Zwei-Faktor-Authentifizierung: Codes, Apps und SMS

Modul 2: Passwörter und Anmeldung · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie die Formen der Zwei-Faktor-Authentifizierung vergleichen (SMS, E-Mail, TOTP, Push), die Angriffe darauf erkennen und eine Wiederherstellung einrichten für den Fall, dass Sie Ihr Telefon verlieren.

Kernbegriffe: 2FA/MFA, Faktor (Wissen, Besitz, Inhärenz), TOTP, gemeinsames Geheimnis, Push-Benachrichtigung, MFA-Müdigkeit, Sim-Swapping, Wiederherstellungscodes

Zwei unterschiedliche Nachweise

Ein Passwort ist etwas, das Sie wissen. Gelangt es in falsche Hände, kann jeder, der es kennt, sich anmelden. Die Zwei-Faktor-Authentifizierung (2FA) verlangt deshalb einen zweiten Nachweis einer anderen Art. Bei mehr als zwei spricht man von Multi-Faktor-Authentifizierung (MFA); in der Praxis werden die Begriffe oft gleichbedeutend verwendet.

Es gibt drei Arten von Faktoren:

• Wissen: ein Passwort oder eine PIN.
• Besitz: Ihr Telefon mit einer App, ein Sicherheitsschlüssel, eine Karte.
• Inhärenz: Ihr Fingerabdruck oder Ihr Gesicht.

Zweimal dieselbe Art zählt nicht: Ein Passwort plus eine Sicherheitsfrage sind zwei Dinge, die Sie wissen. Das BSI gibt die dringende Empfehlung, MFA auf jedem System und Konto zu verwenden, das dies unterstützt, und ganz besonders auf Konten, die über das Internet erreichbar sind, sowie auf Konten mit Administratorrechten. Für ein kleines Unternehmen sind das in jedem Fall: E-Mail, Hosting und Domainregistrierung, Bank, Buchhaltung, Onlineshop, der Passwort-Manager und die Social-Media-Konten des Unternehmens.

Die Formen im Vergleich

Jede Form ist deutlich besser als gar kein zweiter Schritt. Die Tabelle zeigt aber auch: Bei allem, wo Sie einen Code abtippen oder eine Benachrichtigung genehmigen, kann ein Betrüger Sie dazu bringen, dies auf seiner gefälschten Seite zu tun. Das NIST sagt es in SP 800-63B-4 ohne Umschweife: Methoden, bei denen Sie das Ergebnis manuell eingeben, sind nicht phishingresistent.

Wie eine Authenticator-App funktioniert

Eine Authenticator-App verwendet TOTP: Time-based One-Time Password, beschrieben in RFC 6238. So funktioniert es:

1. Beim Einrichten erzeugt der Dienst ein zufälliges gemeinsames Geheimnis, zum Beispiel 32 Zeichen wie JBSWY3DPEHPK3PXP.... Dieses Geheimnis steckt im QR-Code, den Sie scannen, oder Sie tippen es als "manuellen Schlüssel" ab.
2. Ihre App und der Dienst haben nun beide dasselbe Geheimnis. Danach ist kein weiterer Kontakt zwischen beiden mehr nötig.
3. Alle 30 Sekunden berechnen beide aus dem Geheimnis und der aktuellen Uhrzeit einen Code aus 6 Ziffern. Da sie dasselbe Geheimnis und dieselbe Uhr haben, kommt derselbe Code heraus.
4. Beim Anmelden vergleicht der Dienst Ihren Code mit seinem eigenen Ergebnis, meist mit einer Toleranz von einem Zeitfenster davor oder danach für eine leicht abweichende Uhr.

Zwei Konsequenzen:

• Das Geheimnis ist das eigentliche Schloss. Wer den QR-Code oder den manuellen Schlüssel sieht, kann für immer dieselben Codes erzeugen wie Ihr Telefon. Machen Sie also keinen Screenshot davon, teilen Sie ihn mit niemandem und senden Sie ihn nicht an eine Kollegin oder einen Kollegen.
• Der Code funktioniert auch ohne Internet und kommt nicht über das Mobilfunknetz herein. Deshalb ist TOTP stärker als SMS.

Authenticator-Apps gibt es in verschiedenen Varianten: eigenständig auf Ihrem Telefon, eingebaut in einen Passwort-Manager, Open Source oder von einem großen Technologieunternehmen, mit oder ohne verschlüsseltes Backup in der Cloud. Beispiele sind Aegis, Google Authenticator und Microsoft Authenticator, neben der Funktion in Managern wie Bitwarden oder 1Password. Ein Backup ist praktisch bei einem neuen Telefon, aber das BSI warnt: Ein schlecht verschlüsseltes Backup verschafft auch einem Angreifer Zugang.

Sim-Swapping: warum SMS die schwächste Form ist

Beim Sim-Swapping übernimmt ein Betrüger Ihre Telefonnummer. Er lässt Ihre Nummer auf eine SIM-Karte oder eSIM übertragen, die er selbst besitzt. Das gelingt zum Beispiel, indem er sich bei Ihrem Anbieter als Sie ausgibt, oder indem er Sie selbst dazu bringt mitzuwirken: Das Phishing-Radar der Verbraucherzentrale warnt vor SMS-Nachrichten und Anrufen "im Namen Ihres Anbieters", in denen es heißt, Ihre SIM-Karte müsse validiert oder dringend auf eine eSIM umgestellt werden.

Sobald das gelingt:

• hat Ihr Telefon plötzlich keinen Empfang mehr und Sie können selbst nicht mehr telefonieren oder SMS schreiben;
• erhält der Betrüger alle SMS-Codes, auch die "Passwort vergessen"-Codes von Diensten, die Ihre Nummer als Wiederherstellungsmittel verwenden;
• kann er manchmal mit nur Ihrer Nummer Konten übernehmen.

Das Tückische daran: Sie merken es erst, wenn Ihr Telefon nichts mehr tut, oft abends oder am Wochenende. Das NIST bezeichnet SMS deshalb als eingeschränkte Methode und sagt, dass Dienste auf Signale wie eine neue SIM-Karte oder eine übertragene Nummer achten sollten. Das BSI rät, SMS wo möglich zu vermeiden, da Nachrichten unverschlüsselt sind und abgefangen werden können.

Was tun Sie?

• Wählen Sie, wo möglich, eine App oder einen Passkey statt SMS.
• Entfernen Sie Ihre Telefonnummer als Wiederherstellungsmittel, wo dies eine Schwachstelle darstellt, oder schützen Sie sie zusätzlich.
• Fragen Sie Ihren Anbieter, ob Sie eine zusätzliche PIN oder Kontrolle für die Übertragung Ihrer Nummer einrichten können.
• Fällt Ihr Empfang plötzlich ohne Grund aus? Rufen Sie Ihren Anbieter von einem anderen Gerät aus an. Nicht abwarten.

SMS bleibt besser als nichts. Bietet ein Dienst nur SMS an, aktivieren Sie es trotzdem.

MFA-Müdigkeit: die Benachrichtigung, die Sie wegklicken

Bei einer Push-Benachrichtigung müssen Sie nichts abtippen: Ihr Telefon fragt "Versuchen Sie sich anzumelden?" und Sie tippen auf Genehmigen. Einfach, und genau deshalb missbraucht.

Bei MFA-Müdigkeit (auch Push-Bombing genannt) hat ein Angreifer Ihr Passwort bereits. Er meldet sich immer wieder an, sodass Ihr Telefon eine Benachrichtigung nach der anderen erhält, manchmal mitten in der Nacht. Die US-amerikanische Behörde CISA beschreibt, wie Menschen dann aus Ärger oder versehentlich auf Genehmigen tippen, oder denken, dass eine der Benachrichtigungen schon echt sein wird. Manchmal ruft der Angreifer zusätzlich an, als "der Helpdesk", mit der Bitte, kurz zu genehmigen.

Ein Praxisfall, den das BSI beschreibt: Angreifer gelangten durch MFA-Müdigkeit in die E-Mail-Konten eines Softwareunternehmens und nutzten diese anschließend für Rechnungsbetrug.

Die Regeln:

• Genehmigen Sie niemals eine Benachrichtigung, die Sie nicht selbst ausgelöst haben. Auch nicht die zwanzigste.
• Eine unerwartete Benachrichtigung bedeutet, dass jemand Ihr Passwort hat. Ändern Sie es sofort und melden Sie es.
• Wählen Sie, wo möglich, Zahlenabgleich: Der Anmeldebildschirm zeigt eine Zahl, die Sie in der App eingeben. Wer nicht vor dem Anmeldebildschirm sitzt, kann dann nicht genehmigen. CISA bezeichnet dies als gute Zwischenlösung, aber schwächer als phishingresistente MFA.

Wiederherstellung: regeln Sie es, bevor Sie Ihr Telefon verlieren

Ihr Telefon fällt ins Wasser, wird gestohlen oder geht kaputt. Ohne Vorbereitung stehen Sie dann vor Ihren eigenen Konten draußen. Deshalb gibt es Wiederherstellungscodes (auch Backup-Codes genannt): eine Reihe von Reservecodes, die Sie beim Einrichten erhalten und die jeweils einmal funktionieren.

• Bewahren Sie sie nicht auf demselben Telefon wie Ihre Authenticator-App auf. Drucken Sie sie aus und legen Sie sie zu Ihren wichtigen Unterlagen, oder bewahren Sie sie in Ihrem Passwort-Manager beim entsprechenden Eintrag auf.
• Einen Wiederherstellungscode verwendet? Streichen Sie ihn durch. Gehen sie zur Neige, erstellen Sie neue.
• Sorgen Sie für mindestens zwei Wege hinein: zum Beispiel die App plus Wiederherstellungscodes, oder zwei Sicherheitsschlüssel.
• Übertragen Sie bei einem neuen Telefon zuerst Ihre Konten und löschen Sie erst danach das alte.
• Wissen Sie, wie das Wiederherstellungsverfahren Ihrer wichtigsten Dienste funktioniert. Ein guter Dienst setzt Ihren zweiten Schritt nicht einfach anhand einer E-Mail oder eines Anrufs zurück, sondern prüft zuerst, ob Sie es wirklich sind.

In der Praxis: so sieht es aus

In der WebOké-Umgebung fragt Mein WebOké nach Ihrem Passwort immer nach einem zweiten Schritt: standardmäßig ein Code per E-Mail, und Sie können auf eine Authenticator-App umsteigen. In DirectAdmin heißt es Zwei-Schritt-Authentifizierung, mit Wiederherstellungscodes. In Nextcloud aktivieren Sie TOTP und erstellen zehn Backup-Codes. Bei anderen Anbietern funktioniert es ähnlich: Suchen Sie in Ihrem Profil oder bei den Sicherheitseinstellungen nach "Zwei-Faktor-Authentifizierung", "2FA", "Authenticator" oder "Two-Factor".

Die Schritte sind fast immer dieselben: QR-Code scannen, einen Code zur Kontrolle eingeben, Wiederherstellungscodes speichern.

Zusammenfassung

• 2FA kombiniert zwei Arten von Faktoren: Wissen, Besitz, Inhärenz.
• TOTP funktioniert mit einem gemeinsamen Geheimnis und der Uhr. Das Geheimnis (QR-Code) ist das eigentliche Schloss: teilen Sie es nie.
• SMS ist die schwächste Form wegen Sim-Swapping und Abfangen, aber besser als nichts.
• MFA-Müdigkeit: Genehmigen Sie niemals eine Benachrichtigung, die Sie nicht selbst ausgelöst haben, und ändern Sie dann Ihr Passwort.
• Codes und Benachrichtigungen sind nicht phishingresistent; Passkeys und Sicherheitsschlüssel schon (Lektion 2.4).
• Regeln Sie Wiederherstellungscodes und eine zweite Methode, bevor Sie Ihr Telefon verlieren.

Quiz

Aufgabe

Aufgabe A2.3: Eine Authenticator-App koppeln. Sie erhalten einen QR-Code eines Übungskontos "WebOké Übung". Scannen Sie ihn mit einer Authenticator-App Ihrer Wahl und geben Sie zwei Codes ein, die nacheinander erscheinen. Das Programm prüft, ob Ihre App korrekt rechnet. Das Übungsgeheimnis hat keinen Wert und wird nach 24 Stunden gelöscht; entfernen Sie das Übungskonto anschließend aus Ihrer App.

Aufgabe D2.3: Zwei-Faktor-Authentifizierung für Ihre wichtigsten Konten aktivieren. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihre E-Mail, Ihr Hosting oder Ihre Domainregistrierung, Ihre Bank, Ihre Buchhaltung und Ihren Passwort-Manager. Bewahren Sie die Wiederherstellungscodes an einem zweiten Ort auf und beantworten Sie die Frage, was Sie tun, wenn Sie Ihr Telefon morgen verlieren.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Zweistufige Verifizierung in Mein WebOké und eine Authenticator-App einrichten
• WebOké Anleitung 3.2: Der Anmeldecode per E-Mail (Zwei-Faktor-Authentifizierung)
• WebOké Anleitung 3.3: Eine Authenticator-App verwenden
• DirectAdmin Anleitung 3.2: Zwei-Schritt-Authentifizierung einrichten
• DirectAdmin Anleitung 3.3: Back-up-Codes, und was tun, wenn Sie Ihren Authenticator verloren haben
• Nextcloud-Anleitung 3.3: Eine Authenticator-App einrichten und Backup-Codes speichern
• Nextcloud-Anleitung 3.10: Telefon verloren oder 2FA verloren: so kommen Sie wieder hinein
• Zweistufige Verifizierung (2FA) in Nextcloud einrichten
• BSI, Zwei-Faktor-Authentisierung: https://www.bsi.bund.de/
• Phishing-Radar der Verbraucherzentrale, Warnung vor falschen Nachrichten im Namen von Mobilfunkanbietern: SIM-Karte wird übernommen: https://www.verbraucherzentrale.de/phishing-radar
• CISA, Implementing Number Matching in MFA Applications (Englisch): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (Englisch): https://www.rfc-editor.org/rfc/rfc6238