Duale Authentifizierung: Eine notwendige zusätzliche Sicherheitsebene

Kurzfassung

Die Zwei-Faktor-Authentifizierung (2FA) – auch duale Authentifizierung genannt – stärkt die Kontosicherheit, indem sie von Nutzer:innen verlangt, ihre Identität durch zwei unterschiedliche Faktoren zu verifizieren: etwas, das sie wissen (wie ein Passwort), etwas, das sie besitzen (wie ein Telefon oder ein Hardware-Token), oder etwas, das sie sind (wie ein Fingerabdruck). Da Passwörter allein leicht gestohlen, erraten oder wiederverwendet werden können, verringert das Hinzufügen einer zweiten Ebene das Risiko eines unbefugten Zugriffs drastisch. Große Plattformen wie Google, Apple und Microsoft setzen bereits auf 2FA, und die Branche entwickelt sich hin zu noch stärkeren Multi-Faktor- und passwortlosen Ansätzen.

Verständnis der Zwei-Faktor-Authentifizierung und Kontosicherheit

Duale Authentifizierung, auch Zwei-Faktor-Authentifizierung (2FA) oder 2FA genannt, kann die Online-Sicherheit verbessern, indem für den Zugriff mehr als nur ein Passwort erforderlich ist. 

Cybersicherheit wird immer wichtiger, da sich unser Leben zunehmend in die digitale Welt verlagert. Vertrauliche Daten und Informationen können leicht böswilligen Cyberkriminellen und Akteuren in die Hände fallen. 

Die duale Authentifizierung erfordert die Verwendung einer zusätzlichen Authentifizierungsmethode zusammen mit Ihren Anmeldedaten, in der Regel einen biometrischen Faktor oder ein Sicherheitstoken. Diese zusätzliche Sicherheitsebene kann es unbefugten Nutzer:innen erschweren, auf Ihre Accounts und Informationen zuzugreifen. 

Die Zwei-Faktor-Authentifizierung bietet eine bessere Kontrolle über den Zugriff auf sensible Systeme und vertrauliche Daten.

Was ist duale Authentifizierung?

Kurz gesagt verwendet die duale Authentifizierung zwei Formen von Authentifizierungsmethoden, um die Identität zu überprüfen. Neben 2FA und Zwei-Faktor-Authentifizierung wird es manchmal auch als zweistufige Verifizierung und dual-Faktor-Authentifizierung bezeichnet. 

Dies ist ein Fortschritt gegenüber der Einzelfaktor-Authentifizierung (SFA), die den Zugriff auf ein System oder einen Account mit nur einer Anmeldung und einem Passwort ermöglicht. Anmeldedaten können kompromittiert, gehackt oder gestohlen werden. Daher sind Methoden der Multi-Faktor-Authentifizierung (MFA), die mehr als eine Form der Autorisierung erfordern, sicherer.

Die duale Authentifizierung erfordert die Verwendung von zwei der drei anerkannten Faktoren zur Identitätsprüfung:

• Etwas, das man weiß, meist ein Passwort oder eine persönliche Identifikationsnummer (PIN)
• Etwas, das Sie haben, wie ein Mobiltelefon, eine Kreditkarte oder ein Hardware-Token
• Etwas, das man ist, beispielsweise ein biometrisches Merkmal wie ein Fingerabdruck oder ein Gesichtsscan

Duale Authentifizierungsmethoden verwenden zwei dieser Authentifizierungsfaktoren, um auf ein System oder einen Dienst zuzugreifen. 

Wie funktioniert die duale Authentifizierung?

Um die duale Authentifizierung zu nutzen, muss ein Benutzer zwei Autorisierungsfaktoren bereitstellen, die jeweils aus einer anderen Kategorie stammen. 

Beispielsweise gelten ein Passwort und die Antwort auf eine geheime Frage beide als wissensbasierte Authentifizierungsfaktoren und zählen daher nicht als Zwei-Faktor-Authentifizierungsmethoden. Stattdessen müssen Sie ein Passwort und anschließend einen zweiten Faktor, wie etwa einen Fingerabdruck, angeben, um Zugriff zu erhalten und Ihre Identität zu verifizieren.

Jeder Anbieter oder jede Anwendung kann eine andere Methode zur Aktivierung der Zwei-Faktor-Authentifizierung verwenden, aber der allgemeine mehrstufige Prozess sieht wie folgt aus:

1. Anwendung oder Website fordert einen Benutzer auf, Anmeldedaten einzugeben.
2. Der Benutzer gibt wissensbasierte Informationen ein, typischerweise einen Benutzernamen und ein Passwort.
3. Wenn kein Passwort erforderlich ist, verwendet die Website oft einen eindeutigen Sicherheitsschlüssel, der vom Server der Website validiert und authentifiziert wird.
4. Die Website oder Anwendung fordert dann über einen zweiten Anmeldeschritt die zweite Form der Authentifizierung an.
5. Die Benutzer:innen stellen etwas bereit, das sie haben oder besitzen, was einen Gesichtserkennungsscan, einen Fingerabdruckscan, einen Ausweis, ein Sicherheitstoken oder ein Smartphone umfassen kann.
6. Ein Benutzer kann aufgefordert werden, einen einmaligen Code einzugeben, der im vorherigen Schritt für das angegebene Gerät generiert wurde.
7. Beide Authentifizierungsfaktoren werden verifiziert und der Zugriff wird gewährt.

Ein Benutzer muss beide Formen der Authentifizierung angeben können, um auf den Dienst oder das Produkt zuzugreifen. So bleibt der Zugriff sicher, selbst wenn eine davon kompromittiert ist.

Warum stellen Passwörter ein Sicherheitsrisiko dar?

Passwörter sind aus verschiedenen Gründen die unsicherste Form der Sicherheit, die es gibt. Angesichts fortschrittlicherer Cyberkrimineller und sich weiterentwickelnder Hacking-Methoden besteht ein zwingender Bedarf an sichereren Systemen und Konten. 

Laut dem Federal Bureau of Investigation (FBI) waren Phishing-Angriffe im Jahr 2020 eine der häufigsten Formen der Cyberkriminalität. Ein Phishing-Angriff erlangt Zugriff auf die Anmeldedaten eines Benutzers, einschließlich Passwörter, und erhält dadurch Zugriff auf privilegierte Daten und Informationen.

Passwörter sind aus den folgenden Gründen eine schwache Form der Benutzerauthentifizierung:

• Menschliche Natur: Es ist erwiesen, dass einfache und leicht zu merkende Passwörter auch leicht zu erraten und somit zu stehlen sind, aber menschliche Nutzer:innen halten weiterhin an Dingen fest, die sie sich merken können. Passwörter sind häufig zu einfach oder werden an leicht zu findenden Orten aufbewahrt – einfach für die Benutzer:innen, aber auch einfach für potenzielle unbefugte Benutzer:innen.  
• Breite Verwendung: Um es sich einfacher zu machen, verwendet ein Benutzer oft dasselbe Passwort oder dieselbe Passwortkombination für eine Vielzahl von Plattformen und Konten. Dies macht es Hackern leicht, durch den Diebstahl eines einzigen Passworts Zugriff auf einen Großteil des digitalen Fußabdrucks eines Benutzers zu erlangen.  
• Nicht oft genug geändert: Für zusätzliche Sicherheit sollten Passwörter regelmäßig geändert werden, um zu verhindern, dass sie kompromittiert oder gehackt werden. In den meisten Fällen werden Benutzer:innen diesen Schritt jedoch nicht ausführen.  
• Passwortmüdigkeit: Nutzer beginnen oft mit guten Absichten und verwenden Passwörter, die sicher sind und häufig geändert werden, aber es kann schwierig sein, bei so vielen wechselnden Passwörtern den Überblick zu behalten. Benutzende greifen stattdessen oft wieder auf ein schwaches Passwort zurück.  
• Unsichere Speicherung: Passwörter können an digitalen oder physischen Orten gespeichert werden, die nicht sicher sind. Daher ist das Passwort, selbst wenn es stark ist, auch anfällig für Diebstahl.

Wie weit verbreitet ist passwortbezogener Betrug?

Die FTC (Federal Trade Commission) erhielt im Jahr 2020 weit über 2 Millionen Betrugsmeldungen mit Verlusten in Höhe von fast 3,5 Milliarden $. 

Menschliches Versagen ist eine der häufigsten Ursachen für Internetbetrug und Cyberkriminalität, wodurch Kriminelle Zugang zu sensiblen und vertraulichen Informationen erhalten. Passwörter gehören zu den Dingen, die für Angreifer:innen am einfachsten zu stehlen, zu imitieren, zu erraten oder durch eine Sicherheitsverletzung zu kompromittieren sind. Aus diesem Grund sollten sie nicht als primäre oder einzige Methode zum Schutz von Daten im Internet verwendet werden.

Arten von Zwei-Faktor-Authentifizierungsprodukten

Es gibt zwei Hauptkategorien von Produkten für die Zwei-Faktor-Authentifizierung: Token, die Benutzer beim Anmelden erhalten, und Software oder Infrastruktur, die Benutzer anhand der korrekten Verwendung des Tokens erkennt und authentifiziert. 

Es gibt viele verschiedene Arten von Diensten und Geräten, die eine Zwei-Faktor-Authentifizierung implementieren können. Ein Authentifizierungstoken kann in Software oder Anwendungen eingebettet werden oder es kann sich um ein kleines physisches Hardwaregerät handeln.

Dies sind einige gängige Beispiele für Produkte zur dualen Authentifizierung:

• Hardware-Token: In der Regel handelt es sich dabei um einen Schlüsselanhänger, eine Ausweiskarte oder ein kleines USB-Gerät. Der duale Authentifizierungsprozess liest den Code entweder direkt vom Gerät ab oder ein Benutzer gibt den eindeutigen Code aus dem Token ein.  
• Software-Tokens: Hierbei wird ein softwaregeneriertes, zeitbasiertes Einmalpasswort (TOTP) verwendet, das oft als Soft-Token bezeichnet wird. Bei Software-Tokens müssen Benutzer in der Regel zunächst eine App herunterladen und installieren, die für diese Form der Authentifizierung erforderlich ist. Nach der ersten Anmeldung wird ein Code generiert und in der App auf demselben Gerät angezeigt, wodurch die Sicherheit erhöht wird.  
• Short Message Service (SMS)-basiert: Bei dieser Form der 2FA sendet die Anwendung oder Website ein Einmalpasswort (OTP) per Textnachricht an das Telefon des Benutzers, nachdem dieser einen Benutzernamen und ein Passwort eingegeben hat. Der Benutzer wird dann aufgefordert, den Code einzugeben, um Zugriff zu erhalten. Sprachbasierte 2FA verwendet eine ähnliche Technologie, sendet jedoch einen gesprochenen Code anstelle einer Textnachricht.  
• Push-Benachrichtigungen: Bei einer fortschrittlicheren Form der dualen Authentifizierung senden Websites und Anwendungen direkte Push-Benachrichtigungen an Nutzer:innen, die versuchen, Zugriff zu erhalten. Nach Erhalt der Benachrichtigung kann der Besitzer oder die Besitzerin des Geräts den Zugriff per einfachem Fingertipp genehmigen oder ablehnen, anstatt einen vollständigen Code in das System eingeben zu müssen.  

Dies gilt nur für Geräte, die mit dem Internet verbunden sind und Anwendungen herunterladen können. Sie sind benutzerfreundlich und hochgradig sicher.  

• Biometrie: Die Verwendung biologischer und persönlicher Daten wie Fingerabdrücke, Netzhautscans und Gesichtserkennung kann als Form der Zwei-Faktor-Authentifizierung dienen. Ein Benutzer scannt den Fingerabdruck auf einem integrierten Fingerabdruckscanner oder verwendet die Kamera des Geräts zur Autorisierung.

Wer nutzt duale Authentifizierung?

Viele Websites und Anwendungen sowie Unternehmen und Organisationen setzen auf die Zwei-Faktor-Authentifizierung, um Systeme und Dienste sicherer zu machen. 

Oft muss ein Benutzer 2FA aktivieren oder einrichten, um diese zu nutzen. Die meisten Online-Dienstanbieter, viele Websites und Anwendungen bieten alle die Option zur Zwei-Faktor-Authentifizierung. 

Dies sind Beispiele für große Unternehmen, die Zwei-Faktor-Authentifizierung verwenden:

Unternehmen und Organisationen verlangen oft eine Zwei-Faktor-Authentifizierung für den Zugriff auf sichere Plattformen und Datenbanken. Möglicherweise ist zusätzlich zu den Anmeldedaten die Verwendung eines Hardware-Tokens oder biometrischer Verfahren erforderlich. 

Online-Plattformen, einschließlich Anwendungen und Websites, implementieren für zusätzliche Sicherheit oft ebenfalls duale Authentifizierungsfaktoren.

Wie funktioniert die duale Authentifizierung auf mobilen Plattformen?

Die Welt wird jeden Tag immer digitaler. Infolgedessen wird ein Großteil des Authentifizierungsprüfprozesses auf mobilen Plattformen durchgeführt. 

Wie ermöglichen Smartphones die Zwei-Faktor-Authentifizierung?

Bei der dualen Authentifizierung wird für die Zwei-Faktor-Authentifizierung beispielsweise oft ein Smartphone verwendet, das häufig über biometrische Funktionen verfügt. Ein Smartphone kann üblicherweise Fingerabdrücke lesen, Fotos machen und das Gesicht zur Gesichtserkennung scannen.

Telefone können Textnachrichten senden und empfangen und können für die SMS-basierte Zwei-Faktor-Authentifizierung sowie für sprachbasierte Authentifizierungsfaktoren verwendet werden. Smartphones erfassen häufig den Standort über das Global Positioning System (GPS), der dazu verwendet werden kann, einen Benutzer zu verifizieren und die Zwei-Faktor-Authentifizierung (2FA) basierend auf Benutzerinformationen zu implementieren. Mobilgeräte können auch Push-Benachrichtigungen senden und empfangen, die ein Benutzer von unterwegs erhalten kann.

Wie sieht die Zukunft der Authentifizierung aus?

Da Cybersicherheit noch wichtiger und relevanter wird, sind Methoden zur Authentifizierung und Identitätsprüfung noch entscheidender. 

Wie entwickelt sich die Multi-Faktor-Authentifizierung über Passwörter hinaus?

Die Verwendung von Passwörtern gehört auch heute noch zu den häufigsten Authentifizierungsfaktoren, allerdings sind sie wiederum am wenigsten sicher. Unternehmen und Dienste gehen zu Modellen mit mindestens Zwei-Faktor-Authentifizierung über. Viele beginnen zumindest damit, die Multi-Faktor-Authentifizierung (MFA) in Betracht zu ziehen, die alle drei Authentifizierungsarten erfordern kann.

Welche Rolle spielen Biometrie und Verhaltenssignale?

Dies kann bedeuten, dass ein Benutzer zusätzlich zu einem Passwort und einem Benutzernamen auch aufgefordert wird, ein physisches Token und ein biometrisches Merkmal zu verwenden. Die Biometrische Authentifizierung wird erweitert, um auch die Verwendung biometrischer Identifikatoren einzubeziehen, die die Tippgeschwindigkeit und die Art und Weise erfassen können, wie ein Benutzer das Gerät, den Touchscreen oder die Maus bedient, einschließlich der Dauer von Tastenanschlägen und des Surfverhaltens auf Websites. 

Menschen sind von Natur aus Gewohnheitstiere, und biometrische Merkmale können dabei helfen, festzustellen, ob ein Benutzer die Person ist, die er vorgibt zu sein. Faktoren wie die Art des Geräts, die Tageszeit, zu der auf Dienste zugegriffen wird, und der geografische Standort können ebenfalls als Authentifizierungsfaktoren verwendet werden.

Unternehmen prüfen zudem passwortlose Authentifizierungsfunktionen, die zur Aufrechterhaltung der IT-Sicherheit beitragen und es für Benutzer:innen überflüssig machen, ein unsicheres Passwort einzugeben. Blockchain, Zero-Trust -Sicherheitsprinzipien, dezentrale Identität und selbstsouveräne Identität sind allesamt Optionen, die in Betracht gezogen werden sollten, da sie keine Passwörter erfordern und dennoch die Kontrolle über den Anmeldeprozess innerhalb einer Organisation gewährleisten.

Welche Authentisierungs-Apps unterstützen die doppelte Authentifizierung?

Auf einer mobilen Plattform erfordert die duale Authentifizierung oft die Verwendung einer Authentifikator-App. Diese Apps sind kostenlos und werden auf ein mit dem Internet verbundenes Gerät heruntergeladen. 

Wenn aufgefordert wird, ein Soft-Token einzugeben, generiert die Authentifikator-App den Code oder die Push-Benachrichtigung. Dazu gehören unter anderem:

• Google Authenticator
• Microsoft Authentifikator
• Battle.net Authentifikator von Blizzard
• Zohos OneAuth
• LastPass Authentifikator

Die Zwei-Faktor-Authentifizierung bietet zusätzliche Sicherheit und ein höheres Maß an Vertrauen in Vertraulichkeit und Datenschutz. Auch wenn die Verwendung von mindestens zwei Authentifizierungsformen einen zusätzlichen Schritt erfordert, entwickeln sich die Prozesse durch mobile Plattformen zu noch reibungsloseren und benutzerfreundlicheren Erlebnissen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen dualer Authentifizierung und Multi-Faktor-Authentifizierung (MFA)?

Die doppelte Authentifizierung oder Zwei-Faktor-Authentifizierung (2FA) erfordert genau zwei Verifizierungsfaktoren aus unterschiedlichen Kategorien. Multi-Faktor-Authentifizierung (MFA) kann alle drei anerkannten Faktorarten erfordern – etwas, das man weiß, etwas, das man hat, und etwas, das man ist –, was ein noch stärkeres Sicherheitsmodell darstellt.

Warum gilt ein Passwort allein nicht als sicher?

Passwörter sind aus mehreren Gründen anfällig: Nutzer:innen neigen dazu, einfache, leicht zu erratende Passwörter zu wählen, sie für mehrere Accounts wiederzuverwenden, sie selten zu ändern und sie manchmal unsicher zu speichern. Diese Gewohnheiten machen Passwörter zu den Anmeldedaten, die für Cyberkriminelle am einfachsten zu stehlen oder auszunutzen sind.

Verhindert eine duale Authentifizierung unbefugten Zugriff vollständig?

Obwohl die duale Authentifizierung das Risiko eines unbefugten Zugriffs erheblich verringert, ist sie nicht absolut sicher. Da jedoch beide Faktoren gleichzeitig kompromittiert werden müssen, ist es für Angreifer:innen weitaus schwieriger, sich Zugang zu verschaffen, selbst wenn ein Faktor - wie beispielsweise ein Passwort - gestohlen wird.

Was ist der Unterschied zwischen einem Hardware-Token und einem Software-Token?

Ein Hardware-Token ist ein physisches Gerät, wie ein Schlüsselanhänger oder ein USB-Gerät, das einen Authentifizierungscode generiert oder speichert. Ein Software-Token, oft auch Soft-Token genannt, verwendet eine App auf einem Mobilgerät, um ein zeitbasiertes Einmalpasswort (TOTP) zu generieren, wodurch ein separates physisches Gerät überflüssig wird.

Wie funktioniert die Short Message Service (SMS)-basierte Zwei-Faktor-Authentifizierung?

Nachdem ein Benutzer den Benutzernamen und das Passwort eingegeben hat, sendet die Anwendung einen Einmalcode (OTP) per SMS an die registrierte Telefonnummer des Benutzers. Anschließend gibt der Benutzer diesen Code ein, um den Anmeldevorgang abzuschließen. Sprachbasierte 2FA funktioniert ähnlich, übermittelt den Code jedoch stattdessen als gesprochene Nachricht.

Was ist passwortlose Authentifizierung und wie hängt sie mit 2FA zusammen?

Passwortlose Authentifizierung schafft das herkömmliche Passwort vollständig ab und setzt stattdessen auf andere Verifizierungsmethoden wie Biometrie, Hardware-Tokens oder kryptografische Schlüssel. Es baut auf den Prinzipien der 2FA auf, indem es den schwächsten Faktor – das Passwort – entfernt und gleichzeitig durch die verbleibenden Faktoren eine starke Identitätsprüfung aufrechterhält.

Referenzen

FBI veröffentlicht den 2020 Internet Crime Report des Internet Crime Complaint Center, einschließlich der Statistiken zu COVID-19-Betrug. (März 2021). Federal Bureau of Investigation (FBI).

Neue Daten zeigen: FTC erhielt 2020 2,2 Millionen Betrugsmeldungen von Verbraucher:innen. (Februar 2021). Federal Trade Commission (FTC).

Was ist die zweistufige Verifikation? (2022). Amazon.com, Inc.

Zwei-Faktor-Authentifizierung für die Apple-ID. (2022). Apple, Inc.

Was ist Zwei-Faktor-Authentifizierung und wie funktioniert sie auf Facebook? (2022). Meta.

So aktivieren Sie die zweistufige Verifizierung. Dropbox.

Schützen Sie Ihren Account mit Zwei-Faktor-Authentifizierung. (2021). Dashlane, Inc.

Google 2-Schritt-Verifizierung. Google.

Was ist Zwei-Faktor-Authentifizierung und wie funktioniert sie auf Instagram? (2022). Meta.

So verwenden Sie die zweistufige Verifizierung mit Ihrem Microsoft-Account. (2022). Microsoft.

Online-Banking Security Center. (2021). Bank of America Corporation.

Absicherung Ihres Accounts mit Zwei-Faktor-Authentifizierung (2FA). (2022). GitHub, Inc.

Sicherer Non-CAC-Zugriff mit Multi-Faktor-Authentifizierung (MFA). (Juni 2021). Department of Defense Education Activity (DODEA).

Wie aktiviere oder deaktiviere ich die zweistufige Verifizierung für die Anmeldung beim PayPal-Account? (2022). PayPal.

Google Authenticator. (2022). Google.

Microsoft Authenticator. (2022). Microsoft.

Battle.net Authentifikator. (2022). Blizzard Entertainment, Inc.

Sichern Sie Ihre Online-Accounts mit Zoho OneAuth. (2022). Zoho Corporation. 

Die einzige Authentifikator-App, die Sie benötigen. LastPass.