Was ist Zwei-Faktor-Authentifizierung (2FA)?

Kurz erklärt

Zwei-Faktor-Authentifizierung (2FA) ist ein Anmeldeverfahren, bei dem neben dem Passwort ein zweiter, unabhängiger Nachweis verlangt wird, etwa ein Code aus einer App oder ein Sicherheitsschlüssel. Werden mehr als zwei Faktoren kombiniert oder allgemein mehrere, spricht man von Multi-Faktor-Authentifizierung (MFA). Sie gehört zu den wirksamsten und zugleich günstigsten Schutzmaßnahmen für kleine Unternehmen.

Wie funktioniert Zwei-Faktor-Authentifizierung?

Ein Faktor ist ein Nachweis aus einer von drei Kategorien:

• Wissen: etwas, das Sie wissen, etwa ein Passwort oder eine PIN
• Besitz: etwas, das Sie haben, etwa Ihr Smartphone oder einen Sicherheitsschlüssel
• Merkmal: etwas, das Sie sind, etwa Fingerabdruck oder Gesichtserkennung

Erst die Kombination aus zwei verschiedenen Kategorien macht die Anmeldung deutlich sicherer. Wer Ihr Passwort durch Phishing, ein Datenleck oder einen Brute-Force-Angriff erbeutet, hat damit noch keinen Zugang.

Welche Methoden gibt es?

• SMS-Code: besser als nichts, aber anfällig für abgefangene Nachrichten und Smishing.
• Authenticator-App: erzeugt alle 30 Sekunden einen neuen Code oder sendet eine Bestätigungsanfrage. Für die meisten KMU der sinnvolle Standard.
• Passkeys und Sicherheitsschlüssel (FIDO2): die sicherste Variante, weil sie nur auf der echten Website funktionieren und damit gegen Phishing-Seiten resistent sind.

Wo 2FA an Grenzen stößt

Angreifer versuchen, den zweiten Faktor zu umgehen. Beim sogenannten Push-Bombing schicken sie so lange Bestätigungsanfragen, bis jemand genervt auf „Genehmigen“ tippt. Raffinierte Phishing-Seiten leiten Eingaben in Echtzeit an die echte Seite weiter und stehlen so auch die Anmeldesitzung. Deshalb ist 2FA ein starker Schutz, aber kein Freibrief. Wer die Grenzen kennt, kann sie mit den richtigen Einstellungen und etwas Aufmerksamkeit weitgehend ausgleichen, etwa indem unerwartete Anfragen grundsätzlich abgelehnt und gemeldet werden.

Ein typisches Beispiel aus dem KMU-Alltag

Ein kleiner Onlineshop für Naturkosmetik verwendet für das Shop-Backend dasselbe Passwort wie für ein altes Forenkonto. Das Forum wird gehackt, die Zugangsdaten tauchen in einer Liste im Internet auf. Kurz darauf versucht jemand, sich mit genau diesen Daten im Shop anzumelden. Weil die Inhaberin ein Jahr zuvor eine Authenticator-App aktiviert hat, scheitert der Versuch. Sie bekommt lediglich eine Benachrichtigung über einen fehlgeschlagenen Anmeldeversuch und ändert ihr Passwort.

So schützen Sie Ihr Unternehmen

• Die wichtigsten Konten zuerst: Microsoft 365 oder Google Workspace, Online-Banking, Domain- und Hosting-Zugang, Shop- und WordPress-Administration.
• Administratorkonten ausnahmslos absichern: Sie sind das lohnendste Ziel.
• App statt SMS: Wo möglich, Authenticator-Apps oder Passkeys bevorzugen.
• Zahlenabgleich aktivieren: Bei Push-Anfragen muss eine angezeigte Zahl eingegeben werden, das erschwert Push-Bombing.
• Wiederherstellungscodes sicher ablegen: Bei Verlust des Handys bleiben Sie handlungsfähig.
• Offboarding nicht vergessen: Beim Austritt von Mitarbeitenden registrierte Geräte entfernen.

Was tun im Ernstfall?

Erhalten Sie eine 2FA-Anfrage, die Sie nicht selbst ausgelöst haben, lehnen Sie sie ab. Sie bedeutet in der Regel, dass jemand Ihr Passwort kennt. Ändern Sie es umgehend und prüfen Sie die letzten Anmeldungen in Ihrem Konto. Xcubitor wird künftig solche verdächtigen Anmeldeversuche in Microsoft-365- und Google-Konten erkennen und Sie per WhatsApp verständlich darüber informieren. Weitere Antworten finden Sie in unserer Cybersecurity-FAQ.