Zwei-Faktor-Anmeldung, erklärt.
Ein gestohlenes Passwort allein reicht dann nicht mehr. Es fehlt der zweite Nachweis, und der liegt auf einem Gerät in Ihrer Hand.
Die Idee dahinter.
Ein Passwort ist etwas, das Sie wissen. Wissen lässt sich abschauen, erraten oder erbeuten. Deshalb kommt ein zweiter Nachweis dazu, aus einer anderen Kategorie: etwas, das Sie besitzen, zum Beispiel Ihr Telefon oder ein kleiner Schlüsselanhänger, oder etwas, das Sie sind, etwa Ihr Fingerabdruck. Ein Angreifer am anderen Ende der Welt kann Ihr Passwort stehlen. Ihr Telefon kann er nicht stehlen. Genau darauf beruht der Schutz.
Die Verfahren, von schwach nach stark.
Code per SMS: besser als nichts
Weit verbreitet, aber die schwächste Form. Die Nummer lässt sich auf eine fremde Karte übertragen, wenn jemand den Mobilfunkanbieter überzeugt. Das nennt sich SIM-Swapping und kommt häufiger vor, als man denkt. Nehmen Sie es, wenn ein Dienst nichts anderes anbietet, aber nicht aus freier Wahl.
Code aus einer App: der sinnvolle Standard
Eine Authenticator-App erzeugt alle dreißig Sekunden einen sechsstelligen Code, aus einem Geheimnis, das beim Einrichten einmal zwischen Dienst und App vereinbart wurde. Es geht dabei nichts über das Mobilfunknetz. Offline nutzbar, kostenlos, auf jedem Telefon. Für die allermeisten die richtige Wahl.
Push-Bestätigung: bequem, mit einer Falle
Sie bekommen eine Meldung aufs Telefon und tippen auf Bestätigen. Bequem, aber Angreifer nutzen das aus, indem sie so lange Anfragen schicken, bis jemand genervt zustimmt. Gute Umsetzungen zeigen deshalb eine Zahl an, die Sie auf dem anderen Bildschirm wiedererkennen müssen.
Sicherheitsschlüssel und Passkeys: das Stärkste
Ein kleines Gerät am Schlüsselbund oder ein im Telefon gespeicherter Schlüssel. Sie sind an die Adresse des echten Dienstes gebunden und funktionieren auf einer gefälschten Seite schlicht nicht. Das ist der einzige Schutz, der auch dann hält, wenn der Mensch den Fehler macht.
Wo der zweite Faktor nicht hilft.
Ein Code aus der App schützt nicht davor, dass Sie ihn auf einer gefälschten Seite eingeben. Der Angreifer reicht ihn in Sekunden an den echten Dienst weiter und ist drin. Genau deshalb sind Sicherheitsschlüssel und Passkeys stärker: Sie prüfen die Adresse selbst und verweigern den Dienst, wenn sie nicht stimmt. Und ein zweiter Faktor hilft nicht, wenn Ihr Gerät selbst übernommen wurde, denn dann sitzt der Angreifer hinter beiden Nachweisen. Zwei Faktoren sind ein großer Schritt, aber kein Ersatz für ein aktuelles Gerät und ein einzigartiges Passwort.
Häufige Fragen. Klare Antworten.
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten persönlich.
Was bedeutet TOTP?
Die Abkürzung steht für zeitbasiertes Einmalkennwort. Dienst und App teilen ein Geheimnis und rechnen beide aus der aktuellen Uhrzeit denselben Code aus. Deshalb wechselt er alle dreißig Sekunden und deshalb funktioniert es ohne Internetverbindung. Geht Ihre Uhr stark falsch, stimmen die Codes nicht mehr.
Was passiert, wenn ich mein Telefon verliere?
Deshalb zeigt jeder Dienst beim Einrichten Wiederherstellungscodes an. Drucken Sie die aus und legen Sie sie zu Ihren wichtigen Unterlagen. Ohne sie bleibt nur der Weg über den Support des jeweiligen Dienstes, und der ist mühsam. Ein zweiter eingerichteter Faktor, etwa ein Sicherheitsschlüssel, hilft ebenfalls.
Darf der zweite Faktor im selben Passwortmanager liegen?
Streng genommen schwächt es die Trennung, weil beide Nachweise hinter einem Schloss liegen. Praktisch führt die Bequemlichkeit aber dazu, dass Menschen den zweiten Faktor überhaupt einschalten, und das wiegt in den meisten Fällen schwerer. Für besonders schützenswerte Konten wie Bank oder E-Mail ist ein getrenntes Gerät die bessere Wahl.
Ist eine Authenticator-App sicherer als SMS?
Ja, deutlich. Bei der App verlässt nichts das Gerät, es gibt kein Mobilfunknetz dazwischen und keine Nummer, die jemand übernehmen könnte. Wo ein Dienst beides anbietet, nehmen Sie die App. FidenoOTP ist unsere App dafür, ohne Konto und ohne Cloud.
Brauche ich zwei Faktoren auch privat?
Für drei Konten unbedingt: Ihr E-Mail-Postfach, Ihre Bank und Ihren Passwortmanager. Über das Postfach lassen sich fast alle anderen Konten zurücksetzen, es ist der Generalschlüssel. Bei allen übrigen Diensten ist es sinnvoll, aber weniger dringend.
Enterprise Security. No Compromise.
Registrieren Sie sich für unser nächstes kostenloses, unverbindliches Live-Webinar - und sehen Sie, wie FidenoVault Ihre Zugänge schützt.
- Zero-Knowledge
- Europäische Souveränität
- DSGVO-konform
