Zwei-Faktor- und Multi-Faktor-Authentifizierung

Zwei-Faktor- (2FA) und Multi-Faktor-Authentifizierung (MFA) sind technische Verfahren, welche Logins zusätzlichen Schutz beimessen. Immer mehr Dienste setzen auf solche Verfahren, denn diese bilden einerseits ein effektives Mittel gegen Methoden wie Brute Force und Social Engineering, anderseits ist der Zeitaufwand im Vergleich zum Sicherheitsgewinn äusserst verhältnismässig. Beide Methoden können entweder ein Passwort oder Zugangscode für ein Login ganz ersetzen oder mit zusätzlichem Schutz ausstatten. Soll das Passwort obsolet sein, so kann zum Beispiel das Verwenden eines Badges und ein unmittelbar daraufhin folgende Gesichtsscan ein klassisches Passwortsystem ersetzen. Da bei 2FA und MFA immer verschiede Endgeräte involviert sind, ist der Begriff des hardwaregestützten Verfahrens einschlägig.

Regelmässig soll ein 2FA einem passwortgeschützten Login nur zusätzlichen Schutz beimessen. Wichtig ist, dass man aufgrund des Vorhandenseins einer 2FA kein schwaches, sondern trotzdem ein starkes Passwort verwenden. Beachtet man dies, macht man es einem potenziellen Angreifer schon schwerer. Demnach wird vorab klassisch sowohl der Benutzername als auch das Passwort eingegeben. Sind die eingegebenen Anmeldedaten korrekt, gerät man nicht automatisch in den gewünschten passwortgeschützten Bereich. Salopp ausgedrückt, hat man dadurch erst die primäre Sicherheitsschranke überwunden. Will man die zweite ebenfalls überwinden, bezieht das für das Login verwendete Primärgerät ein anderes Endgerät (Sekundärgerät) in das Anmeldeverfahren mit ein. Beispielsweise erscheint auf dem Primärgerät ein Feld, indem ein via SMS an das Handy (Sekundärgerät) geschickter Zahlencode eingetragen werden muss. Weitere Methoden für den Miteinbezug eines Sekundärgeräts sind beispielsweise Iris- oder Fingerabdruckscans, die Verwendung einer Magnetkarte oder die Beantwortung einer Sicherheitsfrage. Wird die zweite Phase des Verfahrens korrekt ausgeführt, gilt die zweite Sicherheitsschranke als überwunden und der Zugang zum geschützten Bereich ist gewährleistet. Ein praktisches Beispiel aus dem Alltag ist das Login für das E-Banking.

MFA-Verfahren bedienen sich im Vergleich zu 2FA zusätzlicher Überprüfungsfaktoren. Regelmässig werden bei MFA mehrere Kategorien von Faktoren vorausgesetzt:

Sachen, die nur Sie wissen, bspw. Passwörter oder PINS
Sachen, die sich in Ihrem Besitz befinden, bspw. Ausweis, Handy, Magnetkarte, USB-Stick
Biometrische Daten, bspw. Stimm-, Gesichtserkennung, Fingerabdrücke
Standortbasierte Daten, welche aufgrund von KI ausgewertet werden. Die KI prüft dabei, ob die sich zu anmelden versuchende Person sich an einem ungewöhnlichen Startort für eine Anmeldung befindet. Wenn dies der Fall ist, wird der Zugang abgelehnt.
Zeitbasierte Daten, welche von KI ausgewertet werden. Die KI prüft dabei, ob die sich zu anmelden versuchende Person den Versuch zu einer ungewöhnlichen Zeit vornimmt. Wenn dies der Fall ist, wird der Zugang abgelehnt.

Adaptive Authentifizierungstechnologien funktionieren ebenfalls KI-basiert. Bei Standort- und Zeitanalysen, welche z.B. zum Ergebnis führen, dass ein Anmeldeversuch von einem ungewöhnlichen Ort aus und zu einer ungewöhnlichen Zeit getätigt wurde, ordnet die KI weitere Authentifikationsmassnahmen an, die nicht anfallen würden, wenn keine Ungewöhnlichkeit festgestellt wurde. Es handelt sich demnach um ein dynamisches, intelligentes Sicherheitssystem.

Wir bei der TI IT Solutions befürworten 2FA und MFA und legen Ihnen aus tiefster Überzeugung ans Herz, dass Sie überall dort von 2FA und MFA Gebrauch machen, wo das Angebot vorhanden ist. Der missbräuchliche Zugang zu Daten und Vermögen wird dadurch erheblich erschwert. Anmeldungen durch 2FA und MFA geht für berechtigte Personen zwar mit mehr Aufwand einher, jedoch steht dieser Aufwand im Vergleich mit einem potentiellen Schaden ausgesprochen im Verhältnis; ein Mehraufwand ist immer besser als ein Schaden.