Zwei-Stufen-Verifizierung vs. Zwei-Faktor-Authentifizierung

Was ist eine 2-Faktor-Authentifizierung (2FA)?

Eine Zwei-Faktor-Authentifizierung (2FA) ist ein Sicherheitsverfahren, das zu Ihren Logins eine zusätzliche Sicherheitsebene hinzufügt. Anstatt sich auf ein einziges Authentifizierungselement zu verlassen – wie etwa auf ein Passwort –, werden bei der 2FA zwei separate Faktoren benötigt, um Ihre Identität zu bestätigen. Durch diesen Prozess lässt sich das Risiko eines unbefugten Zugriffs erheblich senken, selbst wenn bösartige Akteure in Besitz Ihres Benutzernamens und Passworts gelangen sollten. Die verschiedenen Faktoren fallen dabei in 3 große Kategorien:

1. Wissen: Etwas, das nur Sie wissen, wie z. B. ein Passwort, eine PIN oder die Antwort auf eine geheime Frage.

2. Besitz: Etwas, das nur Sie haben, wie z. B. Ihr Smartphone, ein sicheres USB-Laufwerk usw.

3. Innere Identitätsmerkmale (biometrische Daten): Etwas, das Sie sind – dies ist typischerweise ein Fingerabdruck, eine Gesichtserkennung oder eine Iris-Erkennung.

Und so funktioniert 2FA in der Praxis: Nehmen wir an, Sie versuchen, auf ein Online-Dashboard zuzugreifen, das sensible Daten enthält. Zuerst geben Sie Ihren Benutzernamen und Ihr Passwort (im Kontext von 2FA auch Wissensfaktor genannt) ein. Anschließend erhalten Sie eine Push-Benachrichtigung auf Ihr Smartphone (bei 2FA auch Besitzfaktor genannt), auf die Sie nun klicken müssen, um Ihre Identität zu bestätigen. Ohne diese beiden Faktoren wird der Zugang verweigert.

Dabei handelt es sich bei 2FA um einen Unterfall einer breiteren Kategorie, die als Multi-Faktor-Authentifizierung (MFA) bekannt ist. Für ein tieferes Verständnis von MFA im Allgemeinen lesen Sie unseren eigenen Beitrag zum Thema Was ist Multi-Faktor-Authentifizierung.

Vorteile von 2FA

Mehr Sicherheit

Indem zwei unterschiedliche Faktortypen gefordert werden, reduziert 2FA die Wahrscheinlichkeit, dass ein Hacking-Versuch Erfolg hat, ganz erheblich. Selbst wenn es den Hackern gelingen sollte, Ihr Passwort zu erraten oder zu stehlen, bräuchten sie dennoch zusätzlich Ihr physisches Gerät oder Ihre biometrischen Daten.

Ein großer Schritt in Richtung Compliance

In zahlreichen Branchen wie Finanzen, Gesundheitswesen oder E-Commerce empfehlen oder fordern die Datenschutzstandards und -vorschriften eine 2FA.

Die Grenzen von 2FA

Geräteabhängigkeit

In den meisten Fällen ist der zweite Faktor an ein mobiles Gerät gebunden. Falls ein Benutzer sein Telefon oder Tablet verliert oder nicht darauf zugreifen kann, muss er oder sie mit erheblichen Verzögerungen rechnen und bleibt erst einmal ausgesperrt.

Potenzielle Kosten und/oder Komplexität

Die Einführung von 2FA in großen Unternehmen kann den Erwerb von physischen Schlüsseln oder die Schulung von Mitarbeitern zum Thema Nutzung von Authentifikatoren erfordern, was ihre alltäglichen Prozesse vorübergehend komplexer machen kann.

Beispiele für 2FA

Passwort und ein Hardware-Sicherheitsschlüssel

Sie geben Ihr Passwort ein und schließen dann ein eigenes Gerät wie etwa einen YubiKey an, um die Anmeldung abzuschließen. Weil der Schlüssel hierbei ein physisches Objekt ist, können Angreifer ihn aus der Ferne weder kopieren noch hacken.

Fingerabdruck und ein Passwort

Der Authentifizierungsprozess kann so eingerichtet werden, dass Sie bei der Entsperrung einer Smartphone-App Ihren Fingerabdruck (biometrischer Faktor) einscannen und zusätzlich ein kurzes Passwort eingeben (Wissensfaktor).

Gesichtserkennung und eine Push-Nachricht auf ein Gerät

Einige 2FA-Systeme sind so konfiguriert, dass sie Ihr Gesicht scannen und anschließend für die endgültige Freigabe eine Push-Benachrichtigung an Ihr Telefon senden. Diese Herangehensweise deckt die beiden Faktoren Identität (Ihr Gesicht) und Besitz (Ihr Telefon) ab.

Passwort und eine Authentifizierungs-App

Nach Eingabe eines Passworts (Wissensfaktor) öffnen Sie eine Authentifizierungs-App (z. B. den Google Authenticator oder eine Firmen-App). Deren Code ändert sich alle 30 Sekunden, was es potenziellen Angreifern erschwert, ihn zu erraten.

In bestimmten Fällen möchten Unternehmen vielleicht sogar noch fortschrittlichere Optionen erkunden, beispielsweise die passwortlose Authentifizierung. Wenn Sie die passwortbasierte Authentifizierung ganz hinter sich lassen möchten, lesen Sie dazu unseren Beitrag Was ist passwortlose Authentifizierung.

Was bedeutet 2-Schritt-Verifizierung (2SV)?

Auch die Zwei-Schritt-Verifizierung (2SV) erfordert – ähnlich wie die 2FA – zwei aufeinanderfolgende Schritte, um Ihre Identität zu bestätigen, jedoch verlangt sie nicht notwendigerweise zwei verschiedene „Kategorien“ von Faktoren. Bei 2SV können Sie beispielsweise aufgefordert werden, zunächst Ihr Passwort einzugeben und anschließend eine persönliche Frage zu beantworten – in diesem Fall würden beide Faktoren in die Kategorie „Wissen“ fallen. In anderen Fällen werden Sie vielleicht aufgefordert, Ihren Benutzernamen und Ihr Passwort einzugeben, und anschließend gebeten, einen Code einzugeben, der an Ihre E-Mail-Adresse gesendet wird. Auch wenn es sich dabei um eine zusätzliche Ebene über das einzelne Passwort hinaus handelt, bleiben beide Faktoren doch rein wissensbasiert.

Vorteile von 2SV

Einfache Implementierung

Da 2SV zumeist weit verbreitete Tools wie SMS- oder E-Mail-Verifizierung nutzt, ist die Einführung für Unternehmen relativ unkompliziert. Die Benutzer sind außerdem daran gewöhnt, Codes über diese Kanäle zu erhalten.

Besser als ein einzelnes Passwort

Selbst wenn Sie Ihr Passwort auf mehreren verschiedenen Websites wiederverwenden sollten (was eine riskante Angewohnheit ist), wird dennoch immer ein zweiter Schritt benötigt, um auf Ihr Konto zuzugreifen. Ein solcher Ansatz mit mehreren Ebenen ist sicherer als Logins allein mit einem Passwort.

Die Grenzen von 2SV

Verwundbarkeit durch den gleichen Faktor

Wenn sich beide Anmeldeschritte auf Wissensfaktoren stützen (wie zum Beispiel ein Passwort plus eine Sicherheitsfrage), können Hacker, die genügend persönliche Daten in Erfahrung gebracht haben, möglicherweise beide knacken. Dasselbe kann für eine SMS-basierte Verifizierung gelten, die anfällig für SIM-Swapping-Angriffe sein kann.

Abhängigkeit von externen Kanälen

Wenn der Code per E-Mail versendet wird und Ihre E-Mail-Adresse kompromittiert wurde, stellt dieser zweite Schritt kein großes Hindernis mehr da. SMS-Codes können ebenfalls manchmal abgefangen oder verzögert werden.

Beispiele für 2SV

Benutzername und Passwort, gefolgt von einem E-Mail-Link

Nach der Eingabe Ihrer primären Zugangsdaten wird Ihnen ein Einmal-Link per E-Mail zugesandt, um Ihre Identität zu bestätigen. Solange Ihr E-Mail-Konto gut geschützt ist, ist dies eine zusätzliche Hürde für Angreifer.

Passwort und eine Sicherheitsfrage

Sie loggen sich mit Ihrem gewohnten Passwort ein und beantworten anschließend eine Frage wie etwa: „Wie hieß Ihr erstes Haustier?“ Denken Sie daran, dass solche Sicherheitsfragen ein schwaches Glied in der Abwehrkette sein können, wenn Antworten leicht zu erraten sind oder sich über soziale Medien finden lassen.

Passwort und ein SMS-Code

Sie geben Ihr Passwort ein und erhalten anschließend einen numerischen Code auf Ihr Handy. Sobald dieser eingegeben wurde, gewährt das System Zugriff. Auch wenn solche SMS-basierten Codes nützlich sind, sind sie doch anfällig für Angriffe durch Phone-Porting oder SIM-Swap.

Was ist der Unterschied zwischen 2FA und 2SV ?

Auf den ersten Blick können 2FA und 2SV sehr ähnlich erscheinen. Und tatsächlich benutzen viele Menschen diese beiden Begriffe synonym. Es gibt jedoch einen feinen, aber entscheidenden Unterschied zwischen den beiden:

• 2FA fordert zwei unterschiedliche Faktorkategorien (z. B. etwas, das Sie kennen, und etwas, das Sie besitzen). Beispielsweise ein Passwort (Wissen) zusammen mit einem Sicherheitsschlüssel (Besitz).

• 2SV erfordert hingegen lediglich zwei Schritte, und diese können beide der gleichen Kategorie entstammen, beispielsweise ein Passwort, gefolgt von einer Sicherheitsfrage oder einem Code.

Aus praktischer Perspektive gilt 2FA normalerweise als sicherer als 2SV, weil es schwieriger ist, zwei unterschiedliche Typen von Faktoren gleichzeitig zu knacken. Zum Beispiel können böswillige Akteure Ihren Fingerabdruck nicht so einfach stehlen, wie sie ein einfaches Passwort knacken können. Jedoch ist 2SV trotzdem erheblich sicherer, als sich allein auf einen einzigen Faktor zu verlassen.

Erwähnenswert ist, dass das Konzept von 2SV gegenüber 2FA häufig bei der Diskussion fortschrittlicher Authentifizierungs-Wokflows in Unternehmen aufkommt. Große Unternehmen können mit dem Mischen von sich ergänzenden Schritten experimentieren – zum Beispiel ein Passwort plus ein biometrischer Scan plus eine Push-Benachrichtigung, was effektiv eine Form der Multi-Faktor-Authentifizierung (MFA) darstellt. Wenn Sie die gesamte Authentifizierungs-Landschaft erkunden möchten, sollten Sie sich außerdem ansehen, wie Passkeys in diese Diskussion passen – lesen Sie dazu unseren Artikel Was ist ein Passkey.

Warum ist es für den Schutz Ihres Kontos unerlässlich, mehr als eine Sicherheitsschranke einzubauen?

Cyber-Bedrohungen haben sich zu einem Punkt entwickelt, an dem sich ein einzelnes Passwort – selbst ein starkes, komplexes – durch Phishing-Betrügereien, Datenlecks oder anspruchsvolle Hacking-Tools umgehen lässt. Genau deshalb ist das Hinzufügen zusätzlicher Sicherheitsebenen für Unternehmen, die Sicherheit ernst nehmen, zu einer unverzichtbaren Praxis geworden. Denn selbst wenn eine Ebene gehackt oder umgangen werden sollte, bleiben weitere noch intakt, wodurch ein robuster Schutz gewährleistet wird.

Durch menschliche Fehler werden die Probleme noch verstärkt, weil Menschen dazu neigen, Passwörter wiederzuverwenden, schnell auf zweifelhafte Links klicken und sich häufig leicht von cleveren Social-Engineering-Techniken täuschen lassen. Mehrere Authentifizierungspunkte zu haben, bedeutet hier, dass durch ein einzelnes Versehen nicht unbedingt gleich das gesamte System kompromittiert wird. Neben der Eindämmung von Risiken erhöhen mehrere Sicherheitsebenen auch das Vertrauen der Verbraucher und demonstrieren Ihr Engagement für den Schutz personenbezogener Daten – ein entscheidendes Unterscheidungsmerkmal in einer Zeit, in der die Privatsphäre ein zentrales Thema darstellt.

Und schließlich fordern in vielen Branchen Vorschriften und rechtlichen Rahmenbedingungen ebenfalls die Anwendung zusätzlicher Sicherheitsmaßnahmen oder empfehlen sie zumindest nachdrücklich. Für Remote-Teams, die über verschiedene Standorte und Geräte verteilt arbeiten, fungieren diese zusätzlichen Ebenen wie ein Sicherheitsnetz, das verdächtige Anmeldeversuche abfangen kann, bevor sie sich zu ausgewachsenen Datenlecks entwickeln können.