Mit einem zweiten Faktor wird laut BSI verhindert, dass unbefugte Dritte Zugang zu Nutzerdaten oder Funktionen erhalten, nur weil sie in den Besitz des Passworts gelangt sind. Wie der Name schon sagt, besteht dieses Anmeldeverfahren aus zwei Faktoren. Mittlerweile bieten viele Online-Dienstleister solche Verfahren an; es gibt sie in zahlreichen Varianten. Wissensfaktoren sind Geheimnisse, die nur die berechtigte Person kennt<\/strong>; Besitz ist etwas, \u00fcber das man die physische Kontrolle aus\u00fcbt; Biometrie ist eine physische Eigenschaft einer Person, die als Sicherungsfaktor genutzt wird. Wichtig ist die Verkn\u00fcpfung von Faktoren aus verschiedenen Kategorien.<\/p>\n
Sichert ein Versicherer sein Kundenportal mit Zwei-Faktor-Authentifizierung, reicht ein erbeutetes Passwort allein nicht<\/strong> f\u00fcr den Zugang. Viele \u00fcbliche Zwei-Faktor-Systeme greifen nach der Passwortabfrage auf externe Systeme zur\u00fcck, um eine zweistufige \u00dcberpr\u00fcfung des Nutzers durchzuf\u00fchren. F\u00fcr den Empfang der mTAN ist davon abzuraten, dasselbe Ger\u00e4t wie f\u00fcr das Login bzw. die Nutzung des Dienstes zu verwenden, weil dann keine ausreichende Trennung der Faktoren besteht.<\/p>\n
Wie funktioniert die Zwei-Faktor-Authentifizierung?<\/h2>\n
Bei der Zwei-Faktor-Authentifizierung weist der Nutzer zwei Faktoren aus verschiedenen Kategorien nach; das NIST-Glossar nennt als Beispiel den Besitz eines physischen oder softwarebasierten Tokens in Kombination mit einem gemerkten Geheimnis. Die Faktoren sollten voneinander unabh\u00e4ngig sein und sich nicht durch denselben Angriff kompromittieren lassen<\/strong>.<\/p>\n
NIST stuft die Nutzung des \u00f6ffentlichen Telefonnetzes f\u00fcr die Out-of-Band-Authentisierung als eingeschr\u00e4nkt ein. Damit Nutzer nicht ausgesperrt werden, braucht es einen Mechanismus, um den Zugang zur\u00fcckzugewinnen<\/strong>, wenn sie ihre bestehende Multi-Faktor-Authentifizierung nicht verwenden k\u00f6nnen; dieser darf Angreifern aber keinen Weg bieten, die Multi-Faktor-Authentifizierung zu umgehen und das Konto zu \u00fcbernehmen.<\/p>\n
Zwei-Faktor-Authentifizierung im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
Zwei-Faktor-Authentifizierung<\/th>\n
Multi-Faktor-Authentifizierung<\/th>\n
Authentisierung<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Gegenstand<\/td>\n
Ein Anmeldeverfahren aus zwei Faktoren (BSI).<\/td>\n
Ein Verfahren, das laut OWASP Nachweise von mindestens zwei verschiedenen Authentifizierungsfaktoren verlangt; nach dem BSI ist grunds\u00e4tzlich auch eine Kombination von mehr als zwei Faktoren m\u00f6glich.<\/td>\n
Ein Teilprozess eines Anmeldevorgangs (BSI).<\/td>\n<\/tr>\n
\n
Sprachgebrauch<\/td>\n
Das BSI nennt das Verfahren Zwei-Faktor-Authentisierung (2FA).<\/td>\n
Die NIS-2-Richtlinie f\u00fchrt in Artikel 21 Absatz 2 Buchstabe j L\u00f6sungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung auf.<\/td>\n
Authentisierung und Authentifizierung werden laut BSI im allgemeinen Sprachgebrauch oft synonym verwendet, beschreiben aber verschiedene Teilprozesse eines Anmeldevorgangs.<\/td>\n<\/tr>\n
\n
Zahl der Faktoren<\/td>\n
Zwei Faktoren, die nach dem BSI aus verschiedenen Kategorien stammen m\u00fcssen; nach der OWASP-Definition (mindestens zwei verschiedene Faktoren) ist die Zwei-Faktor-Authentisierung damit ein Fall der Multi-Faktor-Authentifizierung. Die zweistufige \u00dcberpr\u00fcfung vieler \u00fcblicher Systeme \u2013 Passwortabfrage, dann externes System \u2013 beschreibt nach dem BSI den Ablauf, nicht die Zahl der Faktoren.<\/td>\n
Mindestens zwei verschiedene Faktoren (OWASP); nach dem BSI ist grunds\u00e4tzlich eine Kombination beliebig vieler Faktoren m\u00f6glich, wobei die blo\u00dfe Zahl der Faktoren noch nichts \u00fcber die Sicherheit der Gesamtl\u00f6sung aussagt. Beispiel nach dem BSI: Die PIN-Eingabe entsperrt eine Chipkarte, die Faktoren sind verkn\u00fcpft und dadurch nicht getrennt angreifbar.<\/td>\n
Ein Benutzer authentisiert sich an einem System mittels eindeutiger Anmeldeinformationen (BSI).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Woran erkenne ich ein sicheres Verfahren der Zwei-Faktor-Authentifizierung?<\/h2>\n
\n\n
\n
Merkmal<\/th>\n
Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Faktoren aus verschiedenen Kategorien<\/td>\n
Wichtig ist laut BSI, dass die Faktoren aus verschiedenen Kategorien stammen; als Kategorien nennt das BSI Wissen, Besitz und Biometrie.<\/td>\n<\/tr>\n
\n
Unabh\u00e4ngigkeit der Faktoren<\/td>\n
Die Faktoren sollten laut OWASP voneinander unabh\u00e4ngig sein und sich nicht durch denselben Angriff kompromittieren lassen.<\/td>\n<\/tr>\n
\n
Trennung der Ger\u00e4te<\/td>\n
F\u00fcr den Empfang der mTAN r\u00e4t das BSI davon ab, dasselbe Ger\u00e4t wie f\u00fcr das Login zu verwenden, weil dann keine ausreichende Trennung der Faktoren besteht.<\/td>\n<\/tr>\n
\n
Kein doppelter gleicher Faktor<\/td>\n
Mehrere Instanzen desselben Faktors, etwa Passwort und PIN, gelten laut OWASP nicht als Multi-Faktor-Authentifizierung und bieten nur minimalen zus\u00e4tzlichen Schutz.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Vom Deaktivieren des Verfahrens ist abzuraten.<\/li>\n
Die NIS-2-Richtlinie richtet sich an die Mitgliedstaaten, die sicherstellen, dass wesentliche und wichtige Einrichtungen geeignete und verh\u00e4ltnism\u00e4\u00dfige technische, operative und organisatorische Ma\u00dfnahmen ergreifen; Artikel 21 Absatz 2 Buchstabe j f\u00fchrt dazu die Verwendung von L\u00f6sungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung auf.<\/li>\n
Laut OWASP ist Multi-Faktor-Authentifizierung mit Abstand die beste Verteidigung gegen die Mehrheit passwortbezogener Angriffe wie Brute-Force, Credential Stuffing und Password Spraying.<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,402,401],"class_list":["post-34073","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-authentifizierung-credential-management","glossary_intl_topic-identitaet-zugriff"],"acf":{"card_description":"Zwei-Faktor-Authentifizierung kombiniert zwei Faktoren aus verschiedenen Kategorien f\u00fcr die Anmeldung.","nav_theme":"Identit\u00e4t & Zugriff","nav_subtheme":"Authentifizierung & Credential-Management","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"2FA"},{"value":"Zwei-Faktor-Authentisierung"}],"lead_definition":"Zwei-Faktor-Authentifizierung (2FA) ist ein Anmeldeverfahren aus zwei Faktoren, das das Passwort erg\u00e4nzt oder ersetzt, wobei es laut BSI wichtig ist, dass die beiden Faktoren aus verschiedenen Kategorien stammen.","at_a_glance":[{"bullet":"Mehrere Instanzen desselben Faktors, etwa Passwort und PIN, gelten laut OWASP nicht als Multi-Faktor-Authentifizierung und bieten nur minimalen zus\u00e4tzlichen Schutz."},{"bullet":"Die blo\u00dfe Verwendung von zwei oder mehr Faktoren sagt noch nichts \u00fcber die Sicherheit der Gesamtl\u00f6sung aus."},{"bullet":"Authentisierung und Authentifizierung werden im allgemeinen Sprachgebrauch oft synonym verwendet, beschreiben aber verschiedene Teilprozesse eines Anmeldevorgangs."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Beim Online-Banking meldet sich ein Nutzer mit seinem Passwort an und best\u00e4tigt Transaktionen zus\u00e4tzlich mit einer TAN; wird die TAN per SMS zugestellt, nutzt dieser Weg das \u00f6ffentliche Telefonnetz, dessen Nutzung f\u00fcr die Out-of-Band-Authentisierung als eingeschr\u00e4nkt eingestuft ist."},{"example":"Bei der Online-Ausweisfunktion werden Faktoren aus verschiedenen Kategorien verkn\u00fcpft."},{"example":"Verlangt ein Dienst bei der Anmeldung Passwort und PIN, fragt er zwei Instanzen desselben Faktors ab; das erf\u00fcllt nicht die Anforderung der Multi-Faktor-Authentifizierung und bietet nur minimalen zus\u00e4tzlichen Schutz."}],"misconception":[{"myth":"Wer zwei oder mehr Faktoren verwendet, hat damit automatisch ein sicheres Verfahren.","reality":"Das BSI h\u00e4lt fest, dass die blo\u00dfe Verwendung von zwei oder mehr Faktoren noch nichts \u00fcber die Sicherheit der Gesamtl\u00f6sung aussagt. Laut BSI ist wichtig, dass die Faktoren aus verschiedenen Kategorien stammen; grunds\u00e4tzlich erh\u00f6ht ein zweiter Faktor zwar immer die Sicherheit, es kommt dabei aber auch auf die Art der Umsetzung und Verwendung des zweiten Faktors an."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34079,34077,33637,34069,34065,33644,33635,33731],"pillar_link":null,"sources":[{"publisher":"","name":"Zwei-Faktor-Authentisierung \u2013 mehr Sicherheit f\u00fcr Ger\u00e4te und Daten","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Cyber-Sicherheitsempfehlungen\/Accountschutz\/Zwei-Faktor-Authentisierung\/zwei-faktor-authentisierung_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Multifactor Authentication","url":"https:\/\/cheatsheetseries.owasp.org\/cheatsheets\/Multifactor_Authentication_Cheat_Sheet.html","doc_type":"","group":"used"},{"publisher":"","name":"Multi-Faktor-Authentisierung und gesicherte Kommunikation","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Regulierte-Wirtschaft\/NIS-2-regulierte-Unternehmen\/NIS-2-Infopakete\/NIS-2-MFA\/NIS-2-MFA_node.html","doc_type":"2025","group":"used"},{"publisher":"","name":"Zwei-Faktor-Authentisierung f\u00fcr mehr Datensicherheit","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Wie-geht-Internet\/Zwei-Faktor-Authentisierung-Datensicherheit\/zwei-faktor-authentisierung-datensicherheit_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Two-Factor Authentication - Glossary | CSRC","url":"https:\/\/csrc.nist.gov\/glossary\/term\/two_factor_authentication","doc_type":"","group":"used"},{"publisher":"","name":"Richtlinie (EU) 2022\/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/9b84d482-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"NIST SP 800-63B-4: Digital Identity Guidelines \u2013 Authentication and Authenticator Management","url":"https:\/\/pages.nist.gov\/800-63-4\/sp800-63b.html","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-10"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t