Einführung der Zwei-Faktor-Authentifizierung
Seit Anfang 2021 besteht für Unternehmen die Pflicht zur „Zwei-Faktor-Authentifizierung“, auch „Zwei-Faktor-Authentisierung“ oder „2FA“ genannt. Bereits zu Ende 2020 war diese Pflicht für Zahlungen mit Kreditkarte, PayPal etc. zum Beispiel in Online-Shops angedacht. Seit dem 15. März 2021 gilt die Zwei-Faktor-Authentifizierung für alle Zahlungen.
Die Zwei-Stufen-Authentifizierung bietet deutlich besseren Schutz als ein Passwort
Lange waren Benutzerkonten und Passwörter die einzige Option zum Schutz vor Datenmissbrauch von Online-Diensten. Hacker und unbefugte Dritte, die in den Besitz dieser Zugangsdaten gelangten, konnten durch den Diebstahl der digitalen Identität sehr leicht große Schäden anrichten. Die Zwei-Faktor-Authentifizierung bringt hier einen zusätzlichen Sicherheitsgewinn. Dieser entsteht dadurch, dass Bestellungen, Zahlungsvorgänge oder Änderungen von Server- oder Sicherheitseinstellungen nicht mehr allein dadurch ausgelöst werden können, dass sich Nutzer von Internetdiensten mit Ihrem Benutzerkonto und einem Kennwort ausweisen.
Es kommt als zweiter Faktor noch eine zusätzliche Legitimierung hinzu, die von einem anderen Gerät aus erfolgt und als Einmalkennwort eingegeben werden muss. Die Zwei-Schritt-Verifizierung macht das herkömmliche einstufige zu einem zweistufigen Verfahren, welches durch die zusätzliche Sicherheitsfunktion ein wesentlich höheres Sicherheitsniveau bietet. Auch die IT-Sicherheit eines Unternehmens kann durch die Zwei-Stufen-Authentisierung erhöht werden.
Möglichkeiten der Zwei-Faktor-Authentifizierung: Beispiele im Überblick
Es gibt mittlerweile eine Vielzahl an Varianten, um eine Zwei-Stufen-Authentifizierung durchzuführen:
1. Biometrische Daten
Das andere Gerät kann z. B. ein Fingerabdruck- oder Iris-Scanner sein, der die biometrischen Daten des Nutzers erfasst und bestätigt.
2. Einmalkennwort bzw. TAN
Häufig bei der Authentifizierungsanfrage verwendet, wird ein Mobiltelefon, das ein Einmalkennwort / eine Transaktionsnummer (TAN) in einer SMS empfängt, welche vom Online-System automatisch verschickt wird. Nach dem Empfang muss dieses Einmalpasswort in das Online-System eingegeben werden, um etwa einen Bestellvorgang abzuschließen oder eine Grundeinstellung zu ändern.
3. Kennwort per App
Alternativ kann das notwendige Einmalkennwort für die Zwei-Faktor-Authentifizierung auch mit einer Smartphone-App (Software-Token) oder einem zusätzlichen Gerät (Hardware-Token) vom Nutzer selbst erzeugt werden. Das Online-System zeigt zu diesem Zweck beim Authentifizierungsprozess einen Sicherheitscode direkt an, der vor Ort in die Smartphone-App oder das Zusatzgerät eingegeben werden muss. Da App oder Zusatzgerät zuvor beim Onlineanbieter registriert und angemeldet werden mussten, erwartet das Online-System die Eingabe eines bestimmten Einmalkennworts. Wird dies korrekt generiert und eingegeben, führt das Online-System die gewünschte Aktion aus. Die Einmalkennwörter sind meist einfache Ziffernfolgen bzw. Geheimzahlen, die zügig nach der Erstellung eingegeben werden müssen, bevor sie ihre Gültigkeit verlieren.
4. Elektronischer Personalausweis
Dank des elektronischen Personalausweises wird auch dieser als Zwei-fach-Authentifizierung verwendet. Wichtig: Die Online-Funktion des Ausweises müssen Sie freischalten. Dies können Sie problemlos in jedem Bürgerbüro vornehmen lassen.
5. QR-Codes
Insbesondere Banken greifen mittlerweile zu QR-Codes. Um sich ins eigene Online-Konto einzuloggen, benötigen Sie zunächst ein Passwort. Anschließend wird Ihnen ein QR-Code angezeigt, den Sie mit einer App einscannen müssen. Dadurch erhalten Sie eine TAN, die Sie eingeben. Achtung: Für die Zwei-Faktor-Authentifizierung verfügen Banken meist über entsprechende Apps.
Tipp
Einmalkennwörter generieren als Authentifizierungsmethode
Apps für die Erzeugung von Einmalkennwörtern nach dem standardisierten und allgemein anerkannten TOTP-Verfahren (Time-based One-Time Password) gibt es von unterschiedlichen Anbietern, sowohl für Android als auch für iOS. Weit verbreitet sind Google Authenticator oder Microsoft Authenticator.
Der Vorteil der 2FA: Höhere Sicherheit für Nutzer und Unternehmen
Die Zwei-Faktor-Authentifizierung ist kein neues Verfahren, sondern wird bereits seit mehreren Jahren von großen Online-Händlern und Internetdiensten eingesetzt. Beispiele für Firmen, welche das Authentifizierungssystem nutzen, sind unter anderem:
- Apple
- Mobile Payment wie z.B. PayPal
- Microsoft
- Dropbox
- Amazon
Die Zwei-Faktor-Authentifizierung bietet deutlich mehr Sicherheit für Nutzer und Anbieter: Gerät bei der Zwei-Faktor-Authentifizierung das Passwort für das Benutzerkonto in falsche Hände, kann allein dadurch kein Schaden entstehen. Denn für einen Missbrauch würde ja auch noch die zweite Sicherheitsfunktion benötigt. Dieser Umstand ermöglicht Ihnen zudem einen sichereren Zugang zu diversen Cloud und Cloud-Diensten. Dank der Authentifizierung sind Ihre Daten geschützter, Datendiebstahl wird erschwert, da ein Zugriff schwerer erfolgen kann. Dies ist im Hinblick auf das Thema Datenschutz relevant.
Angreifer müssen also auch das Smartphone des Nutzers in ihre Verfügungsgewalt bekommen oder die Kommunikation umleiten bzw. abhören, um in den Besitz des zusätzlichen Einmalkennworts zu gelangen. Unmöglich ist dies nicht, erfordert aber einen ungleich höheren Aufwand als das Ausspionieren des Passworts. Nutzer sind durch die neuen Sicherheitsebenen also besser vor Missbrauch geschützt. Es lohnt sich daher immer, die Zwei-Faktor-Authentifizierung zu aktivieren, da diese gleichzeitig einen besseren Identitätsnachweis liefert, und sich somit auch die Transaktionssicherheit für die Anbieter erhöht.
Nachteile der Zwei-Faktor-Authentifizierung
Die Hauptnachteile des Sicherheitsverfahrens sind:
- höherer technischer Aufwand
- umständliche Abwicklung
- deutlich zeitaufwändigere Bestell- und Zahlungsvorgänge
- erhöhtes Risiko, dass viele Transaktionen abgebrochen werden
Auf diese Nachteile bezieht sich der Händlerbund, der größte Onlinehandelsverband Europas, und warnt daher vor den „verheerenden Folgen“, welche die Einführung der Zwei-Faktor-Authentifizierung für den E-Commerce nach sich ziehen würde. Die Verpflichtung förderte allerdings nicht nur das allgemeine Sicherheitsniveau, sondern sorgte auch dafür, dass das Zwei-Faktor-Verfahren schnell allgemein akzeptiert wurde und es keinen Wettbewerbsnachteil für Unternehmen gab.
