Was ist Zwei-Faktor-Authentifizierung (2FA)?
Die Zwei-Faktor-Authentifizierung (2FA) bestätigt die Identität bei der Anmeldung mit zwei voneinander unabhängigen Nachweisen, zum Beispiel Passwort und Code aus einer Authenticator-App. Gestohlene Passwörter allein reichen Angreifern dann nicht mehr aus, um ein Konto zu übernehmen.
2FA: Definition und Faktoren
Bei der Zwei-Faktor-Authentifizierung weisen Nutzer ihre Identität mit zwei Faktoren aus verschiedenen Kategorien nach: Wissen (Passwort, PIN), Besitz (Smartphone, Sicherheitsschlüssel) oder Merkmal (Fingerabdruck, Gesicht). Zwei Passwörter wären keine 2FA, weil beide derselben Kategorie angehören. Werden mehr als zwei Faktoren verlangt, spricht man von Multi-Faktor-Authentifizierung (MFA).
Der Grund für das Verfahren ist einfach: Passwörter werden erraten, per Phishing abgegriffen oder nach Datenlecks wiederverwendet. Ist ein zweiter Faktor aktiv, scheitert ein Angreifer mit dem bloßen Passwort. Das Verfahren zählt deshalb zu den wirksamsten Einzelmaßnahmen zum Schutz von Benutzerkonten.
Die gängigen Verfahren im Vergleich
Nicht jeder zweite Faktor ist gleich stark. Ein per SMS gesendeter Code ist besser als nichts, lässt sich aber durch SIM-Swapping oder Phishing abfangen. Codes aus Authenticator-Apps (TOTP) sind robuster. Am stärksten sind Verfahren nach dem FIDO2-Standard, also Sicherheitsschlüssel und Passkeys: Sie sind an die echte Adresse der Website gebunden und lassen sich auf gefälschten Seiten nicht abgreifen.
- SMS- oder E-Mail-Code: einfach, aber am leichtesten auszuhebeln
- Authenticator-App (TOTP): Code wechselt alle 30 Sekunden, kein Mobilfunknetz nötig
- Push-Bestätigung: bequem, aber anfällig für „Müdigkeitsangriffe“ durch wiederholte Anfragen
- Hardware-Sicherheitsschlüssel (FIDO2): sehr stark gegen Phishing
- Passkeys: FIDO2-Anmeldung per Gerät und Biometrie, ersetzt das Passwort
Praxisbeispiel: Gekaperte Mailbox in der Buchhaltung
In einem Großhandel mit 40 Mitarbeitern gibt die Buchhalterin ihr Microsoft-365-Passwort auf einer täuschend echten Anmeldeseite ein. Ohne zweiten Faktor könnten Angreifer ihre Mailbox übernehmen, im Namen des Unternehmens Rechnungen mit geänderter Bankverbindung an Kunden senden und unbemerkt Weiterleitungen einrichten, um Antworten mitzulesen.
Mit aktivierter 2FA scheitert der Login der Angreifer an der Abfrage des zweiten Faktors. Das Unternehmen gewinnt Zeit: Die Buchhalterin meldet den Vorfall, das Passwort wird zurückgesetzt, aktive Sitzungen werden beendet. Entscheidend ist, dass 2FA für alle Konten gilt – nicht nur für die Geschäftsführung.
Einführung, Grenzen und typische Fehler
Zuerst geschützt werden sollten E-Mail-Konten, Administrator- und Cloud-Zugänge, Buchhaltung und Online-Banking, Domain- und Hosting-Verwaltung sowie Social-Media-Konten. Auch 2FA ist nicht unüberwindbar: Bei Angriffen über einen Zwischenserver (Adversary-in-the-Middle) können Einmalcodes mitgelesen werden. Phishing-resistente Verfahren wie FIDO2 sind deshalb das Ziel.
Nano Concepts führt 2FA und Passkeys in Microsoft 365, Cloud-Diensten und eigenen Anwendungen ein, schult Teams in der Anwendung und plant Wiederherstellungswege für den Verlustfall, damit kein Mitarbeiter ausgesperrt bleibt. Auf Wunsch übernehmen wir auch die Einrichtung der Geräte, sodass die Umstellung im Alltag kaum Zeit kostet.
- Keine Wiederherstellungscodes gesichert und kein Ersatzgerät eingerichtet
- SMS als einziger Faktor bei sensiblen Konten
- Ausnahmen für „wichtige Personen“ oder Dienstkonten
- Jede Push-Anfrage ohne Nachdenken bestätigt
- Kein Prozess für verlorene oder defekte Smartphones
Häufige Fragen zu Zwei-Faktor-Authentifizierung (2FA)
2FA verlangt genau zwei Faktoren, MFA mindestens zwei. Im Alltag werden die Begriffe oft gleichgesetzt. Wichtiger als die Anzahl ist, dass die Faktoren aus unterschiedlichen Kategorien stammen und das Verfahren möglichst phishing-resistent ist.
Besser als gar kein zweiter Faktor, aber nicht die stärkste Wahl. SMS-Codes lassen sich über SIM-Swapping oder gefälschte Anmeldeseiten abgreifen. Für wichtige Konten sind Authenticator-App, Sicherheitsschlüssel oder Passkeys vorzuziehen.
Mit zuvor gesicherten Wiederherstellungscodes, einem registrierten Zweitgerät oder über den Administrator, der den zweiten Faktor zurücksetzt. Diesen Weg sollten Unternehmen vorab festlegen und die Identität der Person dabei sorgfältig prüfen, damit er nicht zum Einfallstor wird.
Aus Sicherheitssicht ja, denn Angreifer suchen sich das schwächste Konto. Zumindest alle Konten mit Zugriff auf E-Mail, Cloud, Finanzen und Administratorrechte sollten geschützt sein. Wer die Einführung stufenweise plant und verständlich erklärt, erreicht in der Regel eine hohe Akzeptanz.
Passende Leistungen
IT-Sicherheit für Web
Schwachstellen finden und schließen – für Websites, Shops, Kundenportale und individuelle Webanwendungen.
Mehr erfahren
IT-Support
Helpdesk, 1st- bis 3rd-Level-Support und Arbeitsplatz-Services – remote und vor Ort aus einer Hand.
Mehr erfahren
WordPress-Sicherheit
Sicherheitscheck und Härtung für WordPress: sichere Logins, geprüfte Plugins, verlässliche Backups und Server-Einstellungen.
Mehr erfahrenVerwandte Begriffe
Relevant für diese Branchen
Passende Magazin-Beiträge
WordPress absichern: Hardening, Updates, Plugins und Backups
Die meisten WordPress-Schwachstellen stecken in Plugins und Themes, nicht im Core. So härten Sie Ihre Installation mit klaren Rechten, einem festen Update-Rhythmus, getesteten Backups und Monitoring.
Weiterlesen
DSGVO-konformes Tracking: Consent, Datenflüsse und Vertrauen
Tracking und Datenschutz schließen sich nicht aus: Welche Dienste eine Einwilligung brauchen, wie Sie Datenflüsse dokumentieren und die Technik so umsetzen, dass sie hält, was die Datenschutzerklärung verspricht.
Weiterlesen
Software-Wartung: Was ein Wartungsvertrag leisten sollte
Software ist nie fertig. Welche Leistungen ein Wartungsvertrag umfassen sollte, wie Sie Wartung, Support und Weiterentwicklung abgrenzen und welchen Umfang Ihre Software wirklich braucht.
Weiterlesen
