Zwei-Faktor-Authentifizierung (2FA) ist ein Anmeldeverfahren aus zwei Faktoren, das das Passwort ergänzt oder ersetzt, wobei es laut BSI wichtig ist, dass die beiden Faktoren aus verschiedenen Kategorien stammen.
Auf einen Blick
Mehrere Instanzen desselben Faktors, etwa Passwort und PIN, gelten laut OWASP nicht als Multi-Faktor-Authentifizierung und bieten nur minimalen zusätzlichen Schutz.
Die bloße Verwendung von zwei oder mehr Faktoren sagt noch nichts über die Sicherheit der Gesamtlösung aus.
Authentisierung und Authentifizierung werden im allgemeinen Sprachgebrauch oft synonym verwendet, beschreiben aber verschiedene Teilprozesse eines Anmeldevorgangs.
Was ist Zwei-Faktor-Authentifizierung?
Mit einem zweiten Faktor wird laut BSI verhindert, dass unbefugte Dritte Zugang zu Nutzerdaten oder Funktionen erhalten, nur weil sie in den Besitz des Passworts gelangt sind. Wie der Name schon sagt, besteht dieses Anmeldeverfahren aus zwei Faktoren. Mittlerweile bieten viele Online-Dienstleister solche Verfahren an; es gibt sie in zahlreichen Varianten. Wissensfaktoren sind Geheimnisse, die nur die berechtigte Person kennt; Besitz ist etwas, über das man die physische Kontrolle ausübt; Biometrie ist eine physische Eigenschaft einer Person, die als Sicherungsfaktor genutzt wird. Wichtig ist die Verknüpfung von Faktoren aus verschiedenen Kategorien.
Sichert ein Versicherer sein Kundenportal mit Zwei-Faktor-Authentifizierung, reicht ein erbeutetes Passwort allein nicht für den Zugang. Viele übliche Zwei-Faktor-Systeme greifen nach der Passwortabfrage auf externe Systeme zurück, um eine zweistufige Überprüfung des Nutzers durchzuführen. Für den Empfang der mTAN ist davon abzuraten, dasselbe Gerät wie für das Login bzw. die Nutzung des Dienstes zu verwenden, weil dann keine ausreichende Trennung der Faktoren besteht.
Wie funktioniert die Zwei-Faktor-Authentifizierung?
Bei der Zwei-Faktor-Authentifizierung weist der Nutzer zwei Faktoren aus verschiedenen Kategorien nach; das NIST-Glossar nennt als Beispiel den Besitz eines physischen oder softwarebasierten Tokens in Kombination mit einem gemerkten Geheimnis. Die Faktoren sollten voneinander unabhängig sein und sich nicht durch denselben Angriff kompromittieren lassen.
NIST stuft die Nutzung des öffentlichen Telefonnetzes für die Out-of-Band-Authentisierung als eingeschränkt ein. Damit Nutzer nicht ausgesperrt werden, braucht es einen Mechanismus, um den Zugang zurückzugewinnen, wenn sie ihre bestehende Multi-Faktor-Authentifizierung nicht verwenden können; dieser darf Angreifern aber keinen Weg bieten, die Multi-Faktor-Authentifizierung zu umgehen und das Konto zu übernehmen.
Zwei-Faktor-Authentifizierung im Vergleich
| Kriterium | Zwei-Faktor-Authentifizierung | Multi-Faktor-Authentifizierung | Authentisierung |
|---|---|---|---|
| Gegenstand | Ein Anmeldeverfahren aus zwei Faktoren (BSI). | Ein Verfahren, das laut OWASP Nachweise von mindestens zwei verschiedenen Authentifizierungsfaktoren verlangt; nach dem BSI ist grundsätzlich auch eine Kombination von mehr als zwei Faktoren möglich. | Ein Teilprozess eines Anmeldevorgangs (BSI). |
| Sprachgebrauch | Das BSI nennt das Verfahren Zwei-Faktor-Authentisierung (2FA). | Die NIS-2-Richtlinie führt in Artikel 21 Absatz 2 Buchstabe j Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung auf. | Authentisierung und Authentifizierung werden laut BSI im allgemeinen Sprachgebrauch oft synonym verwendet, beschreiben aber verschiedene Teilprozesse eines Anmeldevorgangs. |
| Zahl der Faktoren | Zwei Faktoren, die nach dem BSI aus verschiedenen Kategorien stammen müssen; nach der OWASP-Definition (mindestens zwei verschiedene Faktoren) ist die Zwei-Faktor-Authentisierung damit ein Fall der Multi-Faktor-Authentifizierung. Die zweistufige Überprüfung vieler üblicher Systeme – Passwortabfrage, dann externes System – beschreibt nach dem BSI den Ablauf, nicht die Zahl der Faktoren. | Mindestens zwei verschiedene Faktoren (OWASP); nach dem BSI ist grundsätzlich eine Kombination beliebig vieler Faktoren möglich, wobei die bloße Zahl der Faktoren noch nichts über die Sicherheit der Gesamtlösung aussagt. Beispiel nach dem BSI: Die PIN-Eingabe entsperrt eine Chipkarte, die Faktoren sind verknüpft und dadurch nicht getrennt angreifbar. | Ein Benutzer authentisiert sich an einem System mittels eindeutiger Anmeldeinformationen (BSI). |
Woran erkenne ich ein sicheres Verfahren der Zwei-Faktor-Authentifizierung?
| Merkmal | Worauf es ankommt |
|---|---|
| Faktoren aus verschiedenen Kategorien | Wichtig ist laut BSI, dass die Faktoren aus verschiedenen Kategorien stammen; als Kategorien nennt das BSI Wissen, Besitz und Biometrie. |
| Unabhängigkeit der Faktoren | Die Faktoren sollten laut OWASP voneinander unabhängig sein und sich nicht durch denselben Angriff kompromittieren lassen. |
| Trennung der Geräte | Für den Empfang der mTAN rät das BSI davon ab, dasselbe Gerät wie für das Login zu verwenden, weil dann keine ausreichende Trennung der Faktoren besteht. |
| Kein doppelter gleicher Faktor | Mehrere Instanzen desselben Faktors, etwa Passwort und PIN, gelten laut OWASP nicht als Multi-Faktor-Authentifizierung und bieten nur minimalen zusätzlichen Schutz. |
Schutz im Ernstfall
Vorbeugen
- Vom Deaktivieren des Verfahrens ist abzuraten.
- Die NIS-2-Richtlinie richtet sich an die Mitgliedstaaten, die sicherstellen, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen; Artikel 21 Absatz 2 Buchstabe j führt dazu die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung auf.
- Laut OWASP ist Multi-Faktor-Authentifizierung mit Abstand die beste Verteidigung gegen die Mehrheit passwortbezogener Angriffe wie Brute-Force, Credential Stuffing und Password Spraying.
Beispiele aus der Praxis
- Beim Online-Banking meldet sich ein Nutzer mit seinem Passwort an und bestätigt Transaktionen zusätzlich mit einer TAN; wird die TAN per SMS zugestellt, nutzt dieser Weg das öffentliche Telefonnetz, dessen Nutzung für die Out-of-Band-Authentisierung als eingeschränkt eingestuft ist.
- Bei der Online-Ausweisfunktion werden Faktoren aus verschiedenen Kategorien verknüpft.
- Verlangt ein Dienst bei der Anmeldung Passwort und PIN, fragt er zwei Instanzen desselben Faktors ab; das erfüllt nicht die Anforderung der Multi-Faktor-Authentifizierung und bietet nur minimalen zusätzlichen Schutz.
Häufiger Irrtum
Mythos „Wer zwei oder mehr Faktoren verwendet, hat damit automatisch ein sicheres Verfahren.“
Richtig Das BSI hält fest, dass die bloße Verwendung von zwei oder mehr Faktoren noch nichts über die Sicherheit der Gesamtlösung aussagt. Laut BSI ist wichtig, dass die Faktoren aus verschiedenen Kategorien stammen; grundsätzlich erhöht ein zweiter Faktor zwar immer die Sicherheit, es kommt dabei aber auch auf die Art der Umsetzung und Verwendung des zweiten Faktors an.
