Übersicht
Zwei-Faktor-Verfahren im Vergleich: App, Hardware-Key, SMS
Nicht ob ein zweiter Faktor sinnvoll ist, sondern welcher: App, Schlüssel und SMS unterscheiden sich vor allem darin, was bei Verlust und bei einer gefälschten Anmeldeseite passiert.
- 3
- Verfahren zur Auswahl
- 2
- Kategorien, aus denen die Nachweise stammen
- 0
- Codes, die an Dritte gehören
Ein Passwort ist ein einzelner Nachweis. Wer es kennt, ist drin. Der zweite Faktor ergänzt einen Nachweis aus einer anderen Kategorie – etwas, das man besitzt, statt etwas, das man weiß. Die Frage im Alltag ist selten, ob sich das lohnt, sondern welches der drei gängigen Verfahren zu welchem Konto passt.
Warum zwei Passwörter keine zwei Faktoren sind
Die Nachweise sollen aus unterschiedlichen Kategorien stammen: Wissen (Passwort, PIN), Besitz (Smartphone, Sicherheitsschlüssel, ausgedruckter Ersatzcode) oder ein körperliches Merkmal wie Fingerabdruck und Gesichtserkennung. Zwei Passwörter hintereinander bleiben zweimal Wissen und bringen kaum zusätzlichen Schutz.
Erst die Kombination verschiedener Kategorien wirkt: Wer das Passwort erbeutet, braucht dann zusätzlich das Gerät oder den Schlüssel. Wie groß dieser Zugewinn ausfällt, hängt vom gewählten Verfahren ab – und vom Wiederherstellungsweg. Ein schwacher Rückweg hebt jeden starken zweiten Faktor wieder auf.
Authenticator-App
Die App erzeugt aus einem bei der Einrichtung hinterlegten Geheimnis und der aktuellen Uhrzeit einen kurzen Code, der nur wenige Sekunden gilt. Der Dienst berechnet denselben Code und vergleicht ihn. Das funktioniert ohne Mobilfunkempfang und ohne Zusatzkosten, weil das Smartphone ohnehin vorhanden ist.
Die Grenze liegt beim Phishing. Ein Zahlencode, den Sie abtippen, lässt sich auch auf einer nachgebauten Anmeldeseite abtippen – und von dort binnen Sekunden weiterverwenden. Gegen die Übernahme einer Rufnummer ist die App unempfindlich, gegen eine gut gemachte Fälschung nicht.
Heikel ist die Einrichtung. Der angezeigte Einrichtungsschlüssel ist das eigentliche Geheimnis: Er gehört nicht fotografiert, weitergeleitet oder ungeschützt abgelegt. Und bevor das Smartphone gewechselt wird, sollte feststehen, wie die Einträge auf das neue Gerät kommen.
Push-Bestätigungen sind bequemer als abgetippte Codes, bringen aber ein eigenes Problem mit: Wer wiederholt gefragt wird, bestätigt irgendwann aus Unachtsamkeit eine fremde Anmeldung. Eine unerwartete Anfrage gehört abgelehnt und das Passwort danach geändert.
Hardware-Schlüssel
Ein Sicherheitsschlüssel ist ein kleines Gerät für USB oder NFC. Bei der Anmeldung signiert er eine Zufallsaufgabe des Dienstes, der geheime Schlüssel verlässt den Token dabei nie. Entscheidend ist ein Detail am Rand: Er prüft die Adresse der Website mit und antwortet auf einer nachgebauten Seite schlicht nicht.
Damit fällt die wichtigste Schwäche abgetippter Codes weg. Dieselbe Technik lässt sich weiterdenken – wo ein Dienst es unterstützt, können Sie die Anmeldung ganz ohne eingetipptes Kennwort aufbauen und den Schlüssel als alleinigen Nachweis verwenden.
Der Preis dafür ist Planung. Ein einzelner Token ist ein einzelner Ausfallpunkt: Geht er verloren oder wird er defekt, ist der Zugang blockiert. Ein zweiter Schlüssel an einem anderen Ort gehört deshalb zur Einrichtung und nicht auf eine Liste für später. Vor der Anschaffung lohnt außerdem ein Blick auf die Anschlüsse der eigenen Geräte.
SMS-Code
Der Code kommt als Nachricht an die hinterlegte Rufnummer. Das Verfahren ist vielen vertraut und setzt nichts voraus, was nicht ohnehin vorhanden wäre. Genau daran hängt aber auch seine Schwäche.
Beim sogenannten SIM-Swapping bringt ein Angreifer den Mobilfunkanbieter dazu, die Rufnummer auf eine andere Karte zu übertragen. Danach kommen die Codes bei ihm an. Hinzu kommt ein Verfügbarkeitsproblem, das mit Sicherheit nichts zu tun hat: Im Ausland, in Kellerräumen und bei Netzstörungen bleibt die Nachricht manchmal einfach aus.
Als alleiniger zweiter Faktor für ein E-Mail- oder Bankkonto ist SMS die schwächste der drei Optionen. Als Übergang, wenn ein Dienst nichts anderes anbietet, ist sie deutlich besser als gar kein zweiter Faktor. Wer sie nutzt, sollte zusätzlich die Rufnummer selbst absichern, etwa über eine Service-PIN beim Mobilfunkanbieter und Benachrichtigungen bei Vertragsänderungen.
Die drei Verfahren nebeneinander
| Kriterium | Authenticator-App | Hardware-Schlüssel | SMS |
|---|---|---|---|
| Schutz gegen gefälschte Seiten | gering | hoch | gering |
| Anschaffung | keine | Gerät nötig | keine |
| Funktioniert ohne Netz | ja | ja | nein |
| Bindung an | Smartphone | Token | Rufnummer |
| Ersatz bei Verlust | Sicherung oder Neuregistrierung | zweiter Schlüssel | Ersatzkarte beim Anbieter |
| Aufwand in der Verwaltung | Gerätewechsel | Ersatz und Sperrung | Rufnummernpflege |
Merksatz: Der Unterschied zwischen den Verfahren zeigt sich nicht beim Anmelden, sondern beim Verlieren. Wählen Sie das Verfahren, dessen Ersatzweg Sie im Ernstfall tatsächlich gehen können.
Was wofür passt
Das E-Mail-Konto verdient die stärkste Absicherung, die verfügbar ist. Über dieses eine Konto läuft die Zurücksetzung fast aller anderen Dienste; wer es übernimmt, braucht die übrigen Passwörter nicht mehr. Danach kommen Zugänge mit Zahlungsdaten, anschließend der Rest.
Für Verwaltungszugänge, mit denen sich Systeme oder fremde Konten ändern lassen, ist ein Sicherheitsschlüssel angemessen. Für private Konten mit überschaubarem Schaden ist eine App ein vernünftiger Ausgangspunkt. In Organisationen entscheidet weniger die Technik als die Frage, ob eine verantwortliche Person Ein- und Austritte, Ersatzgeräte und gesperrte Konten tatsächlich nachhält.
Ein zweiter Faktor ersetzt kein eigenes Passwort je Dienst. Beides gehört zusammen, und die Vorfrage lautet, wo diese Zugangsdaten künftig überhaupt liegen sollen – im Tresor beim Anbieter, in einer lokalen Datei oder im Browser.
Ebenso wenig hilft der stärkste Faktor, wenn die Anmeldeseite gar nicht die echte ist. Erweiterungen, Berechtigungen und getrennte Profile im Browser entscheiden mit darüber, ob eine Fälschung überhaupt bis zur Eingabe des Codes kommt.
Einrichtung, die im Ernstfall hält
Die Reihenfolge entscheidet darüber, ob Sie sich am Ende aussperren. Sie sieht bei jedem Dienst gleich aus:
- Bevorzugten Faktor registrieren. App, Schlüssel oder – falls nichts anderes angeboten wird – Rufnummer.
- Ersatz hinzufügen, bevor etwas entfernt wird. Zweites Gerät oder zweiter Schlüssel, am besten sofort im selben Vorgang.
- Ersatzcodes erzeugen und sicher ablegen. Ausgedruckt an einem verschlossenen Ort oder verschlüsselt, aber nicht im Postfach und nicht als Bildschirmfoto in der Fotogalerie.
- Den Rückweg einmal wirklich gehen. Eine Probeanmeldung über den Ersatzweg zeigt in zwei Minuten, was sonst erst im Ernstfall auffällt.
- Alte Faktoren entfernen. Ausgemusterte Geräte und ungenutzte Rufnummern aus dem Konto löschen, sonst bleiben sie als offener Zugang bestehen.
Notfallwege sollten dabei klein und dokumentiert bleiben. Jede zusätzliche Option erweitert auch die Angriffsfläche: Eine lange Liste halb vergessener Geräte ist kein Sicherheitsgewinn, sondern eine Sammlung von Nebeneingängen.
Sicherheitshinweis: Kein seriöser Support fragt nach einem Einmalcode. Wer Sie am Telefon, per Chat oder per E-Mail zur Herausgabe eines gerade angezeigten Codes drängt, will sich anmelden – unabhängig davon, wie plausibel der Anlass klingt.