Die Zwei-Faktor-Authentifizierung – Möglichkeiten und Anwendungen

Die Zwei-Faktor-Authentifizierung ist eine Methode, Ihre Onlinekontos besser und effektiver vor unerwünschten Zugriffen wie Hackern oder anderen Übeltätern und somit auch vor Missbrauch zu schützen. Hierbei gibt man beim Login bei einem Dienst neben dem Passwort noch eine weitere Angabe ein.

Und das aus gutem Grund, denn die Zwei-Faktor-Authentifizierung ist eine der besten Massnahmen gegen das zunehmende Hacking und Phishing. Selbst wenn Ihr Passwort auf irgendeine Art und Weise erbeutet wird, kann ein Übeltäter damit nichts anfangen, die Methode gilt zudem als sehr sicher.

Wenn Sie Online-Banking nutzen, kennen Sie eine Form der Zwei-Faktor-Authentifizierung (2FA) bereits. Hier müssen Sie sich ja zunächst mit Ihren Zugangsdaten einloggen und dann jede Transaktion mit einem PIN, der Ihnen etwa per SMS oder über eine spezielle App mitgeteilt wird, bestätigen. Dieses Prinzip hat sich inzwischen auf zahlreiche Dienste ausgeweitet und etabliert sich daher auch mehr und mehr zum neuen Standard bei Onlinediensten.

Dabei war es noch nie so einfach, diesen zusätzlichen Schutz zu nutzen. Hier sind einige Methoden:

• Offline-Code: Am bekanntesten ist hier wohl die iTAN, bei der man in den Anfangszeiten des Online-Banking per Post eine Liste mit Einwegcodes zugeschickt bekam. Wenn man sich häufig einloggen muss, ist dieses Verfahren natürlich wenig praktikabel und findet daher heute bei Onlinediensten kaum noch Verwendung. Google, Facebook und Apple bietet solche Offline-Codes aber noch als Notfallalternative für das Login an, falls man etwa sein Handy verloren hat.
• Code per SMS: Einen Code für die 2FA per SMS zu verschicken ist bei vielen Diensten immer noch die Standardoption. Ein Handy hat schliesslich fast jeder, die Bedienung ist für fast jeden Nutzer kinderleicht Der Nachteil: SMS ist eine uralte Technologie ohne besonderen Schutz vor Abhörung.
• Code per App: Hierbei generiert eine Smartphone-App den Code für die 2FA. Viele Banken bieten dazu inzwischen eigenen Apps an. Google hat für diesen Zweck den Authenticator, bei Apple ist die Funktionalität ab iOS 10 im Betriebssystem eingebaut.
• Code per externem Gerät: Die sicherste aber auch komplizierteste Methode. Hierbei benötigen Sie zum Login ein extra Stück Hardware, ein so genanntes Token. Dieses generiert entweder automatisch PINs, die Sie abtippen müssen oder es wird über den USB-Anschluss mit Ihrem Rechner verbunden und kommuniziert direkt mit einem Webdienst. Weit verbreitet ist hier beispielsweise der Yubikey, den es ab rund 25 Franken gibt und der mit grossen Internet-Angeboten wie Facebook oder Google funktioniert.
• Das Sicherheitsverfahren der Schweizer Mobilfunkanbieter lässt sich bei vielen heimischen Unternehmen und Behörden nutzen. Derzeit funktioniert es im Netz von Swisscom und ihren Tochtermarken Wingo, m-Budget und Simply Mobile sowie bei Sunrise und Salt. Erforderlich ist nur eine einmalige Anmeldung, danach kann über MobileID das eigenen Smartphone als 2FA-Gerät bei zahlreichen Diensten eingesetzt werden.

Anwendungsbeispiele:

• Google: Zur Nutzung von Google-Diensten wie Gmail oder Google Docs bietet der Tech-Gigant zahlreiche 2FA-Optionen an. Dazu zählen ein Telefonanruf mit Computerstimme, SMS, die Google Authenticator-App, sowie ein Token. Man kann auswählen, ob die 2FA für jedes Login oder nur bei der Verwendung eines neuen Geräts erforderlich ist. Aktivieren lässt sie sich auf dieser Seite.
• Apple: Besonders zum Schutz der Cloud-Dienste vor unbefugtem Zugriff ist die 2FA bei Apple gedacht. Aktvieren lässt sie sich direkt auf dem iPhone, in den Einstellungen muss dazu ganz oben Ihr Name berührt werden und «Passwort & Sicherheit» ausgewählt werden. Weitere Infos zu dem Verfahren gibt es hier.
• Facebook: Auch der Account beim dominanten Sozialen Netzwerk lässt sich über 2FA schützen. Einrichten lässt sich das hier. Als 2FA-Methoden zur Auswahl stehen SMS, Token, App und Offline-Codes. Weitere Info liefert Facebook hier.
• WhatsApp: Bei WhatsApp schützt Sie die 2FA vor der Übernahme Ihres Account. Einrichten lässt sie sich in den Einstellungen unter «Account» -> «Verifizierung in zwei Schritten». Sobald Sie sich mit Ihrer Telefonnummer erneut bei WhatsApp registrieren, weil Sie ein neues Smartphone haben, muss dann ein von Ihnen festgelegter Code eingeben werden.

Fazit:
Die 2FA gehört zu einer der wichtigsten Sicherheitsmassnahmen um Ihre Onlinekontos gut und effektiv zu schützen. Ob eines Ihre Konten bereits gehackt wurde und welche Firmen bereits betroffen waren, finden Sie auf den nachfolgenden Links:

1. Öffentliche Sammlung zu einigen CH Firmen und wie viele Zugangsdaten abhanden gekommen sind: https://www.swissleak.ch/
2. International Seite von Troy Hunt (Inhaber der Seite), der öffentliche Data-Breach-Daten mit Logins sammelt. Man kann so prüfen, ob die eigene Domain oder E-Mail Adresse vorhanden ist: www.haveibeenpwned.com.

Literaturquellen: Verschiedene im Internet

Links:

https://www.test.de/

https://www.bluewin.ch/de/digital/tipps/

---

Autor:
Beat Spychiger

Blogpost wurde erstellt
im Rahmen vom CAS Cybersecurity & Information Risk Management.

Dozenten in diesem sehr praxisorientierten Lehrgang sind:
Martina Dalla Vecchia (FHNW, Programmleitung)
Lukas Fässler (FSDZ Rechtsanwälte & Notariat AG)
Rainer Kessler (PwC)
Cristian Manganiello (PwC)
Andreas Wisler (goSecurity GmbH)

Beim nächsten CAS live dabei sein?
Hier der Link zur Ausschreibung:
CAS Cybersecurity & Information Risk Management
Starttermin ist jeweils im Frühjahr.

Persönliche Beratung für den Lehrgang gewünscht?
Einfach Prof. Martina Dalla Vecchia ein E-Mail schreiben und einen Termin vorschlagen.