Was ist die Zwei-Faktor-Authentifizierung (2FA)?

Anstatt sich allein auf ein Passwort zu verlassen, verlangt die 2FA vom Benutzer, seine Identität durch einen zweiten Nachweis zu bestätigen, beispielsweise durch einen Einmalcode, die Bestätigung durch eine Authentifizierungs-App, ein Hardware-Token, einen Sicherheitsschlüssel oder einen biometrischen Faktor. Das Ergebnis ist ein Anmeldeverfahren, das für Angreifer deutlich schwieriger zu imitieren ist – selbst wenn das Passwort bereits gestohlen wurde.

Im einfachsten Fall fügt die 2FA dem Anmeldevorgang einen zusätzlichen Schritt hinzu. Ein Benutzer gibt wie gewohnt einen Benutzernamen und ein Passwort ein. Das System fordert dann einen zweiten Authentifizierungsfaktor an, bevor es den Zugriff gewährt. Der Benutzer bestätigt seine Identität mit einem Code, einer App-Bestätigung, einem Token, einem Sicherheitsschlüssel oder einem biometrischen Merkmal. Erst wenn beide Faktoren übereinstimmen, gewährt das System dem Benutzer Zugriff.

Entscheidend ist dabei der Punkt mit den “zwei verschiedenen Arten”. Authentifizierungsfaktoren lassen sich in drei Kategorien einteilen, und bei der 2FA muss der zweite Faktor aus einer anderen Kategorie stammen als der erste:

• Etwas, das du weißt: Ein Passwort, eine PIN oder eine Sicherheitsantwort.
• Etwas, das du hast: Ein mobiles Gerät, eine Authentifizierungs-App, eine Smartcard, ein Hardware-Token oder ein Sicherheitsschlüssel.
• Etwas, das du bist: Ein Fingerabdruck, die Gesichtserkennung oder ein anderer biometrischer Merkmal.

Ein Passwort plus ein zweites Passwort ist keine 2FA. Ein Passwort plus ein Code aus einer Authentifizierungs-App hingegen schon. Der springende Punkt ist, dass ein Angreifer, der einen Faktor stiehlt, dennoch eine völlig andere Art von Sicherheitsnachweis überwinden muss, um Zugriff zu erhalten. Das ist auch der Grund, warum 2FA oft der erste Schritt ist, den Unternehmen auf dem Weg zu einer umfassenderen Multi-Faktor-Authentifizierung unternehmen, und passwortlose Authentifizierung Programme.

Nicht alle 2FA-Verfahren bieten das gleiche Schutzniveau. Die richtige Wahl hängt von der Nutzergruppe, dem zu schützenden System und dem damit verbundenen Risiko ab.

SMS- oder Sprachcodes

Benutzer erhalten einen Einmalcode per SMS oder Telefonanruf. SMS sind ein vertrautes und einfach zu implementierendes Verfahren, können jedoch anfällig für SIM-Swapping, das Abfangen von Nachrichten und Social Engineering sein. Sie eignen sich im Allgemeinen nicht für risikoreiche oder privilegierte Zugriffe.

E-Mail-Codes

Die Nutzer erhalten einen Bestätigungscode per E-Mail. Die Sicherheit dieser Methode hängt fast ausschließlich von der Sicherheit des E-Mail-Kontos selbst ab. Wenn das E-Mail-Konto kompromittiert wird, ist auch der zweite Faktor gefährdet.

Authentifizierungs-Apps

Authentifizierungs-Apps generieren zeitbasierte Einmal-Passwörter auf einem registrierten Gerät. Sie sind in der Regel sicherer als SMS-basierte Codes, da sie nicht auf den Nachrichtenversand des Mobilfunkanbieters angewiesen sind und sich aus der Ferne schwerer abfangen lassen.

Push-Benachrichtigungen

Benutzer genehmigen oder lehnen eine Anmeldeanfrage auf einem registrierten Gerät ab. Push-Benachrichtigungen sind praktisch und schnell, doch Unternehmen sollten Folgendes berücksichtigen: MFA-Müdigkeit Angriffe und versehentliche Genehmigungen, insbesondere bei Konten mit hohem Wert.

Hardware-Merkmale

Physische Token generieren oder speichern Authentifizierungsdaten. Sie eignen sich besonders für regulierte Branchen, Nutzer mit hohem Risiko, Offline- oder Air-Gap-Umgebungen sowie für Zugriffsszenarien mit hohen Sicherheitsanforderungen, in denen die Authentifizierungsdaten streng kontrolliert werden müssen.

Sicherheitsschlüssel

Sicherheitsschlüssel sind physische Authentifikatoren, die eine phishing-resistente Authentifizierung ermöglichen, insbesondere wenn sie auf Standards wie FIDO2 basieren. Da die Anmeldedaten an die legitime Dienstdomäne gebunden sind, reagiert ein Sicherheitsschlüssel nicht auf eine gefälschte Anmeldeseite.

Biometrische Daten

Bei der Biometrie werden körperliche Merkmale wie Fingerabdrücke oder Gesichtserkennung zur Identitätsprüfung herangezogen. In den meisten Unternehmensumgebungen wird die Biometrie mit einer gerätebasierten Authentifizierung kombiniert. Die biometrische Erkennung entsperrt das Gerät oder die Zugangsdaten lokal, während der kryptografische Nachweis die Authentifizierung des Benutzers gegenüber dem Dienst gewährleistet.

Das Hauptargument für die 2FA besteht darin, die Lücke zu schließen, die bei einer reinen Passwort-Authentifizierung offen bleibt.

• Verringert das Risiko durch gestohlene Passwörter: Die Zwei-Faktor-Authentifizierung (2FA) hilft dabei, unbefugten Zugriff zu verhindern, wenn Passwörter gestohlen, erraten, wiederverwendet oder in Passwort-Dumps offengelegt werden.
• Verbessert den Zugriff auf Unternehmenssysteme: 2FA bietet zusätzlichen Schutz für Cloud-Anwendungen, VPNs, Tools für die Remote-Arbeit, Verwaltungskonsolen und andere sensible Systeme.
• Trägt zum Schutz von Benutzern mit erweiterten Rechten und Benutzern mit hohem Risiko bei: Führungskräfte, Administratoren, Auftragnehmer und externe Nutzer benötigen häufig eine stärkere Authentifizierung, da ihre Konten Zugriff auf sensible Daten oder kritische Systeme gewähren können.
• Unterstützt die Einhaltung von Vorschriften und die Vorbereitung auf Audits: Viele Rahmenwerke für Cybersicherheit, Versicherungsanforderungen und regulatorische Programme erwarten von Organisationen, dass sie strengere Authentifizierungsmaßnahmen anwenden.
• Verbessert die Zero-Trust-Identitätssicherheit: 2FA unterstützt Zero-Trust-IAM, indem es Benutzer vor der Gewährung des Zugriffs verifiziert, insbesondere in Verbindung mit Geräte-, Standort- und Risikosignalen.
• Schafft die Grundlage für eine sicherere MFA- und passwortlose Authentifizierung: 2FA kann ein praktischer erster Schritt in Richtung adaptiver MFA, phishing-resistenter MFA und passwortloser Authentifizierung sein.

Die Zwei-Faktor-Authentifizierung ist eine Form der Multi-Faktor-Authentifizierung. Bei der 2FA sind genau zwei Authentifizierungsfaktoren erforderlich. MFA kann zwei oder mehr erfordern. In der Praxis werden die Begriffe oft synonym verwendet, doch MFA ist der übergeordnete Begriff. Jede 2FA-Implementierung ist eine MFA, aber nicht jede MFA-Implementierung beschränkt sich auf zwei Faktoren.

Die Zwei-Faktor-Authentifizierung (2FA) stellt eine bedeutende Verbesserung gegenüber dem reinen Passwortzugang dar, doch der dadurch gebotene Schutz hängt stark davon ab, welche Methoden zum Einsatz kommen und wie die zugehörigen Richtlinien gestaltet sind.

• SMS-Codes können anfällig für SIM-Swapping und das Abfangen von Nachrichten sein.
• Push-Benachrichtigungen können dazu führen, dass MFA-Müdigkeit Risiko, wenn Nutzer dazu neigen, Eingabeaufforderungen gedankenlos zu bestätigen.
• E-Mail-basierte Codes hängen von der Sicherheit des E-Mail-Kontos selbst ab.
• Schwache Wiederherstellungsprozesse können eine starke Authentifizierung vollständig umgehen.
• Eine einfache 2FA reicht für privilegierten Zugriff oder regulierte Umgebungen möglicherweise nicht aus.
• Die Zwei-Faktor-Authentifizierung (2FA) sollte Teil einer umfassenderen Identitäts- und Zugriffsstrategie sein und nicht als eigenständige Kontrollmaßnahme dienen.

Es geht nicht darum, dass die Zwei-Faktor-Authentifizierung (2FA) schwach ist. Vielmehr entscheiden die Wahl der Methode, die Gestaltung der Richtlinien und die Auswahl der Authentifizierungslösungen auf Unternehmensniveau darüber, welchen Nutzen eine Organisation tatsächlich daraus zieht.

Bei der Einrichtung von 2FA auf Unternehmensebene geht es weniger darum, in einer Anwendung einfach einen Schalter umzulegen, sondern vielmehr darum, ein einheitliches Authentifizierungskonzept für alle Benutzer, Systeme und Risikostufen zu definieren. Ein praktischer Ansatz sieht wie folgt aus:

1. Ermitteln Sie, welche Benutzer, Anwendungen und Systeme eine Zwei-Faktor-Authentifizierung (2FA) benötigen.
2. Legen Sie den Schwerpunkt auf privilegierte Konten, Fernzugriff, Cloud-Anwendungen und sensible Systeme.
3. Wählen Sie Authentifizierungsmethoden auf der Grundlage des Risikos, der Benutzeranforderungen und der Compliance-Vorgaben aus.
4. Legen Sie Richtlinien für die Registrierung, den Backup-Faktor, den Verlust von Geräten und die Kontowiederherstellung fest.
5. Setzen Sie gegebenenfalls adaptive oder risikobasierte Authentifizierung ein.
6. Schulen Sie die Nutzer darin, verdächtige Aufforderungen und Phishing-Versuche zu erkennen.
7. Beobachten Sie fehlgeschlagene Versuche, riskante Zugriffsmuster und die Akzeptanzraten im Zeitverlauf.

Der Wiederherstellungsvorgang verdient dieselbe Aufmerksamkeit bei der Gestaltung wie der Authentifizierungsablauf selbst. Eine starke Anmeldung nützt wenig, wenn ein Benutzer seinen Authentifizierungsfaktor über einen schwachen Helpdesk-Workflow oder eine reine E-Mail-Ausweichlösung zurücksetzen kann.

2FA ist am effektivsten, wenn sie als eine Komponente innerhalb einer umfassenderen Identitätsstrategie eingesetzt wird. Hier sind einige der Methoden und Vorgehensweisen, mit denen sie kombiniert wird:

MFA

2FA ist eine Form der MFA. Unternehmen beginnen oft mit zwei Faktoren und entwickeln dann umfassendere MFA-Richtlinien, bei denen die Anforderungen je nach Benutzer, Gerät, Anwendung und Risiko angepasst werden.

Einmalige Anmeldung (SSO)

SSO vereinfacht den Zugriff, indem es Nutzern ermöglicht, sich einmalig bei allen zugelassenen Anwendungen anzumelden. 2FA verstärkt diese Anmeldung, sodass der Komfort von SSO nicht auf Kosten einer schwachen Sicherheit geht.

Passwortlose Authentifizierung

Bei der 2FA wird in der Regel zunächst ein Passwort und anschließend ein weiterer Faktor verwendet. Bei der passwortlosen Authentifizierung entfällt das Passwort vollständig und wird durch kryptografische Zugangsdaten, biometrische Daten oder eine gerätebasierte Überprüfung ersetzt.

Risikobasierte Authentifizierung

Bei der risikobasierten Authentifizierung werden die Authentifizierungsanforderungen je nach Kontext angepasst. Eine routinemäßige Anmeldung von einem bekannten Gerät und Standort aus kann reibungslos ablaufen, während eine ungewöhnliche Anmeldung möglicherweise einen zusätzlichen Authentifizierungsfaktor erfordert oder gänzlich blockiert wird.

Null Vertrauen

Zero Trust erfordert eine Überprüfung vor dem Zugriff. 2FA unterstützt dieses Modell, sollte jedoch mit Zugriffsrichtlinien, der Gerätesicherheit, dem Prinzip der geringsten Berechtigungen und einer kontinuierlichen Überwachung kombiniert werden, anstatt als eigenständige Lösung betrachtet zu werden. Zero-Trust-Lösung.

Identitätsmanagement

Bei der Authentifizierung wird die Identität bei der Anmeldung überprüft. Lösungen für die Identitätsverwaltung Es geht darum, zu regeln, wer überhaupt Zugriff haben soll, ob dieser Zugriff noch angemessen ist und wann er entzogen werden sollte. Beide Aspekte ergänzen sich: Die Zwei-Faktor-Authentifizierung (2FA) bestätigt die Identität des Benutzers, während die Zugriffssteuerung sicherstellt, dass der Benutzer noch berechtigter ist.

Die Zwei-Faktor-Authentifizierung (2FA) ist ein guter Ausgangspunkt, um den reinen Passwortzugang hinter sich zu lassen, doch die meisten Unternehmen benötigen mehr als nur eine grundlegende Zwei-Faktor-Authentifizierung. Sie benötigen eine Authentifizierung, die in Cloud-, Hybrid-, lokalen und hochsicheren Umgebungen einheitlich funktioniert und sich an unterschiedliche Benutzer, Anwendungen und Risikostufen anpassen lässt, ohne allen denselben Ablauf aufzuzwingen.

RSA unterstützt die Multi-Faktor-Authentifizierung (MFA) für Unternehmen in all diesen Umgebungen. Dabei bieten RSA SecurID und RSA ID Plus flexible Authentifizierungsmethoden für unterschiedliche Benutzer und Risikostufen. Dazu gehören Hardware-Authentifikatoren, Software-Authentifikatoren, passwortlose Authentifizierung sowie adaptive Richtlinien, die speziell für regulierte Branchen und Umgebungen mit hohen Sicherheitsanforderungen entwickelt wurden. Um zu erfahren, wie sich dies auf Ihr Unternehmen auswirkt, informieren Sie sich hier: RSA-Lösungen für die Multi-Faktor-Authentifizierung und RSA SecurID.