2FA: Zwei-Faktor-Authentifizierung einfach erklärt

Die Zwei-Faktor-Authentifizierung, kurz 2FA, schützt Benutzerkonten durch zwei voneinander unabhängige Sicherheitsmerkmale. Neben dem Passwort müssen Anwender beim Anmelden einen zweiten Nachweis ihrer Identität erbringen.

Dadurch reicht ein gestohlenes oder erratenes Passwort allein in der Regel nicht mehr aus, um auf ein Konto zuzugreifen. 2FA gehört deshalb zu den wichtigsten Maßnahmen, um Unternehmenszugänge, Cloud-Dienste und persönliche Online-Konten besser vor unbefugtem Zugriff zu schützen.

Was bedeutet 2FA?

2FA steht für den englischen Begriff Two-Factor Authentication. Auf Deutsch wird das Verfahren als Zwei-Faktor-Authentifizierung oder fachlich genauer als Zwei-Faktor-Authentisierung bezeichnet.

Bei einer Anmeldung mit 2FA werden zwei Faktoren aus unterschiedlichen Kategorien miteinander kombiniert:

Faktor Wissen

Etwas, das nur der Benutzer wissen sollte, beispielsweise:

• ein Passwort
• eine PIN
• ein persönlicher Zugangscode

Faktor Besitz

Etwas, das sich im Besitz des Benutzers befindet, beispielsweise:

• ein Smartphone
• eine Authenticator-App
• ein Hardware-Sicherheitsschlüssel
• eine Smartcard
• ein Hardware-Token

Faktor Biometrie

Ein persönliches körperliches Merkmal, beispielsweise:

• ein Fingerabdruck
• eine Gesichtserkennung
• ein Iris-Scan

Für eine echte Zwei-Faktor-Authentifizierung müssen die verwendeten Merkmale aus zwei verschiedenen Kategorien stammen. Ein Passwort zusammen mit einer zusätzlichen Sicherheitsfrage gilt daher normalerweise nicht als 2FA, weil beide Merkmale zur Kategorie Wissen gehören.

Wie funktioniert die Zwei-Faktor-Authentifizierung?

Bei einer klassischen Anmeldung geben Benutzer zunächst ihren Benutzernamen und ihr Passwort ein. Anschließend fordert der Dienst einen zweiten Identitätsnachweis an.

Dieser kann beispielsweise durch einen zeitlich begrenzten Code aus einer Authenticator-App, einen Hardware-Sicherheitsschlüssel oder eine Bestätigung auf einem registrierten Gerät erfolgen. Erst nachdem beide Faktoren erfolgreich geprüft wurden, wird der Zugriff freigegeben.

Beispiel für einen Login mit 2FA

Ein Mitarbeiter möchte sich bei Microsoft 365 anmelden:

1. Er gibt seine E-Mail-Adresse und sein Passwort ein.
2. Anschließend wird ein zusätzlicher Sicherheitsnachweis verlangt.
3. Der Mitarbeiter bestätigt die Anmeldung über seine Authenticator-App oder einen Sicherheitsschlüssel.
4. Erst danach erhält er Zugriff auf das Benutzerkonto.

Hat ein Angreifer lediglich das Passwort erbeutet, fehlt ihm weiterhin der zweite Faktor. Eine Kontoübernahme wird dadurch erheblich erschwert.

Warum ist 2FA für Unternehmen wichtig?

Passwörter können durch Phishing, Schadsoftware, Datenlecks oder die Mehrfachverwendung identischer Zugangsdaten kompromittiert werden. Selbst ein starkes Passwort bietet deshalb allein keinen vollständigen Schutz.

2FA ergänzt den Passwortschutz um eine weitere Sicherheitsebene. Das ist besonders wichtig für Zugänge zu:

• Microsoft 365 und anderen Cloud-Diensten
• E-Mail-Konten
• VPN-Verbindungen
• administrativen Benutzerkonten
• Unternehmensanwendungen
• Online-Banking und Zahlungsdiensten
• Passwortmanagern
• sozialen Netzwerken

Insbesondere Konten mit administrativen Berechtigungen und Zugänge zu geschäftskritischen Systemen sollten immer mit einem zusätzlichen Faktor abgesichert werden.

Welche 2FA-Verfahren gibt es?

Nicht jedes 2FA-Verfahren bietet das gleiche Sicherheitsniveau.

Hardware-Sicherheitsschlüssel und Passkeys

Hardware-Sicherheitsschlüssel und moderne Passkeys gehören zu den sichersten Anmeldeverfahren. Sie können Anmeldungen an die jeweilige Website oder Anwendung binden und bieten dadurch einen besonders guten Schutz vor klassischen Phishing-Angriffen.

Authenticator-App

Authenticator-Apps erzeugen meist zeitlich begrenzte Einmalcodes. Sie sind in der Regel sicherer als Codes per SMS, da die Codes nicht über das Mobilfunknetz übertragen werden.

Noch komfortabler sind App-Anmeldungen mit Nummernabgleich. Dabei muss eine auf dem Anmeldebildschirm angezeigte Nummer in der App bestätigt werden. Dies reduziert das Risiko, dass Benutzer versehentlich eine betrügerische Anmeldeanfrage freigeben.

Push-Benachrichtigung

Bei einer Push-Benachrichtigung wird die Anmeldung über eine App bestätigt. Einfache Freigaben mit „Zulassen“ oder „Ablehnen“ können jedoch durch wiederholte Anfragen missbraucht werden. Verfahren mit Nummernabgleich sind deshalb vorzuziehen.

SMS-Code

Bei diesem Verfahren wird ein einmaliger Code per SMS übermittelt. SMS-2FA ist grundsätzlich besser als eine Anmeldung ausschließlich mit einem Passwort, bietet aber weniger Schutz als eine Authenticator-App oder ein Hardware-Sicherheitsschlüssel.

Mögliche Risiken sind unter anderem manipulierte SIM-Karten, umgeleitete Rufnummern oder abgefangene Nachrichten. SMS sollte daher möglichst nur verwendet werden, wenn keine sicherere Methode verfügbar ist.

Was ist der Unterschied zwischen 2FA und MFA?

Die Begriffe 2FA und MFA werden häufig synonym verwendet, bedeuten aber nicht genau dasselbe.

• 2FA verwendet exakt zwei unterschiedliche Faktoren.
• MFA, die Multi-Faktor-Authentifizierung, verwendet mindestens zwei Faktoren und kann auch drei oder mehr Sicherheitsmerkmale kombinieren.

Jede 2FA ist somit eine Form der MFA. Nicht jede MFA ist jedoch auf genau zwei Faktoren begrenzt.

Ist 2FA vollständig sicher?

2FA verbessert den Schutz eines Kontos erheblich, verhindert aber nicht jede Form eines Angriffs. Unsichere oder unaufmerksame Benutzer können beispielsweise auch Einmalcodes auf gefälschten Anmeldeseiten eingeben oder betrügerische Push-Anfragen bestätigen.

Unternehmen sollten deshalb bevorzugt phishing-resistente Anmeldeverfahren einsetzen und 2FA mit weiteren Schutzmaßnahmen kombinieren. Dazu gehören:

• sichere und individuelle Passwörter
• ein zentraler Passwortmanager
• regelmäßige Sicherheitsupdates
• eingeschränkte Benutzerrechte
• Schulungen zur Erkennung von Phishing
• Überwachung auffälliger Anmeldeversuche
• sichere Verfahren zur Wiederherstellung von Konten

Was muss bei der Einführung von 2FA beachtet werden?

Vor der Einführung sollte geprüft werden, welche Anwendungen und Benutzerkonten besonders schützenswert sind. Die Absicherung sollte mindestens bei Administratoren, Cloud-Diensten, E-Mail-Konten und extern erreichbaren Systemen beginnen.

Wichtig sind außerdem:

• eine verständliche Anleitung für die Benutzer
• sichere Ersatz- und Wiederherstellungsverfahren
• Regeln für verlorene oder ausgetauschte Smartphones
• mindestens eine hinterlegte Ersatzmethode
• eine kontrollierte Ausgabe von Hardware-Token
• die regelmäßige Prüfung registrierter Geräte
• eine zentrale Verwaltung und Dokumentation

Wiederherstellungscodes sollten sicher aufbewahrt und niemals zusammen mit dem Passwort gespeichert werden.

Fazit: 2FA sollte zum Sicherheitsstandard gehören

Die Zwei-Faktor-Authentifizierung ist eine wirksame und vergleichsweise einfach umsetzbare Maßnahme gegen unbefugte Kontozugriffe. Sie sorgt dafür, dass ein Passwort allein nicht mehr für eine erfolgreiche Anmeldung ausreicht.

Unternehmen sollten 2FA überall dort aktivieren, wo sensible Daten, geschäftliche Kommunikation oder administrative Funktionen geschützt werden müssen. Authenticator-Apps sind dabei meist eine gute Mindestlösung. Für besonders schützenswerte Zugänge sind phishing-resistente Verfahren wie Passkeys oder Hardware-Sicherheitsschlüssel vorzuziehen.

KNS unterstützt Unternehmen bei der Auswahl, Einführung und zentralen Verwaltung geeigneter Authentifizierungsverfahren – beispielsweise für Microsoft 365, Cloud-Anwendungen, VPN-Zugänge und administrative Konten.

Häufig gestellte Fragen zu 2FA

Kann ein Konto trotz 2FA gehackt werden?

Ja. 2FA reduziert das Risiko einer Kontoübernahme erheblich, bietet aber keinen absoluten Schutz. Angreifer können beispielsweise versuchen, Einmalcodes durch Phishing abzufangen oder Benutzer zur Bestätigung einer betrügerischen Anmeldung zu bewegen. Phishing-resistente Verfahren bieten einen besseren Schutz gegen solche Angriffe.

Ist eine Authenticator-App besser als SMS?

In der Regel ja. Codes aus einer Authenticator-App werden nicht über das Mobilfunknetz verschickt und sind dadurch weniger anfällig für bestimmte Angriffe auf Telefonnummern und SIM-Karten.

Ist ein Fingerabdruck allein bereits 2FA?

Nein. Ein einzelner Fingerabdruck ist nur ein Faktor aus der Kategorie Biometrie. Erst in Kombination mit einem unabhängigen Faktor, etwa einem Gerät oder einer PIN, entsteht eine Zwei-Faktor-Authentifizierung.

Muss 2FA bei jeder Anmeldung verwendet werden?

Das hängt von der Konfiguration des jeweiligen Dienstes ab. Vertrauenswürdige Geräte können teilweise für einen bestimmten Zeitraum gespeichert werden. Bei ungewöhnlichen Anmeldungen, neuen Geräten oder sensiblen Aktionen kann erneut eine Bestätigung verlangt werden.

Welche Konten sollten zuerst mit 2FA geschützt werden?

Besonders wichtig sind E-Mail-Konten, Microsoft-365-Zugänge, Administratorenkonten, VPN-Verbindungen, Passwortmanager und alle Dienste, die sensible Unternehmensdaten enthalten.