In zahlreichen Varianten existiert die sogenannte 2-Faktor-Authentifizierung (2FA): Diese funktioniert indem das vorher einzugebende Passwort um einen zus\u00e4tzlichen Faktor erg\u00e4nzt, oder einstige Login-Verfahren komplett durch eine Kombination zweier Faktoren ersetzt werden. In unserem heutigen Blogbeitrag werfen wir einen Blick auf die verschiedenen Ans\u00e4tze der 2-Faktor-Authentifizierung und betrachten auch die Risiken. Grunds\u00e4tzlich gilt: Auf eine 2-Faktor-Authentifizierung zu setzen, ist immer sicherer.<\/p>\n
H\u00e4ufig werden die Begrifflichkeiten „Authentisierung“ und „Authentifizierung“ im Zusammenhang mit der 2-Faktor-Authentifizierung synonym verwendet. Streng genommen beschreiben diese Begriffe jedoch verschiedene Teilprozesse von Anmeldevorg\u00e4ngen. Nutzer authentisieren sich mit eindeutigen Anmeldeinformationen wie Passwort oder Chipkarte an einem System. Mit dem \u00dcberpr\u00fcfen der G\u00fcltigkeit der verwendeten Daten authentifiziert das System den Nutzer.<\/p>\n
In aller Regel beginnt der Authentisierungsprozess bei der 2-Faktor-Authentifizierung mittels mehrerer Faktoren mit dem Eingeben eines sicheren Passworts. Best\u00e4tigt das System die Richtigkeit des eingegebenen Kennworts, f\u00fchrt dies nicht etwa direkt zum gew\u00fcnschten Inhalt, sondern zu einer zus\u00e4tzlichen Sicherheitsschranke \u2013 dem zweiten Faktor. So l\u00e4sst sich verhindern, dass Unbefugte, die im Besitz des Passworts sind, Zugang zu Daten oder Funktionen erhalten.<\/p>\n
\u00dcblicherweise greifen die Systeme hinter der 2-Faktor-Authentifizierung nach der Kennwortabfrage auf ein externes System zur\u00fcck, um die zweistufige Pr\u00fcfung des Nutzers durchzuf\u00fchren. Wie dies aussieht, kann von Anbieter zu Anbieter verschieden sein: Wom\u00f6glich wird ein zweiter Code auf ein externes Ger\u00e4t wie das Smartphone gesendet. M\u00f6glich ist weiter, dass der zweite Faktor der Fingerabdruck des Nutzers auf einem entsprechenden Sensor ist. Denkbar sind auch Chipkarten oder USB-Tokens. Grundlegend f\u00fcr die 2-Faktor-Authentifizierung sind drei S\u00e4ulen:<\/p>\n
Die jeweils verwendeten Faktoren stammen idealerweise aus verschiedenen Kategorien. So wird die 2-Wege-Authentifizierung sicherer, wenn Wissen (z. B. PIN oder Passwort) mit Besitz (z. B. Chipkarte) oder Biometrie (z. B. Finger-\/Augenabdruck) kombiniert werden.<\/p>\n
Der wohl gr\u00f6\u00dfte Vorteil der 2FA besteht darin, dass weder Diebstahl noch ein unbefugtes Kopieren von Zugangsdaten Zugang zum System freigeben. Hacker und andere Cyberkriminelle m\u00fcssen gleichzeitig im Besitz des zweiten Faktors sein, um eindringen zu k\u00f6nnen. Die h\u00e4ufigsten Bedrohungsszenarien f\u00fcr den Identit\u00e4tsdiebstahl sind dank 2-Faktor-Authentifizierung auszuschlie\u00dfen.<\/p>\n
<\/p>\n
Es gibt viele Verfahren zur 2-Faktor-Authentifizierung \u2013 die f\u00fcnf am h\u00e4ufigsten genutzten stellen wir Ihnen im Folgenden vor.<\/p>\n
Unter TAN (Transaktionsnummer) bzw. OTP (One-Time-Password) versteht man ein Einmalkennwort, welches als zweiter Faktor \u00fcbermittelt wird. In grauer Vorzeit stellte man TANs auf Papierlisten bereit, jedoch zeigte sich dieses Verfahren als nicht sicher. TAN-Generatoren (Hardware) bzw. Authenticator Apps (Software) sind sicherer; sie generieren Einmalkennw\u00f6rter ereignis- oder zeitbasiert. Zu den sichersten Varianten am derzeitigen Markt z\u00e4hlen TAN-Generatoren, die zum Erzeugen einer TAN Transaktionsdaten wie Kontonummer oder Betrag einbeziehen (eTAN, chipTAN).<\/p>\n
TOTP steht f\u00fcr Time-based One-Time Password, womit Sinn und Zweck schon etwas klarer werden. Solche Passw\u00f6rter werden kryptografisch generiert und eignen sich zur einmaligen Verwendung. Die Passw\u00f6rter werden mittels TOTP-Software erzeugt; in aller Regel durch eine App auf einem Mobilger\u00e4t. W\u00e4hrend der Initialisierung schaffen Server und App entsprechende TOTP-Passw\u00f6rter. Eine \u00e4hnliche Alternative ist unter dem Namen HOTP (HMAC-based One-time Password) bekannt.<\/p>\n
Der Markt stellt verschiedene Hardware f\u00fcr die 2FA bereit; allen voran sind hier RSA SecurID oder SafeNet eToken zu nennen. Wenngleich sich die Produkte im Detail unterscheiden k\u00f6nnen, \u00e4hneln sich die Hauptfunktionen. \u00c4hnlich wie bei Software-Token wird kryptografisch eine Zufallszahl generiert, die als zweiter Faktor im Login-Prozess genutzt wird.<\/p>\n
Das kryptografische Token dient dazu, einen privaten kryptografischen Schl\u00fcssel zu speichern. Die Authentifizierung erfolgt, indem eine Anforderung an das Token gesendet wird, welches nur vom Token mit dem privaten Schl\u00fcssel korrekt beantwortet werden kann.<\/p>\n