Online-Konten schützen mit 2FA So funk­tioniert Zwei-Faktor-Schutz

Darum haben Hacker oft leichtes Spiel

Trotz der Warnungen von Sicher­heits­experten verwenden viele Nutzer ein- und dasselbe Pass­wort für mehrere Online­dienste. Ein erfolg­reicher Phishing-Angriff gefährdet dann gleich mehrere Konten. Unsichere Pass­wörter sind daher ein will­kommenes Einfalls­tor für Hacker. Angreifer arbeiten in einem ersten Schritt Listen beliebter Pass­wörter ab und knacken so im Hand­umdrehen etwa das E-Mail-Post­fach, den Twitter-Account oder den Zugang zu einem Bezahl­dienst.

Tipp: Nutzen Sie für jeden Dienst ein eigenes, starkes Pass­wort. Meiden Sie simple Zeichen­folgen wie „0000“, „12345678“ und „pass­wort“. Tipps zum Erstellen starker Pass­wörter finden Sie im Special Datensicherheit: 10 Tipps für sicheres Surfen. Oder Sie nutzen einfach einen Passwortmanager – ein solches Programm erstellt komplexe, kaum knack­bare Kenn­wörter und gibt sie eigen­ständig auf Websites und in ein Apps ein, sodass Sie sich die Pass­wörter nicht mehr merken müssen.

2FA funk­tioniert wie Bank­karte plus Pin

Banken nutzen die Zwei-Faktor-Authentifizierung seit Jahr­zehnten: Wer am Geld­automaten Geld abheben will, benötigt neben seiner persönlichen Bank­karte zusätzlich noch die dazu­gehörige Pin-Geheim­nummer. Diese Kombination zweier voneinander unabhängiger Faktoren – Wissen (Pin-Nummer) plus Besitz (Karte) – bietet einen deutlich erhöhten Schutz vor Miss­brauch.
Im Internet ermöglichen daher immer mehr Unternehmen ihren Kunden, die Zwei-Faktor-Authentifizierung zu verwenden. Zu den Vorreitern gehören hier erneut Banken – etwa beim Online­banking per Girokonto, beim Zahlen per Kreditkarte im Netz oder bei Online-Trans­aktionen inner­halb des eigenen Wertpapierdepots.

PC + Smartphone = noch besserer Schutz

Guten Schutz bietet das Verfahren Nutzern insbesondere dann, wenn sie für 2FA auch zwei Geräte verwenden – also etwa, indem sie am PC das Online-Banking aufrufen, den temporären Login-Code aber auf ihrem Handy empfangen. Dann müsste ein Angreifer gleich zwei Geräte des Nutzers kontrollieren können, um an dessen Daten zu kommen. Das ist unwahr­scheinlich. Zwei Geräte, starke Pass­wörter und Zwei-Faktor-Authentifizierung – diese Kombi verspricht viel Sicherheit. Zusätzlich sollten Nutzer auf jeden Fall ein Antivirenprogramm auf ihrem Computer verwenden – auch das schützt gegen Angriffe und Hacks.

Zwei-Faktor-Authentifizierung per SMS

Eines der am weitesten verbreiteten Verfahren ist die Zwei-Faktor-Authentifizierung mittels SMS. Dafür hinterlegt der Nutzer seine Mobil­funk­nummer beim jeweiligen Online­dienst. Wenn er sich etwa am PC mit seinem Nutzer­namen und Pass­wort (erster Faktor: Wissen) bei einem Dienst einloggt, schickt dieser eine SMS mit einem weiteren Code auf das Mobiltelefon (zweiter Faktor: Besitz).

Diesen Code geben die Nutzer anschließend auf der Internetseite des Online­dienstes ein. Dabei tickt oft die Uhr: In der Regel akzeptiert die Webseite den Code nur inner­halb eines kurzen Zeitraums. Das erhöht die Sicherheit weiter. Noch sicherer wird dieses Verfahren, wenn Nutzer über die Einstel­lungen ihres Smartphones verhindern, dass es die SMS auf dem Sperr­bild­schirm anzeigt – und damit für jedermann sicht­bar ist.

Zwei-Faktor-Authentifizierung per Einmalkenn­wort

Ein weiteres, ebenfalls häufig verwendetes Verfahren ist das Nutzen von One-Time-Pass­words (OTP), also Einmalkenn­wörtern. Während der Registrierung zeigt die Webseite einen QR-Code – diesen fotografieren die Nutzer über die Kamera des Smartphone mit speziellen „Authenticator“-Apps, wie sie etwa von Google und Microsoft angeboten werden.

Bei jedem Login berechnet die App dann einen sechs­stel­ligen Code, den Nutzer in der Anmeldemaske der jeweiligen Webseite eingeben. Dieser Code gilt nur kurze Zeit. Das Verfahren ist stan­dardisiert: Die Apps funk­tionieren bei jeder Webseite, die OTP unterstützt.

Zwei-Faktor-Authentifizierung per Anruf

Anstatt sich den Code per SMS zusenden zu lassen, kann der Nutzer sich von einigen Online-Diensten auch anrufen lassen. Den Code sagt dann eine Computer­stimme an.

Zwei-Faktor-Authentifizierung per USB-Stick

Ein besonders sicheres Verfahren funk­tioniert mit einem persönlichen, sogenannten USB-Token als zweitem Identifikations­faktor. Das ist ein spezieller USB-Stick, auf dem ein digi­taler Sicher­heits­schlüssel einprogrammiert ist. Daten lassen sich darauf nicht speichern.

Für die Initialisierung stecken Nutzer diesen Stick in die USB-Schnitt­stelle ihres Rechners. Nach Eingabe von Nutzer­namen und Pass­wort drücken sie auf Aufforderung eine Taste auf diesem Stick. Das war‘s. Bei jedem folgenden Anmelde­vorgang stecken Nutzer ihn in die USB-Buchse des gerade genutzten Rechners – oder koppeln ihn über die Nahfunk-Technik NFC mit Smartphones.

Zwei-Faktor-Authentifizierung per E-Mail

Sehr selten bieten Internet­dienste ein 2FA-Verfahren mittels E-Mail an. Hierbei senden sie den Nutzern als zweiten Faktor eine E-Mail mit einem Code oder Zusatz­pass­wort. Wir raten jedoch dringend, dafür einen anderen E-Mail-Account anzu­geben als denjenigen, der für den Login genutzt wird. Sonst kann ein Angreifer, der das Pass­wort des E-Mail-Kontos kennt, auch die Einmal-Codes abfangen.

Anbieterspezi­fische Verfahren und „One-Click-Logins“

Vor allem von Social-Media-Diensten sind anbieterspezi­fische Lösungen bekannt. Verbreitet sind auch „One-Click-Logins“, bei dem die Nutzer keinen zweiten Code eingeben müssen. Statt­dessen erscheint eine Pop-Up-Nach­richt auf dem Smartphone, die der Nutzer bestätigen muss – das war‘s.

Solche Verfahren setzen zum Beispiel Messenger-Dienste wie WhatsApp, Signal und Telegram ein, aber auch manche Passwort-Manager.

Fazit: Doppelt hält besser

Sichere Pass­wörter plus ein zusätzliches, zweites Sicher­heits­merkmal schützen sehr wirk­sam vor Miss­brauch der Online­konten durch Kriminelle. Selbst wenn Nutzer auf einen einfachen Phishing-Angriff herein­fallen und ihr Pass­wort offen­baren, können Fremde nicht auf den so geschützten Online­dienst zugreifen, weil ihnen der notwendige zweite Faktor für einen erfolg­reichen Login fehlt.

Dieses Thema ist im Juni 2017 erst­mals auf test.de erschienen. Wir haben es zuletzt im Juni 2023 über­arbeitet.