Was ist 2 Faktor Authentifizierung und welche Arten von 2FA gibt es?

Normalerweise benötigt man um sich bei Online Diensten oder dem eigenen PC anzumelden ein Passwort. Also etwas das nur der legitime Benutzer wissen sollte / wissen kann. 2-Faktor-Authentifizierung fügt dieser Konstellation noch einen weiteren Faktor hinzu, nämlich etwas das man besitzt und auf das niemand anders Zugriff hat.

2 Faktor Authentifizierung lässt sich mit einem 2-teiligen Schlüssel vergleichen. Um das Schloss zu öffnen reicht es nicht aus, nur die eine Hälfte des Schlüssels zu besitzen. Man benötigt beide Teile um das Schloss öffnen zu können. 2FA nutzt im Kern ein sehr ähnliches Verfahren, um die Sicherheit eines Online Dienstes oder des Computers sicherzustellen.

Wir nutzen jeden Tag verschiedenste Dienste, für die ein Login benötigt wird. Und es werden von Tag zu Tag mehr. Jeder dieser Dienste speichert in der Regel einen Login Namen, meist die E-Mail-Adresse oder den Nickname und ein vom Benutzer gewähltes Passwort in einer Datenbank ab.

Eigentlich sollte man für jeden Dienst im Internet ein separates Passwort wählen, doch die Praxis zeigt, dass das nicht der Fall ist. Wir verzichten aus Gründen der Bequemlichkeit oft darauf, uns verschiedene Passwörter auszudenken bzw. zu merken. Stattdessen nutzen wir gerne ein und dasselbe Passwort bei mehreren Diensten.

Wird nun einer dieser Dienste gehackt, gelangen die gespeicherten Passwörter sehr schnell in die falschen Hände. Viele Dienste im Netz haben bereits gute Schutzmechanismen, um die gespeicherten Passwörter zu schützen. Oftmals werden diese Daten mit Hashfunktionen so abstrahiert, dass ein Angreifer im ersten Moment nicht viel mit den geklauten Daten anfangen kann. Leider nutzen nicht alle Online Dienste ausreichende Sicherheitsvorkehrungen bei der Speicherung von Nutzerpasswörtern oder verwenden Sicherungsmaßnahmen, die mittlerweile outdated sind. Ein Beispiel hierfür ist das MD5 Hashverfahren.

Gelangt nun ein Angreifer an diese unzureichend gesicherten Passwörter der Nutzer, kann er diese bei den unterschiedlichsten Diensten im Netz verwenden bzw. ausprobieren. Verwendet der Nutzer nun das selbe Passwort bei mehr als nur einem Dienst, ist die Wahrscheinlichkeit sehr groß, dass der Angreifer mit dem erbeuteten Passwort und der hinterlegten E-Mail Adresse auch auf andere Dienste zugreifen kann.

Einige Online Dienste sind dagegen bereits sehr gut gerüstet. Spitzenreiter in diesem Bereich sind Anbieter von Crypto Währungen und Börsen für digitale Währungen wie Bitcoins und Ethereum. Die Anbieter haben früh erkannt, dass der Schutz der Nutzerdaten und der im Konto verfügbaren Wertgegenstände besonders wichtig sind. Viele Crypto Currency Börsen und Marktplätze setzen bereits 2 Faktor Authentifizierung bzw. teilweise sogar Multi Faktor Authentifizierung ein. Das bedeutet für einen erfolgreichen LogIn benötigt der Benutzer mehr als nur ein Passwort und einen Code aus seiner 2FA App. Oft werden zusätzlich noch SMS oder E-Mails verschickt, die einen weiteren Code enthalten, den der Benutzer eingeben muss, um zu „beweisen“, dass er der legitime Nutzer dieses Kontos ist.

Es gibt mittlerweile eine Vielzahl an Faktoren, die für eine Zweistufige Authentifizierung genutzt werden können. Einige davon möchten wir euch an dieser Stelle kurz vorstellen:

Derzeit ist wohl der Google Authenticator der am meisten verwendete Authenticator am Markt. Doch es gibt noch viele Weitere Apps die mehr oder weniger dieselbe Funktionalität bieten.

Alle diese Apps haben im Grunde dieselben Funktionen und werden gleich bedient.

Die entsprechende App wird auf das eigene Smartphone geladen und geöffnet. Anschließend hat man die Möglichkeit einen neuen Dienst zur App hinzuzufügen. Meist durch den Klick auf ein „+“ Symbol. Anschließend öffnet sich in der Regel die Kamera des Mobiltelefons und man kann einen QR Code abfotografieren. Dieser Code wird bei Einrichten der 2-Faktor Sicherung im Online Dienst erzeugt und am Computer angezeigt. Nachdem man den Code gescannt hat, ist man eigentlich schon startklar. Oft muss man nach der Einrichtung im Smartphone einen generierten Code beim Online Dienst zur Synchronisierung eintragen, damit sichergestellt ist, dass alles so funktioniert wie es soll. Anschließend kann der Dienst mit der App genutzt werden. Die 2FA Codes werden in der Regel alle 60 Sekunden neu generiert.

Aber auch hier ist Vorsicht geboten. Angreifer haben es mittlerweile geschafft, auch diese 2FA Methode zu umgehen bzw. zu knacken. Angriffe mit Malware auf das besagte Smartphone sind gängige Mittel bei versierteren Angreifern. Auch das Beantragen einer Kopie der SIM Karte des Users ist nicht so unmöglich, wie man denken möchte. Dabei kontaktieren die Angreifer den Telefonanbieter des Opfers und geben sich als der legitime Benutzer aus (Impersonation), um eine Kopie oder Ersatzkarte zu erlangen. Mit dieser Karte lässt sich anschließend die 2 Faktor Authentifizierung mit Leichtigkeit umgehen, da die besagten SMS nicht nur an den legitimen Benutzer, sondern auch an den Angreifer gesendet wird.

Die wohl am weitesten verbreitete 2 Faktor Authentifizierungsmethode ist die E-Mail. Hierbei wird dem Benutzer nach korrekter Eingabe von Benutzernamen und Passwort der mehrstellige Code vom Online Dienst zugesandt. Diese Methode ist bequem, einfach und erfordert keine zusätzliche Hard- oder Software.

Der Nachteil der 2FA Methode E-Mail liegt klar auf der Hand: Sie ist nicht besonders sicher.
Gelingt es dem Angreifer Zugriff auf das E-Mail Konto zu erhalten, kann er ohne weitere Anstrengungen den 2 Faktor Code auslesen und verwenden. Da viele Benutzer ihre Mails sowohl am PC, als auch am Smartphone erhalten, handelt es sich dabei eigentlich gar nicht mehr um einen Second Factor. Ist der Computer oder das Smartphone von Malware infiziert, kann der Angreifer in der Regel auch den ankommenden E-Mail Verkehr mitlesen und hat so auch Zugriff den versendeten Code.
Besonders ungünstig ist es, wenn der E-Mail Anbieter keine 2 Faktor Authentifizierung anbietet und Angreifer durch beispielsweise einen Datenleak über das Passwort des Benutzers verfügen.

Die Sicherung von Online Diensten mit der E-Mail Adresse als zweitem Faktor, ist die unsicherste Art die hier vorgestellt wird. Wir empfehlen, wenn die Möglichkeit besteht einen anderen Faktor zu nutzen.

Sie im Geldbeutel mit sich zu führen ist nur bedingt sinnvoll. Man kann den Geldbeutel verlieren oder er kann gestohlen werden. Die Wahrscheinlichkeit, dass ein Angreifer sowohl Zugriff auf die Backup Codes im Geldbeutel als auch auf das Passwort für einen speziellen Account gleichzeitig erlangen kann ist normalerweise eher gering. Der Aufwand an Beides heranzukommen ist sehr groß und ist in der Regel nicht machbar für einen einfachen Angreifer.