Zwei-Faktor-Authentifizierung: Alles, was Sie wissen müssen

Mal ehrlich: Haben Sie einen vollständigen Überblick über all Ihre Onlineaccounts, bei denen Sie sich irgendwann registriert haben? Benutzen Sie sämtliche Kennwörter wirklich nur einmal? Und sind sie wirklich ausreichend lang und frei von jeglicher persönlicher Informationen oder sonstigem Bezug? Wenn Sie die Fragen nicht 100prozentig mit „Ja“ beantworten können, befinden Sie sich in bester Gesellschaft.

Nach einer Umfrage des Mailproviders Web.de fürchtet sich mehr als die Hälfte der Internetnutzer vor einem Identitätsdiebstahl. Dass sich also Kriminelle Zugang zu ihren Onlinekonten verschaffen, in ihrem Namen einkaufen oder handeln. Die Gefahr ist keineswegs abstrakt, wie die gigantische Zahl von weltweit über zehn Milliarden gehackter Accounts beweist. Jeden Tag kann es jeden und jede treffen! 

Genau dagegen schützen Sie sich zuverlässig, indem Sie Ihre wichtigsten Zugänge über das Passwort hinaus mit einem zweiten unabhängigen Schutzfaktor versehen. Beim Onlinebanking ist die Zwei-Faktor-Authentifizierung (2FA) längst Pflicht. Selbst wenn Ihre Zugangs-PIN in falsche Hände geraten sollte, kommt niemand ohne eine TAN an Ihr Geld. Ebenso sicher schützt 2FA andere Onlinezugänge, hier allerdings bereits einen Schritt davor, also beim Log-in. Ihre E-Mails, Interneteinkäufe und Ähnliches bleiben auch bei Kenntnis der zugehörigen Kennwörter versperrt. Der Sicherheitsgewinn ist riesig, die Einrichtung einfach – also los.

Von einem auf den anderen Tag gerät alles aus den Fugen

An welch seidenem Faden der Schutz der eigenen Identität hängen kann, macht folgendes Alltagsszenario deutlich: Wer wie die Mehrheit der Deutschen ein Passwort mehrfach und dies zudem für seinen Mail- Log-in verwendet, gefährdet sich extrem. Schon eine einzige Sicherheitslücke bei einem dieser Anbieter kann Ihr Kennwort ins Darknet katapultieren. Dann haben Kriminelle leichtes Spiel, indem sie Ihre gehackten Zugangsdaten systematisch und automatisiert bei Amazon, Paypal, Mailprovidern und so weiter testen. Wird so auch das eigene Mailkonto gehackt und übernommen, beschränkt sich der Kontrollverlust nicht auf die eigenen Nachrichten. Denn über die so gekaperte Mailadresse können Kriminelle per Passwort-zurücksetzen-Funktion weitere Konten unter ihre Kontrolle bringen und so den Schaden ausweiten. Weil dabei mit Geldforderungen, möglichen Straftaten und anderem mehr schnell auch das normale Leben aus den Fugen gerät, ist es umso wichtiger, dass Sie sich zuverlässig schützen: Sichere Log-ins erstellen und verwalten Sie mit einem Passwortmanager . Für ein noch höheres Schutzlevel aber sorgt eine vom Kennwort unabhängige Komponente, also ein zweiter Faktor.

Das Konzept von 2FA wird oft unnötig kompliziert dargestellt

PushTAN App, ChipTAN, Fido2-Token, Authenticator, OTP, TOTP … Stopp! Mit diesen Begriffen sieht man sich häufig bei der Erklärung der Zwei-Faktor-Authentifizierung konfrontiert. Das alles sind verschiedene Verfahren für den zusätzlichen Identitätsnachweis, doch für welches davon man sich entscheidet, ist fast unerheblich. Viel wichtiger als die technischen Unterschiede ist, wichtige Onlinezugänge überhaupt doppelt abzusichern. Außerdem legt jeder Internetanbieter selbst fest, welche 2FA-Varianten er anbietet. Die eine beste Methode für alles existiert also nicht, jede ist besser als keine.

Unser Ratgeber folgt deshalb dem praktischen Ansatz, eigene Accounts mit einem zweiten Faktor zu versehen. Welche Verfahren stehen also jeweils konkret überhaupt zur Verfügung, was gibt es zu beachten und wie funktionieren Einrichtung und Nutzung? Welche Verfahren jeweils zur Verfügung stehen, ist auch deshalb nicht immer sofort klar, weil die Onlinedienste 2FA unterschiedlich bezeichnen und implementieren. Statt nach dem Einloggen in den Kontoeinstellungen selbst unter „Sicherheit“ oder „Datenschutz“ danach zu fahnden, kommen Sie mit der kombinierten Google-Suche nach Zwei-Faktor-Authentifizierung und dem jeweiligen Anbieternamen oft schneller ans Ziel.

Alternativ sehen Sie bei 2FA Directory  oder und beim Verbraucherzentrale Bundesverband  nach, wer welches 2FA-Verfahren offeriert. Beide Übersichten sind nach Rubriken sortiert und bieten eine Suchoption.

©Verbraucherzentrale Bundesverband

©Verbraucherzentrale Bundesverband

Wie die Zwei-Faktor-Einrichtung grundsätzlich funktioniert, verdeutlichen wir am Beispiel Amazon: Nach dem Einloggen klicken Sie auf „Mein Konto –› Anmelden und Sicherheit –› Einstellungen für die Zwei- Schritt-Verifizierung (2SV): Bearbeiten“. Um sicherzugehen, dass Sie den Zusatzschutz wirklich einrichten möchten, verschickt Amazon eine Mail, in der Sie auf „Genehmigen“ klicken müssen, damit es weitergeht. Im Browser fahren Sie mit „Erste Schritte“ fort und wählen eine der beiden angebotenen Varianten zum Verifizieren: als Einmalkennwort jeweils zugeschickt per SMS oder über eine Authentifizierungs-App. Während die erste Option keiner Erklärung bedarf, wird bei Option 2 jedes Mal ein nur 30 Sekunden gültiges Passwort erzeugt – abgekürzt oft als TOTP oder OTP für (Timebased) One-Time-Password. 

Ein schneller Überblick über die Zwei-Faktor-Verfahren

Damit sind wir doch wieder bei den Varianten und bei der Technik: Generieren lässt sich ein solches OTP/TOTP entweder mit einer Authenticator-App auf dem Smartphone oder durch spezielle Zusatzgeräte, die den zweiten Faktor erzeugen. Als Authenticator-Apps haben sich die gleichnamige Software von Google und Microsoft (beide für Android und iOS) bewährt, als Hardware der Authenticator von Reiner SCT (knapp 40 Euro). Zum Einrichten und Verknüpfen mit einem Onlinekonto scannt man einen speziellen QR-Code mit der App oder dem Gerät, danach ist die doppelte Absicherung aktiv. Beim erstmaligen Anmelden auf einem „neuen“ Computer, Smartphone oder anderen Gerät – und damit für jeden Kriminellen – ist ab sofort zwingend der zweite Faktor erforderlich. Dieser lässt sich bei der gewählten OTP-/TOTP-Variante nur (!) mit der Authenticator-App auf dem eigenen Smartphone oder der Zusatzhardware erzeugen – das Passwort alleine genügt nicht mehr als Log-in.

Zwei Aspekte sind wichtig: In den meisten Fällen gilt ein Computer oder Smartphone, mit dem Sie sich einmal über den zweiten Faktor authentifiziert haben, als „vertrauenswürdig“. An Ihrem PC zu Hause müssen Sie sich zum Einloggen damit nicht mehr ständig doppelt ausweisen: 2FA hat deshalb in der Praxis keinerlei Komfortverlust zur Folge. Ob und wie lange ein bestimmtes Gerät oder der verwendete Browser vertrauenswürdig sein sollen, lässt sich meist in den Sicherheitseinstellungen des Accounts festlegen. Solche Rechner und Smartphones sollten dann ihrerseits mit einer Zugangssperre wie PIN, Kennwort oder Fingerabdruck abgesichert sein.

Der zweite Aspekt betrifft das Ausrufezeichen hinter „nur“ (oben) – das ist ja schließlich Sinn und Zweck des Ganzen. Sonst könnten Kriminelle etwa versuchen, über die Zurücksetzen-Option ein doppelt abgesichertes Konto zu übernehmen.

Was aber passiert, wenn der zweite Faktor – hier also das Smartphone oder Authenticator-Gerät – abhandenkommt? Für den Fall, dass Sie sich selbst aussperren, bieten die meisten Dienste beim Einrichten von 2FA die Möglichkeit, einen Wiederherstellungs- oder Backup-Code zu erzeugen. Diesen sollten Sie unbedingt abrufen, ausdrucken und sicher verwahren.

Ratsam ist ferner, jedes doppelt geschützte Konto mit weiteren 2FA-Verfahren auszustatten. Das ist fast immer möglich und erhöht nicht nur den Komfort, wenn Sie beispielsweise das Zusatzgerät nicht dabeihaben, sondern dies minimiert auch das Aussperrrisiko.

Welche Verfahren sind besonders sicher und empfehlenswert?

Der Vollständigkeit wegen soll die Übersicht über die wichtigsten 2FA-Varianten nicht fehlen. Neben dem SMS-Versand oder dem Kurzzeit-Passwort (per Authenticator-App oder -gerät) lässt sich die Verifizierung per Link in einer E-Mail, über die Push-Anzeige am Smartphone, den Fingerabdrucksensor oder die Gesichtserkennung, die Verknüpfung mit dem elektronischen Personalausweis oder die Nutzung eines FIDO2- beziehungsweise U2F-Sticks durchführen.

Solche Hardware-Token ähneln USB-Sticks, verfügen über individuelle Sicherheitschips und werden über USB, Bluetooth oder NFC (nur FIDO2) mit dem Computer, Smartphone oder Tablet gekoppelt. Obwohl äußerlich ähnlich, unterscheiden sich FIDO2 (Fast Identity Online) und U2F (Universal Second Factor) technisch. FIDO2- Sticks sind die modernen, abwärtskompatibel zu U2F und zu Preisen ab ca. 25 Euro nur minimal teurer. Beim Neukauf ist der FIDO2-Stick die bessere Wahl.

Welches Verfahren ist generell besonders zu empfehlen? Jedes erschwert die unbefugte Accountübernahme erheblich, grundsätzlich eine 2FA-Sperre einzurichten, ist also in jedem Fall sinnvoll. Trotzdem gibt es Abstufungen zwischen den unterschiedlichen Verfahren: Die Authentifizierung per SMS oder E-Mail bietet deutlich weniger Schutz, besser sind eine Authenticator-App auf dem Smartphone, ein FIDO2- beziehungsweise U2F-Stick oder ein Authenticator-Gerät. Zusatzhardware lässt sich zudem nicht über einen Trojaner kompromittieren, kostet aber Geld und muss jeweils zur Hand sein. Weitere Informationen zur Zwei-Faktor-Authentifizierung und ein erklärendes Video finden Sie beim Bundesamt für Sicherheit in der Informationstechnik (BSI) .

Doppelter Schutz ist wichtig, aber längst nicht überall

Weil Kennwörter vergleichsweise unsicher sind, empfiehlt das BSI wenn immer möglich die Zwei-Faktor-Authentifizierung. Einmal aktiviert brauchen Sie bei so abgesicherten Konten kein mulmiges Gefühl mehr zu haben. Werden die eigenen Geräte zudem als vertrauenswürdig eingestuft, wird der zweite Faktor nicht ständig abgefragt und bildet folglich keine Komforteinbußen – abgesehen von Ihnen aber ist die Log-in-Hürde damit ungleich höher.

©Paypal

Trotzdem ist es nicht sinnvoll, sämtliche Accounts doppelt abzusichern. Wird der Zugang zum Hobbyforum gekapert, ist das zwar ärgerlich, der Schaden aber gering. Es genügt völlig, seine fünf oder zehn wichtigsten Konten mit einem zweiten Faktor zu versehen: also Bezahldienste wie PayPal, Onlineshops mit hinterlegter Bezahlfunktion, der Passwortmanager und Ihre Mailadresse(n). Welches der vorgestellten Verfahren Sie verwenden, ist nicht so wichtig, nur auf das Zuschicken von Sicherheitscodes per SMS oder gar E-Mail sollten Sie nach Möglichkeit verzichten.

Zum Einrichten der zusätzlichen Absicherung loggen Sie sich beim jeweiligen Dienst ein, suchen in den Einstellungen nach der 2FA-Option und aktivieren eine oder besser mehrere Methoden, die Sie sofort nutzen können. Sofern Sie 30 bis 40 Euro für zusätzliche Hardware ausgeben, bekommen Sie häufig noch mehr Auswahl und etwas mehr Sicherheit.

Fazit: Ordnung, sichere Passwörter und Aussperrvorsorge

Wichtige Onlinekonten ausschließlich über Passwörter abzusichern, ist nicht mehr zeitgemäß. Trotzdem bleiben sichere Passwörter ein zentraler Baustein gegen die unbefugte Accountübernahme. Dazu gehören singuläre Kennwörter für jedes Konto, die Sie am einfachsten mit einem Passwortmanager verwalten .

Damit das übliche Passwortchaos zum Schluss nicht in ein 2FA-Chaos umschlägt, beschränken Sie die Funktion vor allem dort, wo großer Schaden droht. Erstellen Sie sofern möglich Wiederherstellungs- oder Backup-Codes, drucken diese aus, bewahren sie sicher auf und speichern sie im Passwortmanager. Auf diese Weise behalten Sie auch dann den Zugriff, wenn Ihr Smartphone, Token oder Authenticator-Gerät verlorengeht, gestohlen wird und Sie sonst „ausgesperrt“ wären. Aktivieren Sie auch deshalb nach Möglichkeit stets zwei oder mehr 2FA-Verfahren.

Wenn Sie gerade schon dabei sind, Ordnung in Ihre Accounts zu bringen, fangen Sie gleich einmal an, diejenigen zu löschen, die Sie nicht mehr benötigen .

Lesetipps:

2FA mit Windows nutzen – das ist wichtig!

Alternativen zu Kaspersky: Die besten Antivirus-Tools im Test