwa 30-minütige Suche der ausgedruckten TAN-Liste einher. Mit jedem Transfer wurde ein TAN durchgestrichen. Im modernen Online-Banking gehört dieser Zettel der Vergangenheit an, denn mittlerweile wird auf digitale Verfahren gesetzt. TAN-Generatoren oder eine Bestätigung durch ein weiteres Device wie das Smartphone oder Tablet werden eingesetzt, um eine 2FA abzubilden. Häufig benötigt man dies bereits, um in die Banking App zu gelangen. Bei der Überweisung wird häufig ein weiterer PIN abgefragt.
Der einmalige Bestätigungscode, das One Time Password oder der Anruf an das Smartphone als zweite Authentifizierungsmethode sind mittlerweile auch für viele Cloud Services und Web-Anwendungen sehr geläufig.
Ein weiteres bekanntes Beispiel ist die Online-Funktion des Personalausweises. Hier gelangt man nur mit der Kombination aus PIN und Kartenbesitz in den eigenen Account.
Biometrie
wird auch als Inhärenz-Faktor bezeichnet.
- Fingerabdruck
- Iris
- Gesicht
- Stimmerkennung
Weit im Einsatz sind mittlerweile Fingerabdruck-Scanner, Gesichts- oder Spracherkennung an Smartphone oder Laptops. Wichtig ist hier die Lebenderkennung, da sonst beispielsweise auch Fotos genutzt werden könnten, um ein Endgerät zu entsperren.
Je nachdem wie viele verschiedene Faktoren miteinander kombiniert werden, spricht man von einer Zwei-Faktor-Authentifizierung bzw. Multi-Faktor-Authentifizierung. Das Verfahren ist umso sicherer, wenn die Zugangsberechtigung mit Faktoren aus unterschiedlichen Kategorien funktioniert. Werden zwei Faktoren aus der Kategorie Wissen kombiniert, kann dieser Zugang ähnlich schnell gehackt werden, wie ein alleinstehendes Passwort.
Gründe für Multi-Faktor-Authentifizierung
Mit Multi-Faktor-Authentifizierung lässt sich verhindern, dass sich Dritte Zugang zu Accounts verschaffen können, nur weil sie in Besitz eines Passworts gekommen sind. Passwörter gelten als einfach kompromittierbar – beispielsweise durch einen Brute-Force-Angriff.
Mithilfe von Programmen werden verschiedenste Passwörter und Benutzernamen automatisiert durchprobiert, bis die richtigen gefunden werden. Mittlerweile werden ganze Passwörter-Listen auf Websites zum Verkauf angeboten. Mit Multi-Faktor-Authentifizierung ist der Aufwand für Angreifer, ins System zu gelangen, deutlich erhöht.
Multi-Faktor-Authentifizierung – Was ist zu beachten?
Multi-Faktor-Authentifizierung kann die Usability einschränken, da der Anmeldevorgang komplexer wird und somit mehr Arbeitszeit in Anspruch nimmt. Mit Single-Sign-On-Verfahren (SSO) und Passwort-Managern kann man den alltäglichen Aufwand schmälern. Es kann problematisch werden, wenn der Anmeldevorgang an Besitz gebunden ist. Bei Verlust eines Mobiltelefons oder einer Chipkarte kann der Zugang verwehrt bleiben. Diesen wiederzuerlangen geht oft mit langen Telefonaten mit dem Kundenservice einher, sofern keine Ausweichfaktoren hinterlegt sind.