Was ist eine Multi-Faktor-Authentifizierung?

Die Multi-Faktor-Authentifizierung bietet deutlich mehr Sicherheit als der ausschließliche Einsatz von Passwörtern. Anhand der Kombination mehrerer unabhängiger Faktoren wird die Identität eines Nutzers zweifelsfrei nachgewiesen. Die Faktoren lassen sich in drei Gruppen einteilen: etwas, das der Nutzer weiß, besitzt oder das untrennbar zu ihm gehört. Konkrete Beispiele sind ein Passwort, ein Hardware-Security-Token in Form eines USB-Sticks oder Smartphones und biometrische Merkmale wie das Gesicht oder der Fingerabdruck.

Nur wenn der Anwender Faktoren aus mindestens zwei verschiedenen Gruppen beim Log-in angibt, erhält er Zugang zu seinem Account. Meist wird ein nur für kurze Zeit gültiger Sicherheitscode abgefragt, den der Nutzer per SMS, E-Mail, Sprachanruf oder Smartphone-App erhält. Diese Zwei-Faktor-Authentifizierung (2FA) bieten inzwischen die meisten Online-Dienste an.

Gerade im professionellen Umfeld kommen auch Verfahren mit drei und mehr Faktoren zum Einsatz. Erfordert die Anmeldung mindestens ein Merkmal aus jeder der drei Gruppen, spricht man von Drei-Faktor-Authentifizierung (3FA). Ein Beispiel wäre die Kombination aus Passwort, Geräte-ID und Fingerabdruck. Bei der Vier-Faktor-Authentifizierung (4FA) wird oft zusätzlich der Standort des Nutzers geprüft, etwa ob er sich aus dem internen Netzwerk anmeldet.

Bei aktivierter Multi-Faktor-Authentifizierung kann ein Angreifer mit Benutzername und Passwort allein nichts anfangen, weil ihm der MFA-Schlüssel fehlt, der als zusätzlicher Faktor zum Identitätsnachweis dient. Allerdings müssen Anwender die Multi-Faktor-Authentifizierung bei den meisten Diensten erst in den Kontoeinstellungen einrichten.

Im Anschluss an die Einrichtung der Multi-Faktor-Authentifizierung empfiehlt es sich, einen der hinterlegten Wiederherstellungscodes zu notieren oder auszudrucken und an einem sicheren Ort aufzubewahren. Er ist die einzige Möglichkeit, bei Problemen mit der Authenticator-App oder Verlust des Smartphones bzw. USB-Sicherheitsschlüssels weiterhin Zugang zum Konto zu erhalten. Achtung: Jeder Wiederherstellungscode ist nur einmal verwendbar.

Generell bieten alle Methoden zur Multi-Faktor-Authentifizierung deutlich mehr Sicherheit als der ausschließliche Einsatz eines Passworts. Sofern das Endgerät frei von Malware ist, gilt die Nutzung einer Authentifizierungs-App als sicherer als der Empfang eines MFA-Schlüssels per SMS. Denn via SMS übermittelte Codes können Angreifer mit etwas Aufwand abfangen oder umleiten. Sie kontaktieren etwa im Namen des Opfers dessen Telefonanbieter und geben vor, Handy samt SIM-Karte verloren zu haben. Sie lassen sich eine neue Karte zuschicken und die alte sperren. Bei unzureichenden Sicherheitsvorkehrungen seitens des Telefonanbieters erhalten die Angreifer auf diese Weise die Kontrolle über die Telefonnummer des Opfers und damit auch über alle mit dieser Nummer verknüpfte Online-Konten.

Die größte Sicherheit bietet die Multi-Faktor-Authentifizierung mittels Hardware-Security-Token in Form eines USB-Sticks oder einer Chipkarte. Sie muss der Nutzer zur Anmeldung an einen Rechner anschließen oder vor ein Lesegerät halten. Dabei wird der Token eindeutig erkannt und weitere Faktoren zur Authentifizierung abgefragt, z. B. ein Fingerabdruck und eine PIN. Passen die eingegebenen Faktoren zum Token, erhält der Anwender Zugriff auf sein Konto. Geht der Token verloren, bleibt das Konto vor unbefugtem Zugriff geschützt, weil die zusätzlichen Faktoren fehlen.