Zwei-Faktor-Authentifizierung - 2FA

Wenn du dich heute bei einem Online-Dienst anmeldest – zum Beispiel bei Microsoft 365, Google, Instagram oder deinem E-Mail-Konto – reicht ein Passwort allein oft nicht mehr aus. Viele Dienste setzen deshalb zusätzlich auf die sogenannte Zwei-Faktor-Authentifizierung, kurz 2FA. Sie sorgt dafür, dass dein Konto deutlich besser geschützt ist.

Bei der Zwei-Faktor-Authentifizierung werden zwei unterschiedliche Sicherheitsnachweise benötigt, um sich anzumelden. Der erste Faktor ist in der Regel dein Passwort. Der zweite Faktor ist etwas, das du zusätzlich besitzt oder bestätigst, zum Beispiel einen einmaligen Code auf deinem Smartphone, eine Bestätigung über eine Authenticator-App oder einen Fingerabdruck. Selbst wenn jemand dein Passwort kennt, kann er sich ohne diesen zweiten Faktor normalerweise nicht anmelden. Genau das macht 2FA so wirkungsvoll.

Passwörter

Der wichtigste Grund dafür ist, dass Passwörter heute relativ leicht gestohlen oder ausgespäht werden können. Eine häufige Methode ist Phishing. Dabei erhalten Nutzer eine scheinbar echte E-Mail oder Nachricht, die sie auf eine gefälschte Login-Seite führt. Gibt man dort sein Passwort ein, landet es direkt bei den Angreifern. Eine andere Möglichkeit ist Shoulder Surfing. Dabei schaut jemand einfach über die Schulter, während ein Passwort eingegeben wird – zum Beispiel im Zug, im Café oder in der Schule. Auch Datenlecks bei Online-Diensten können dazu führen, dass Passwörter öffentlich werden. Deshalb gilt heute: Ein Passwort allein ist kein ausreichender Schutz mehr. Mit einer aktivierten Zwei-Faktor-Authentifizierung wird dieses Risiko deutlich reduziert. Selbst wenn ein Angreifer dein Passwort kennt, kann er sich ohne den zweiten Faktor – zum Beispiel dein Smartphone oder den Einmalcode – nicht anmelden.

Ein sehr wichtiger Sicherheitsgrundsatz lautet deshalb: Den zweiten Faktor gibt man niemals weiter. Weder telefonisch noch per E-Mail oder über Messenger. Seriöse Unternehmen oder IT-Abteilungen werden dich niemals auffordern, einen 2FA-Code weiterzugeben. Wenn jemand nach einem solchen Code fragt, handelt es sich fast immer um einen Betrugsversuch. Kriminelle versuchen dabei oft, Nutzer unter Zeitdruck zu setzen und behaupten etwa, es gäbe ein Problem mit dem Konto oder eine dringende Sicherheitsüberprüfung. Wer in so einer Situation seinen Code weitergibt, ermöglicht dem Angreifer unter Umständen direkt den Zugriff auf das eigene Konto.

Trotzdem bleibt ein gutes Passwort weiterhin wichtig. Ein sicheres Passwort sollte möglichst lang sein, idealerweise mindestens zwölf bis sechzehn Zeichen enthalten und nicht mehrfach verwendet werden. Außerdem sollte es keine leicht erratbaren Wörter enthalten. Da sich heute kaum jemand viele starke Passwörter merken kann, empfiehlt sich die Verwendung eines Password-Managers oder Password-Safes. Solche Programme speichern deine Zugangsdaten verschlüsselt und können starke Passwörter automatisch erzeugen und verwalten. Du musst dir dann nur noch ein Master-Passwort merken.

Technik hinter der 2FA

Für den zweiten Faktor gibt es mehrere technische Möglichkeiten. Häufig wird ein Einmalcode per SMS geschickt oder eine Authenticator-App erzeugt alle 30 Sekunden einen neuen sechsstelligen Code. Manche Dienste arbeiten auch mit einer Push-Bestätigung, bei der du die Anmeldung direkt auf deinem Smartphone bestätigst. Noch sicherer sind sogenannte Hardware-Sicherheitsschlüssel, kleine Geräte mit USB- oder NFC-Funktion, die beim Login verwendet werden.

Besonders verbreitet sind heute Authenticator-Apps. Bekannte Beispiele sind Microsoft Authenticator (Android / iOS), Google Authenticator (Android / iOS), Authy (Android / iOS)  oder 2FAS (Android / iOS) . Diese Apps erzeugen automatisch Einmalcodes, die nur kurze Zeit gültig sind und beim Login zusätzlich zum Passwort eingegeben werden.

MS 365 Konto

Wenn du ein Microsoft-365-Konto verwendest – zum Beispiel über deine Schule – kannst du deine Sicherheitsmethoden normalerweise über eine eigene Einstellungsseite verwalten. Microsoft stellt dafür die Adresse https://aka.ms/mfasetup bereit. Dort kannst du zum Beispiel eine Authenticator-App hinzufügen, eine Telefonnummer ändern oder zusätzliche Sicherheitsmethoden einrichten. Es ist sinnvoll, mehr als eine Methode zu hinterlegen, damit du dich auch dann noch anmelden kannst, wenn dein Smartphone verloren geht oder du eine App neu installieren musst. In manchen Schulen oder Unternehmen werden diese Einstellungen allerdings durch Administratoren oder ein Geräte-Management vorgegeben. In diesem Fall kannst du nicht alle Optionen selbst verändern bzw. musst du beim Administrator direkt nachfragen.

Passkey

Neben der Zwei-Faktor-Authentifizierung taucht heute immer häufiger der Begriff Passkey auf. Beide Methoden erhöhen die Sicherheit, funktionieren aber unterschiedlich. Bei 2FA meldest du dich weiterhin mit Passwort plus zusätzlichem Sicherheitsfaktor an. Bei einem Passkey gibt es hingegen kein klassisches Passwort mehr. Stattdessen wird ein kryptografischer Schlüssel auf deinem Gerät gespeichert, der zum Beispiel über Fingerabdruck oder Gesichtserkennung freigegeben wird. Viele große Plattformen beginnen derzeit damit, Passkeys zu unterstützen, während 2FA weiterhin eine wichtige und sehr verbreitete Sicherheitslösung bleibt.

3FA

In besonders sensiblen Bereichen – etwa im Finanzsektor, bei Behörden oder in großen Unternehmen – wird teilweise sogar schon von 3FA (Drei-Faktor-Authentifizierung) gesprochen. Dabei werden drei unterschiedliche Sicherheitsfaktoren kombiniert. Typischerweise handelt es sich um eine Kombination aus Passwort, einem Besitzfaktor wie Smartphone oder Sicherheitsschlüssel und zusätzlich einem biometrischen Merkmal wie Fingerabdruck oder Gesichtserkennung. Ziel ist es, die Identität eines Nutzers noch eindeutiger zu bestätigen.

Im Alltag wird 3FA derzeit noch relativ selten eingesetzt, weil der Aufwand für viele Anwendungen zu hoch wäre. Die Entwicklung zeigt jedoch klar in eine Richtung: Mehrstufige und möglichst passwortlose Sicherheitsverfahren werden in Zukunft immer wichtiger.

Die Zwei-Faktor-Authentifizierung gehört deshalb heute zu den wichtigsten Schutzmaßnahmen im Internet. Wer zusätzlich zu einem sicheren Passwort auch 2FA aktiviert und seine Zugangsdaten in einem Password-Manager verwaltet, schützt seine Konten deutlich besser vor Missbrauch. Gerade im Schulbereich, wo viele digitale Dienste verwendet werden, sollte diese zusätzliche Sicherheit zum Standard gehören.