Zwei-Faktor-Authentifizierung: Codes, Apps und SMS

Modul 2: Passwörter und Anmeldung · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie die Formen der Zwei-Faktor-Authentifizierung vergleichen (SMS, E-Mail, TOTP, Push), die Angriffe darauf erkennen und die Wiederherstellung regeln, falls Sie Ihr Telefon verlieren.

Kernbegriffe: 2FA/MFA, Faktor (Wissen, Besitz, Inhärenz), TOTP, gemeinsames Geheimnis, Push-Benachrichtigung, MFA-Müdigkeit, Sim-Swapping, Wiederherstellungscodes

Zwei unterschiedliche Nachweise

Ein Passwort ist etwas, das Sie wissen. Gelangt es in falsche Hände, kann jeder, der es kennt, sich anmelden. Zwei-Faktor-Authentifizierung (2FA) verlangt deshalb einen zweiten Nachweis einer anderen Art. Bei mehr als zwei spricht man von Multi-Faktor-Authentifizierung (MFA); in der Praxis werden die Begriffe durcheinander verwendet.

Es gibt drei Arten von Faktoren:

• Wissen: ein Passwort oder eine PIN.
• Besitz: Ihr Telefon mit einer App, ein Sicherheitsschlüssel, eine Karte.
• Inhärenz: Ihr Fingerabdruck oder Gesicht.

Zweimal dieselbe Art zählt nicht: Ein Passwort plus eine Sicherheitsfrage sind zwei Dinge, die Sie wissen. Das niederländische NCSC gibt die dringende Empfehlung, MFA auf jedem System und Konto zu nutzen, das dies unterstützt, und ganz sicher auf Konten, die über das Internet erreichbar sind, sowie auf Konten mit Administratorrechten. Für ein kleines Unternehmen sind das mindestens: E-Mail, Hosting und Domainregistrierung, Bank, Buchhaltung, Onlineshop, der Passwort-Manager und die Social-Media-Konten des Unternehmens.

Die Formen im Vergleich

Jede Form ist deutlich besser als gar kein zweiter Schritt. Aber die Tabelle zeigt auch: Alles, wobei Sie selbst einen Code abtippen oder eine Meldung bestätigen, kann ein Betrüger Sie auf seiner gefälschten Website tun lassen. NIST sagt es in SP 800-63B-4 unumwunden: Methoden, bei denen Sie das Ergebnis von Hand eingeben, sind nicht phishingresistent.

Wie eine Authenticator-App funktioniert

Eine Authenticator-App verwendet TOTP: Time-based One-Time Password, beschrieben in RFC 6238. So funktioniert es:

1. Beim Einrichten erstellt der Dienst ein zufälliges gemeinsames Geheimnis, zum Beispiel 32 Zeichen wie JBSWY3DPEHPK3PXP.... Dieses Geheimnis steckt im QR-Code, den Sie scannen, oder Sie tippen es als "manuellen Schlüssel" ab.
2. Ihre App und der Dienst haben nun beide dasselbe Geheimnis. Danach ist kein weiterer Kontakt zwischen den beiden mehr nötig.
3. Alle 30 Sekunden berechnen beide aus dem Geheimnis und der aktuellen Zeit einen 6-stelligen Code. Da sie dasselbe Geheimnis und dieselbe Uhr haben, kommt derselbe Code heraus.
4. Beim Anmelden vergleicht der Dienst Ihren Code mit seinem eigenen Ergebnis, meist mit einer Toleranz von einem Zeitfenster davor oder danach für eine Uhr, die leicht abweicht.

Zwei Konsequenzen:

• Das Geheimnis ist das eigentliche Schloss. Wer den QR-Code oder den manuellen Schlüssel sieht, kann für immer dieselben Codes erzeugen wie Ihr Telefon. Machen Sie also keinen Screenshot davon, teilen Sie ihn mit niemandem und senden Sie ihn nicht an einen Kollegen.
• Der Code funktioniert auch ohne Internet und kommt nicht über das Mobilfunknetz herein. Deshalb ist TOTP sicherer als SMS.

Authenticator-Apps gibt es in verschiedenen Varianten: eigenständig auf Ihrem Telefon, eingebaut in einen Passwort-Manager, Open Source oder von einem großen Technologieunternehmen, mit oder ohne verschlüsseltes Backup in der Cloud. Beispiele sind Aegis, Google Authenticator und Microsoft Authenticator, neben der Funktion in Managern wie Bitwarden oder 1Password. Ein Backup ist bei einem neuen Telefon praktisch, aber das niederländische NCSC warnt: Ein schlecht verschlüsseltes Backup gibt auch einem Angreifer Zugang.

Sim-Swapping: warum SMS die schwächste Form ist

Bei Sim-Swapping übernimmt ein Betrüger Ihre Telefonnummer. Er lässt Ihre Nummer auf eine SIM-Karte oder eSIM übertragen, die er selbst besitzt. Das gelingt zum Beispiel, indem er sich bei Ihrem Anbieter als Sie ausgibt, oder indem er Sie selbst dazu bringt, mitzuwirken: das Phishing-Radar der Verbraucherzentrale warnt vor SMS-Nachrichten und Anrufen "im Namen Ihres Anbieters", dass Ihre SIM-Karte validiert oder dringend auf eine eSIM umgestellt werden müsse.

Sobald das gelingt:

• hat Ihr Telefon plötzlich keinen Empfang mehr und Sie können selbst weder telefonieren noch SMS senden;
• erhält der Betrüger alle SMS-Codes, auch die "Passwort vergessen"-Codes von Diensten, die Ihre Nummer als Wiederherstellungsmittel nutzen;
• kann er manchmal allein mit Ihrer Nummer Konten übernehmen.

Das Tückische: Sie merken es erst, wenn Ihr Telefon nichts mehr tut, oft abends oder am Wochenende. NIST bezeichnet SMS deshalb als eingeschränkte Methode und sagt, dass Dienste auf Signale wie eine neue SIM-Karte oder eine übertragene Nummer achten sollten. Das niederländische NCSC rät, SMS wo möglich zu vermeiden, weil Nachrichten nicht verschlüsselt sind und abgefangen werden können.

Was tun Sie?

• Wählen Sie wo möglich eine App oder einen Passkey statt SMS.
• Entfernen Sie Ihre Telefonnummer als Wiederherstellungsmittel, wo dies eine Schwachstelle darstellt, oder schützen Sie sie zusätzlich.
• Fragen Sie Ihren Anbieter, ob Sie eine zusätzliche PIN oder Prüfung für die Übertragung Ihrer Nummer einrichten können.
• Fällt Ihr Empfang plötzlich ohne Grund aus? Rufen Sie Ihren Anbieter von einem anderen Gerät aus an. Nicht abwarten.

SMS ist immer noch besser als nichts. Bietet ein Dienst nur SMS an, aktivieren Sie es trotzdem.

MFA-Müdigkeit: die Meldung, die Sie wegklicken

Bei einer Push-Benachrichtigung müssen Sie nichts abtippen: Ihr Telefon fragt "Versuchen Sie sich anzumelden?" und Sie tippen auf Genehmigen. Einfach, und genau deshalb missbraucht.

Bei MFA-Müdigkeit (auch Push-Bombing genannt) hat ein Angreifer Ihr Passwort bereits. Er meldet sich immer wieder an, sodass Ihr Telefon eine Meldung nach der anderen erhält, manchmal mitten in der Nacht. Die US-Behörde CISA beschreibt, wie Menschen dann aus Ärger oder versehentlich auf Genehmigen tippen, oder denken, dass eine der Meldungen schon echt sein wird. Manchmal ruft der Angreifer zusätzlich noch an, als "Helpdesk", mit der Bitte, kurz zu genehmigen.

Ein Praxisfall, den das niederländische NCSC beschreibt: Angreifer gelangten über MFA-Müdigkeit in die E-Mail-Konten eines Softwareunternehmens und nutzten diese anschließend für Rechnungsbetrug.

Die Regeln:

• Genehmigen Sie niemals eine Meldung, die Sie nicht selbst ausgelöst haben. Auch nicht die zwanzigste.
• Eine unerwartete Meldung bedeutet, dass jemand Ihr Passwort hat. Ändern Sie es sofort und melden Sie es.
• Wählen Sie wo möglich Zahlenabgleich: Der Anmeldebildschirm zeigt eine Zahl, die Sie in der App eingeben. Wer nicht vor dem Anmeldebildschirm sitzt, kann dann nicht genehmigen. CISA bezeichnet dies als gute Zwischenlösung, aber schwächer als phishingresistente MFA.

Wiederherstellung: regeln Sie es, bevor Ihr Telefon verloren geht

Ihr Telefon fällt ins Wasser, wird gestohlen oder geht kaputt. Ohne Vorbereitung stehen Sie dann vor Ihren eigenen Konten draußen. Deshalb gibt es Wiederherstellungscodes (auch Backup-Codes): eine Reihe von Ersatzcodes, die Sie beim Einrichten erhalten und die jeweils einmal funktionieren.

• Bewahren Sie sie nicht auf demselben Telefon wie Ihre Authenticator-App auf. Drucken Sie sie aus und legen Sie sie zu Ihren wichtigen Unterlagen, oder bewahren Sie sie in Ihrem Passwort-Manager beim passenden Eintrag auf.
• Einen Wiederherstellungscode benutzt? Streichen Sie ihn durch. Gehen sie zur Neige, erstellen Sie neue.
• Sorgen Sie für mindestens zwei Wege, um hineinzukommen: zum Beispiel die App plus Wiederherstellungscodes, oder zwei Sicherheitsschlüssel.
• Übertragen Sie bei einem neuen Telefon zuerst Ihre Konten und löschen Sie erst danach das alte.
• Wissen Sie, wie das Wiederherstellungsverfahren Ihrer wichtigsten Dienste funktioniert. Ein guter Dienst setzt Ihren zweiten Schritt nicht einfach anhand einer E-Mail oder eines Anrufs zurück, sondern prüft erst, dass Sie es wirklich sind.

In der Praxis: so sieht es aus

In der WebOké-Umgebung fragt Mein WebOké nach Ihrem Passwort immer nach einem zweiten Schritt: standardmäßig ein Code per E-Mail, und Sie können auf eine Authenticator-App umsteigen. In DirectAdmin heißt es Zwei-Schritt-Authentifizierung, mit Wiederherstellungscodes. In Nextcloud aktivieren Sie TOTP und erstellen zehn Backup-Codes. Bei anderen Anbietern funktioniert es ähnlich: Suchen Sie bei Ihrem Profil oder den Sicherheitseinstellungen nach "Zwei-Faktor-Authentifizierung", "2FA", "Authenticator" oder "Two-Factor".

Die Schritte sind fast immer dieselben: QR-Code scannen, einen Code zur Kontrolle eingeben, Wiederherstellungscodes speichern.

Zusammenfassung

• 2FA kombiniert zwei Arten von Faktoren: Wissen, Besitz, Inhärenz.
• TOTP arbeitet mit einem gemeinsamen Geheimnis und der Uhr. Das Geheimnis (QR-Code) ist das eigentliche Schloss: teilen Sie es niemals.
• SMS ist die schwächste Form durch Sim-Swapping und Abfangen, aber besser als nichts.
• MFA-Müdigkeit: Genehmigen Sie niemals eine Meldung, die Sie nicht selbst ausgelöst haben, und ändern Sie dann Ihr Passwort.
• Codes und Meldungen sind nicht phishingresistent; Passkeys und Sicherheitsschlüssel schon (Lektion 2.4).
• Regeln Sie Wiederherstellungscodes und eine zweite Methode, bevor Ihr Telefon verloren geht.

Quiz

Aufgabe

Aufgabe A2.3: Eine Authenticator-App koppeln. Sie erhalten einen QR-Code eines Übungskontos "WebOké Übung". Scannen Sie ihn mit einer Authenticator-App Ihrer Wahl und geben Sie zwei Codes ein, die nacheinander erscheinen. Das Programm prüft, ob Ihre App korrekt rechnet. Das Übungsgeheimnis hat keinen Wert und wird nach 24 Stunden gelöscht; entfernen Sie das Übungskonto danach aus Ihrer App.

Aufgabe D2.3: Zwei-Faktor-Authentifizierung für Ihre wichtigsten Konten aktivieren. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihre E-Mail, Hosting oder Domainregistrierung, Bank, Buchhaltung und Ihren Passwort-Manager. Bewahren Sie die Wiederherstellungscodes an einem zweiten Ort auf und beantworten Sie die Frage, was Sie tun, wenn Sie Ihr Telefon morgen verlieren.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Zweistufige Verifizierung in Mein WebOké und eine Authenticator-App einrichten
• WebOké Anleitung 3.2: Der Anmeldecode per E-Mail (Zwei-Faktor-Authentifizierung)
• WebOké Anleitung 3.3: Eine Authenticator-App verwenden
• DirectAdmin Anleitung 3.2: Zwei-Schritt-Authentifizierung einrichten
• DirectAdmin Anleitung 3.3: Back-up-Codes, und was tun, wenn Sie Ihren Authenticator verloren haben
• Nextcloud-Anleitung 3.3: Eine Authenticator-App einrichten und Backup-Codes speichern
• Nextcloud-Anleitung 3.10: Telefon verloren oder 2FA verloren: so kommen Sie wieder hinein
• Zweistufige Verifizierung (2FA) in Nextcloud einrichten
• Niederländisches NCSC, Wie wählen Sie eine MFA-Methode? (auf Niederländisch): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Phishing-Radar der Verbraucherzentrale, aktuelle Warnungen zu Phishing und Betrug: https://www.verbraucherzentrale.de/phishing-radar
• CISA, Implementing Number Matching in MFA Applications (Englisch): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (Englisch): https://www.rfc-editor.org/rfc/rfc6238