Was ist die Zwei-Faktor-Authentifizierung (2FA)?

Bei den meisten 2FA-Implementierungen ist geheimes Wissen das erste Authentifizierungselement. Geheimes Wissen ist eine Information, die theoretisch nur der Benutzer kennt. Passwörter sind das am häufigsten genutzte geheime Wissen. Oft werden auch persönliche Identifikationsnummern (PIN) und Antworten auf Sicherheitsfragen verwendet.

Obwohl es so verbreitet ist, ist geheimes Wissen im Allgemeinen – und Passwörter im Besonderen – die anfälligste Art von Authentifizierungsfaktor. Hacker können Passwörter und anderes geheimes Wissen durch Phishing-Angriffe, das Installieren von Malware auf den Benutzergeräten oder Brute-Force-Angriffe ausspähen. Hierbei kommen Bots zum Einsatz, die potenzielle Passwörter für ein Konto generieren und so lange testen, bis eines funktioniert. 

Auch andere Arten von geheimem Wissen stellen keine größere Herausforderung dar. Die Antworten auf viele Sicherheitsfragen – wie zum Beispiel die klassische Frage nach dem Mädchennamen der Mutter – lassen sich leicht durch einfache Nachforschungen oder Social-Engineering-Angriffe, wo der Benutzer zur Preisgabe personenbezogener Daten verleitet wird, knacken. 

Das übliche Vorgehen, ein Passwort und eine Sicherheitsfrage zu verlangen, ist übrigens keine echte 2FA, weil dabei zwei Komponenten derselben Art verwendet werden, in diesem Fall zwei Instanzen von geheimem Wissen. Stattdessen ist es ein Beispiel für einen zweistufigen Verifizierungsprozess. 

Eine zweistufige Verifizierung kann sicherer als nur ein Passwort sein, da zwei Komponenten erforderlich sind. Weil beide Komponenten jedoch dieselbe Art Authentifizierungsfaktor sind, lassen sie sich einfacher entwenden als echte 2FA-Faktoren.  

Geheimnishütende Gegenstände sind Dinge, die jemand besitzt und mit denen er sich ausweisen kann. Die beiden häufigsten Arten von geheimnishütenden Gegenständen sind Software-Token und Hardware-Token.

Software-Token treten häufig als Einmalpasswörter (One-Time-Passwords, OTPs) in Erscheinung. OTPs sind 4- bis 8-stellige Passwörter zur einmaligen Verwendung, die nach einer bestimmten Zeit ablaufen. Software-Token können per SMS, E-Mail oder Sprachnachricht an das Mobiltelefon eines Benutzers gesendet oder von einer auf dem Gerät installierten Authenticator-App generiert werden.  

In beiden Fällen dient das Gerät des Benutzers als geheimnishütender Gegenstand. Das 2FA-System geht davon aus, dass nur der legitime Benutzer Zugriff auf alle Informationen hat, die von diesem Gerät weitergeleitet oder generiert werden.  

SMS-basierte OTPs gehören zwar zu den benutzerfreundlichsten geheimnishütenden Gegenständen, sind aber auch am unsichersten. Die Benutzer benötigen eine Internet- oder Mobilfunkverbindung, um diese Codes zu erhalten, und Hacker können sie durch raffinierte Phishing- oder Man-in-the-Middle-Angriffe entwenden. Außerdem sind OTPs anfällig für das SIM-Klonen: Hierbei erstellen Kriminelle ein funktionierendes Duplikat der SIM-Karte des Smartphones des Opfers, um SMS abzufangen.

Authenticator-Apps können Token ohne Netzwerkverbindung generieren. Der Benutzer koppelt die App mit seinen Konten, und die App verwendet einen Algorithmus, um kontinuierlich zeitbasierte Einmalpasswörter (Time Based One Time Passwords, TOTPs) zu generieren. Jedes TOTP läuft nach 30 bis 60 Sekunden ab, was einen Diebstahl erschwert. Einige Authenticator-Apps setzen auf Push-Benachrichtigungen statt TOTPs. Will sich ein Benutzer an einem Konto anmelden, sendet die App eine Push-Benachrichtigung an sein Mobiltelefon, auf die er tippen muss, um den Versuch als legitim zu bestätigen. 

Zu den gängigsten Authenticator-Apps gehören Google Authenticator, Authy, Microsoft Authenticator, LastPass Authenticator und Duo. Diese Apps sind zwar schwerer zu knacken als SMS, aber auch nicht unfehlbar. Hacker können TOTPs mithilfe spezieller Malware direkt von Authenticator-Apps¹ entwenden oder einen MFA-Fatigue-Angriff starten: Hier wird ein Gerät mit betrügerischen Push-Benachrichtigungen überflutet, in der Hoffnung, dass das Opfer eine von ihnen versehentlich bestätigt. 

Hardware-Token sind dedizierte Geräte – elektronische Türöffner/-schließer, ID-Karten, Dongles – die als Sicherheitsschlüssel fungieren. Einige Hardware-Token werden an den USB-Anschluss eines Computers angeschlossen und übertragen Authentifizierungsinformationen an die Anmeldeseite. Andere generieren Bestätigungscodes, die der Benutzer auf Aufforderung manuell eingeben muss.

Hardware-Token sind zwar extrem schwer zu hacken, können aber physisch entwendet werden – ebenso wie ein mobiles Benutzergerät mit Software-Token. Laut dem IBM Bericht Die Kosten einer Datenschutzverletzung sind verloren gegangene und gestohlene Geräte sogar mit 6 % an Datenschutzverletzungen beteiligt. 

Diese so genannten „inhärenten“ Faktoren sind körperliche Merkmale oder Eigenschaften, die den Benutzer unverwechselbar machen, z. B. Fingerabdrücke, Gesichtszüge und Netzhautmuster. Viele moderne Smartphones und Laptops besitzen eine integrierte Gesichtserkennung und Fingerabdruckleser, und viele Anwendungen und Websites können diese biometrischen Daten als Authentifizierungsfaktor verwenden.  

Obwohl biometrische Charakteristika am schwierigsten zu knacken sind, kann ihre Ausspähung verheerende Folgen haben. Im Jahr 2019 wurde eine biometrische Datenbank mit 1 Million Fingerabdrücken gehackt.² Theoretisch könnten Hacker diese Fingerabdrücke entwenden oder den eigenen Fingerabdruck mit dem Profil eines anderen Benutzers in der Datenbank verknüpfen. 

Die Fortschritte bei der Generierung von KI-Bildern geben Cybersicherheitsexperten Anlass zur Sorge, dass Hacker mithilfe dieser Tools Gesichtserkennungssoftware täuschen können.  

Wenn biometrische Daten kompromittiert werden, können sie weder schnell noch einfach geändert werden; das macht es schwierig, einen laufenden Angriff zu stoppen.

Verhaltensfaktoren sind digitale Artefakte, die die Identität eines Benutzers anhand von Verhaltensmustern überprüfen. Beispiele hierfür sind der typische IP-Adressbereich eines Benutzers, der übliche Standort und die durchschnittliche Tippgeschwindigkeit. 

Verhaltensbasierte Authentifizierungssysteme arbeiten mit künstlicher Intelligenz, um einen Ausgangswert für das normale Verhaltensmuster des Benutzers zu ermitteln und anomale Aktivitäten, zum Beispiel die Anmeldung über ein neues Gerät, eine neue Telefonnummer oder einen neuen Standort, zu erkennen. Auf manchen 2FA-Systeme können Benutzer als Verhaltensfaktoren vertrauenswürdige Geräte zur Authentifizierung registrieren. Zwar muss der Benutzer bei der ersten Anmeldung zwei Faktoren angeben, doch die Verwendung des vertrauenswürdigen Geräts wird in Zukunft automatisch als zweiter Faktor akzeptiert.

Verhaltensfaktoren spielen auch bei adaptiven Authentifizierungssystemen eine Rolle, die ihre Anforderungen je nach Risikoniveau ändern. Beispiel: Ein Benutzer benötigt nur ein Passwort, um sich über ein vertrauenswürdiges Gerät im Unternehmensnetzwerk an einer App anzumelden. Er muss aber möglicherweise einen zweiten Faktor hinzufügen, wenn er sich über ein neues Gerät oder ein unbekanntes Netzwerk anmelden möchte. 

Verhaltensfaktoren sind zwar eine elegante Möglichkeit, um einen Endbenutzern zu authentifizieren, erfordern bei der Bereitstellung jedoch erhebliche Ressourcen und Fachkenntnisse. Dazu kommt, dass ein Hacker den Benutzer imitieren kann, wenn er Zugriff auf ein vertrauenswürdiges Gerät erhält.