Die sechs gebräuchlichsten 2FA-Verfahren stellen wir Ihnen hier vor.
Zwei-Faktor-Authentifizierung per SMS
Das am weitesten verbreitete Verfahren ist die Zwei-Faktor-Authentifizierung mittels SMS. Dafür hinterlegt der Nutzer seine Mobilfunknummer beim jeweiligen Onlinedienst. Wenn er sich etwa am PC mit seinem Nutzernamen und Passwort (erster Faktor: Wissen) bei einem Dienst einloggt, schickt dieser eine SMS mit einem weiteren Code auf das Mobiltelefon (zweiter Faktor: Besitz).
Diesen Code geben die Nutzer anschließend auf der Internetseite des Onlinedienstes ein. Dabei tickt oft die Uhr: In der Regel akzeptiert die Webseite den Code nur innerhalb eines kurzen Zeitraums. Das erhöht die Sicherheit weiter. Noch sicherer wird dieses Verfahren, wenn Nutzer über die Einstellungen ihres Smartphones verhindern, dass es die SMS auf dem Sperrbildschirm anzeigt – und damit für jedermann sichtbar ist.
Zwei-Faktor-Authentifizierung per Einmalkennwort
Ein weiteres, ebenfalls häufig verwendetes Verfahren ist das Nutzen von One-Time-Passwords (OTP), also Einmalkennwörtern. Während der Registrierung zeigt die Webseite einen QR-Code – diesen fotografieren die Nutzer über die Kamera des Smartphone mit speziellen „Authenticator“-Apps, wie sie etwa von Google und Microsoft angeboten werden.
Bei jedem Login berechnet die App dann einen sechsstelligen Code, den Nutzer in der Anmeldemaske der jeweiligen Webseite eingeben. Dieser Code gilt nur kurze Zeit. Das Verfahren ist standardisiert: Die Apps funktionieren bei jeder Webseite, die OTP unterstützt.
Zwei-Faktor-Authentifizierung per Anruf
Anstatt sich den Code per SMS zusenden zu lassen, kann der Nutzer sich von einigen Online-Diensten auch anrufen lassen. Den Code sagt dann eine Computerstimme an.
Zwei-Faktor-Authentifizierung per USB-Stick
Ein besonders sicheres Verfahren funktioniert mit einem persönlichen, sogenannten USB-Token als zweitem Identifikationsfaktor. Das ist ein spezieller USB-Stick, auf dem ein digitaler Sicherheitsschlüssel einprogrammiert ist. Daten lassen sich darauf nicht speichern.
Für die Initialisierung stecken Nutzer diesen Stick in die USB-Schnittstelle ihres Rechners. Nach Eingabe von Nutzernamen und Passwort drücken sie auf Aufforderung eine Taste auf diesem Stick. Das war‘s. Bei jedem folgenden Anmeldevorgang stecken Nutzer ihn in die USB-Buchse des gerade genutzten Rechners – oder koppeln ihn über den Nahfeldfunk NFC mit Smartphones.
Zwei-Faktor-Authentifizierung per E-Mail
Sehr selten bieten Internetdienste ein 2FA-Verfahren mittels E-Mail an. Hierbei senden sie den Nutzern als zweiten Faktor eine E-Mail mit einem Code oder Zusatzpasswort. Wir raten jedoch dringend, dafür einen anderen E-Mail-Account anzugeben als denjenigen, der für den Login genutzt wird. Sonst kann ein Angreifer, der das Passwort des E-Mail-Kontos kennt, auch die Einmal-Codes abfangen.
Anbieterspezifische Verfahren und „One-Click-Logins“
Vor allem von Social-Media-Diensten sind anbieterspezifische Lösungen bekannt. Verbreitet sind auch „One-Click-Logins“, bei dem die Nutzer keinen zweiten Code eingeben müssen. Stattdessen erscheint eine Pop-Up-Nachricht auf dem Smartphone, die der Nutzer bestätigen muss – das war‘s.
Solche Verfahren setzen zum Beispiel Messenger-Dienste wie WhatsApp, Signal und Telegram ein, aber auch Passwort-Manager wie Dashlane oder LastPass (Test Passwort-Manager).
Fazit: Doppelt hält besser
Sichere Passwörter plus ein zusätzliches, zweites Sicherheitsmerkmal schützen sehr wirksam vor Missbrauch der Onlinekonten durch Kriminelle. Selbst wenn Nutzer auf einen einfachen Phishing-Angriff hereinfallen und ihr Passwort offenbaren, können Fremde nicht auf den so geschützten Onlinedienst zugreifen, weil ihnen der notwendige zweite Faktor für einen erfolgreichen Login fehlt.
Dieses Thema ist im Juni 2017 erstmals auf test.de erschienen. Wir haben es zuletzt im Dezember 2020 überarbeitet.
