Doppelte Sicherheit: Wie funktioniert die Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentisierung/Zwei-Faktor-Authentifizierung oder auch Zwei-Schritt-Verifizierung heißt bei vielen Onlinediensten anders. Twitter nennt sie Anmeldebestätigung, bei Google heißt sie Bestätigung in zwei Schritten. Doch egal, wie sie genannt wird – die Zwei-Faktor-Authentifizierung bietet einen zusätzlichen Schutz für Ihre Onlinekonten.

Sie stellt Hacker vor ein Problem. Denn das gestohlene Passwort bringt diese nicht weiter, wenn Sie den zusätzlichen Schutz aktiviert haben. Ihnen wird dann ein zusätzlicher Einmal-Code zugesendet. Und erst wenn Sie diesen eingegeben haben, bekommen Sie Zugang zu Ihrem Account. Ohne diesen Code ist ein Log-in nicht möglich. Angeboten wird die Zwei-Faktor-Authentisierung unter anderem bei:

• Amazon (Zwei-Schritt-Verifizierung)
• Apple (Zwei-Faktor-Authentifizierung)
• Dropbox (Zweistufige Überprüfung)
• Facebook (Anmeldebestätigungen)
• Google (Bestätigung in zwei Schritten)
• Instagram (​​Zweistufige Authentifizierung)
• LinkedIn (Zweistufige Anmeldung)
• Microsoft (Prüfung in zwei Schritten)
• PayPal (PayPal-Sicherheitsschlüssel)
• Snapchat (Login-Bestätigung)
• Twitter (Anmeldebestätigung)
• WhatsApp (Verifizierung in zwei Schritten)
• Yahoo (Bestätigung in zwei Schritten)
• im Onlinebanking

Wie funktioniert die Zwei-Faktor-Authentifizierung?

Wie bereits erwähnt, sollten Sie Ihr Konto nicht nur mit Benutzername und Kennwort sichern. Ein zusätzlicher Schutz muss her. Gibt es diesen nicht, haben die Kriminellen leichtes Spiel, sobald sie Ihre Zugangsdaten herausgefunden oder ausspioniert haben. Mit der zusätzlichen Eingabe eines Einmal-Codes identifizieren Sie sich eindeutig. Den Cyberkriminellen reicht das Passwort nicht mehr aus.

Auch wenn Sie die Zwei-Faktor-Authentifizierung aktiviert haben, müssen Sie sich in der Regel zunächst mit Ihrem Benutzernamen und Passwort anmelden. Haben Sie die richtigen Daten eingegeben, folgt ein weiterer (zweiter) Schritt. Die Authentisierung erfolgt dann mittels eines Codes, der Ihnen beispielsweise auf das Smartphone per SMS gesendet wird. Alternativ werden aber auch Chipkarten, USB-Tokens, Fingerabdrucksensoren oder die Generierung per App genutzt. Nur wer im Besitz dieser Hilfsmittel ist, bekommt den Zugang zum Onlinekonto. Es wird also auf eine Kombination aus Wissen (beispielsweise PIN, Passwort) und Besitz (etwa Chipkarte, TAN-Generator) oder Biometrie (wie Fingerabdruck, Gesichtserkennung) gesetzt.

In dem nachfolgenden Video wird Ihnen noch einmal genau erklärt, wie die Zwei-Faktor-Authentisierung funktioniert:

Was ist der Unterschied zwischen Authentisierung und Authentifizierung?

Ihnen ist sicher schon aufgefallen, dass wir die Begriffe Authentisierung und Authentifizierung synonym benutzen. Im allgemeinen Sprachgebrauch ist dies auch so üblich. Doch laut BSI (Bundesamt für Sicherheit in der Informationstechnik) beschreiben die beiden Begriffe unterschiedliche Teilprozesse des Anmeldevorgangs:

„Ein Benutzer AUTHENTISIERT sich an einem System mittels eindeutiger Anmeldeinformationen (z. B. Passwort oder Chipkarte). Das System überprüft daraufhin die Gültigkeit der verwendeten Daten, es AUTHENTIFIZIERT den Nutzer oder die Nutzerin.“

Es gibt Onlinedienste, die beide Verfahren miteinander kombinieren, anstatt diese hintereinander ablaufen zu lassen. Aber auch hier wird erst in Kombination beider Merkmale Ihre Identität bestätigt. Ein Beispiel ist die Online-Ausweisfunktion des Personalausweises. Der Besitz der Chipkarte funktioniert nur im Kontext des Wissens über die PIN.

Welche bekannten Systeme zur Zwei-Faktor-Authentisierung gibt es?

Es gibt mehrere Methoden, wie die Zwei-Faktor-Authentisierung durchgeführt werden kann. Die Onlineanbieter allein entscheiden, welche Methode sie Ihnen anbieten. In der Regel wird eine der folgenden Varianten genutzt.

TAN/OTP-Systeme

Es gibt TANs und OTPs (Einmal-Codes), mit deren Hilfe Sie sich in Ihr Onlinekonto einloggen. Im TAN-Bereich gelten die TAN-Listen als unsicher. Besser sind da TAN-Generatoren (Hardware) oder Authenticator-Apps (Software). Diese generieren für jeden neuen Log-in auch einen neuen Einmal-Code. Noch einen Tick sicherer sind eTAN- oder chipTAN-Verfahren. Was diese so besonders macht? Hier werden in die TAN-Generation die Daten der Transaktion (wie Kontonummer und Betrag) integriert.

Der Anbieter kann die TAN aber auch als SMS auf das Smartphone (smsTAN, mTAN, mobileTAN) senden. Allerdings ist diese Variante etwas unsicher, sobald Sie für Log-in und Empfang der TAN dasselbe Gerät benutzen.

Kryptografische Token

Kryptografische Token speichern private kryptografische Schlüssel. Laut BSI erfolgt die Authentisierung „durch das Senden einer Anforderung an das Token, die das Token nur mithilfe des privaten Schlüssels korrekt beantworten kann“.

Ein Beispiel ist die Speicherung des Schlüssels als Softwarezertifikat wie bei ELSTER. Sicherer ist allerdings die Speicherung auf Hardware wie Chipkarten (HBCI, Signaturkarten) oder speziellen USB-Sticks/NFC-Token (FIDO/U2F).

Biometrische Systeme

Für die Authentisierung werden dabei körperliche Merkmale wie Fingerabdruck, Gesicht oder Retina erfasst. Diese müssen im Anmeldeprozess überprüft werden. Da die biometrischen Merkmale in der Regel nicht geheim sind, muss eine Lebenderkennung sichergestellt sein. So wird ausgeschlossen, dass etwa Fotos für die Authentisierung genutzt werden.

Banken sichern Apps mit Zwei-Faktor-Authentisierung ab

Mit der Umsetzung der Zahlungsdiensterichtlinie PSD2 (Payment Services Directive2) wurden Banken verpflichtet, zukünftig die sogenannte starke Kundenauthentifizierung umzusetzen. Das bedeutet, dass Zahlungen grundsätzlich durch zwei unabhängige Merkmale aus den Kategorien Wissen, Besitz und Inhärenz bestätigt werden.

• Wissen (zum Beispiel PIN, Passwort)
• Besitz (zum Beispiel Handy, Karte, TAN-Generator)
• Inhärenz (zum Beispiel Fingerabdruck)

Umgesetzt wurde dieser Teil der Zahlungsrichtlinie im September 2019. Heute ist es für Nutzer des Onlinebankings üblich, dass diese neben der Kontonummer beziehungsweise dem Benutzernamen auch ein Passwort und einen weiteren Einmal-Code eingeben müssen. Bei der Nutzung sehr vieler Bankverbindungen ist das teils umständlich, da oft für jede Bank eine eigene App zur Generierung der TAN installiert werden muss.

Unseren ausführlichen Ratgeber zum Thema Passwörter und Sicherheit finden Sie hier.

Damit auch Ihre Zugangsdaten nicht in Gefahr sind, warnen wir in unseren Verbraucherschutz-News regelmäßig vor den Phishing-Mails im Namen der Banken und Sparkassen sowie bekannter Unternehmen. Falls Sie keine Neuigkeiten aus dem Finanzbereich verpassen wollen, können Sie sich kostenlos zu unserem Newsletter anmelden.