Zwei-Faktor-Authentifizierung: Warum ein Passwort allein oft nicht reicht

Ein Passwort ist nur eine Sicherheitsschicht. Wird es durch Phishing, ein Datenleck oder Wiederverwendung bekannt, kann ein Angreifer versuchen, sich direkt anzumelden. Zwei-Faktor-Authentifizierung, kurz 2FA, ergänzt deshalb einen zweiten Nachweis. Die Faktoren stammen idealerweise aus unterschiedlichen Kategorien. „Wissen“ ist zum Beispiel ein Passwort oder eine PIN. „Besitz“ kann ein Smartphone oder ein Sicherheitsschlüssel sein. Biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung gehören zu einer weiteren Kategorie. Der Vorteil entsteht daraus, dass ein gestohlenes Passwort allein nicht mehr genügt. SMS-Codes sind weit verbreitet und meist besser als gar kein zweiter Faktor. Sie haben jedoch Schwächen. Telefonnummern können durch sogenannte SIM-Swap-Angriffe übernommen werden, und Nachrichten lassen sich in bestimmten Szenarien abfangen. Authenticator-Apps erzeugen zeitbasierte Codes direkt auf dem Gerät und sind nicht von einer SMS-Zustellung abhängig. Noch stärker können physische Sicherheitsschlüssel sein, weil sie Anmeldungen an die echte Domain binden und dadurch viele Phishing-Angriffe erschweren. Bei der Einrichtung sollte man Wiederherstellungscodes sicher speichern. Wer sein Telefon verliert und keine alternative Methode hinterlegt hat, kann sich sonst selbst aussperren. Diese Codes gehören nicht als Screenshot in denselben Cloud-Speicher, der mit dem zu schützenden Konto verbunden ist. Eine offline abgelegte Kopie kann sinnvoll sein. 2FA ersetzt kein gutes Passwortmanagement. Für jeden wichtigen Dienst sollte ein eigenes, langes Passwort verwendet werden. Ein Passwortmanager kann dabei helfen, weil sich Menschen nicht dutzende komplexe Kennwörter merken müssen. Zusammen mit 2FA entsteht eine deutlich robustere Absicherung. Besonders wichtig ist der Schutz des E-Mail-Kontos. Wer Zugriff auf die Haupt-E-Mail-Adresse erhält, kann bei vielen Diensten Passwort-Resets anfordern. Deshalb sollte die stärkste verfügbare Mehrfaktor-Methode zuerst dort aktiviert werden.