2FA
Sicherheitsverfahren, bei dem du dich mit zwei unabhängigen Faktoren aus verschiedenen Kategorien identifizierst, um Zugang zu einem System zu erhalten.
Auf dieser Seite
- Die drei Authentifizierungsfaktoren
- Alltägliche Beispiele
- Gängige 2FA-Methoden in der IT
- Unterschied zwischen 2FA und MFA
- Sicherheitsrisiken und Schwachstellen
- Moderne Standards: FIDO2, WebAuthn und Passkeys
- Best Practices für IT-Auszubildende
- Prüfungs- und Praxisbezug
- Abgrenzung zu verwandten Begriffen
- Rechtliche Relevanz
2FA (Zwei-Faktor-Authentifizierung) ist ein Sicherheitsverfahren, bei dem sich Benutzer mit zwei voneinander unabhängigen Faktoren identifizieren müssen, um Zugang zu einem System oder Konto zu erhalten.
Anstatt sich nur mit einem Passwort anzumelden, wird ein zusätzlicher Nachweis verlangt. Selbst wenn ein Angreifer dein Passwort kennt, kann er ohne den zweiten Faktor nicht auf dein Konto zugreifen. Laut Microsoft blockiert 2FA über 99,9 Prozent aller automatisierten Kontokompromittierungsangriffe.
Die drei Authentifizierungsfaktoren
Authentifizierungsfaktoren werden in drei Kategorien eingeteilt:
1. Wissen (etwas, das du weißt)
- Passwörter
- PINs
- Sicherheitsfragen
2. Besitz (etwas, das du hast)
- Smartphone mit Authenticator-App
- Hardware-Token (z.B. YubiKey)
- Bankkarte
- SMS-TAN
3. Biometrie (etwas, das du bist)
- Fingerabdruck
- Gesichtserkennung
- Iris-Scan
Für echte 2FA müssen die beiden Faktoren aus verschiedenen Kategorien stammen. Zwei Passwörter wären also keine 2FA, da beide zum Faktor “Wissen” gehören.
Alltägliche Beispiele
Das klassische Beispiel für 2FA ist das Geldabheben am Automaten: Du benötigst sowohl die Bankkarte (Besitz) als auch die PIN (Wissen). Beim Online-Banking gibst du erst Benutzername und Passwort ein und bestätigst Transaktionen dann mit einer TAN oder per App.
Gängige 2FA-Methoden in der IT
| Methode | Sicherheitsniveau | Typischer Einsatz | Hauptproblem |
|---|---|---|---|
| SMS-Code | niedrig bis mittel | private Konten, ältere Dienste | SIM-Swapping, keine Phishing-Resistenz |
| Authenticator-App | mittel bis hoch | E-Mail, GitHub, Cloud-Dienste | Backup bei Geräteverlust nötig |
| Push-Freigabe | mittel | Unternehmens-Logins, Microsoft/Google-Konten | MFA-Fatigue durch viele Anfragen |
| Hardware-Token | sehr hoch | Admin-Konten, kritische Systeme | Anschaffung und Ersatzprozess |
| Passkey | sehr hoch | moderne Webdienste, passwortlose Anmeldung | noch nicht überall verfügbar |
SMS-Codes
Ein Einmalcode wird per SMS an dein Smartphone gesendet. Diese Methode ist weit verbreitet, gilt aber als unsicher, da SMS-Nachrichten abgefangen werden können (z.B. durch SIM-Swapping).
Authenticator-Apps (TOTP)
Apps wie Google Authenticator, Microsoft Authenticator oder Authy generieren zeitbasierte Einmalpasswörter (TOTP = Time-based One-Time Password). Alle 30 Sekunden wird ein neuer sechsstelliger Code erzeugt.
Vorteile:
- Funktioniert offline
- Kann nicht über das Mobilfunknetz abgefangen werden
- Kostenlos
Hardware-Token
Physische Sicherheitsschlüssel wie YubiKey oder Titan Security Key bieten die höchste Sicherheit. Sie kommunizieren per USB, NFC oder Bluetooth mit dem Computer und sind phishing-resistent, da die Authentifizierung an die spezifische Domain gebunden ist.
Push-Benachrichtigungen
Bei dieser Methode erhältst du eine Benachrichtigung auf deinem Smartphone und bestätigst die Anmeldung mit einem Klick. Sehr benutzerfreundlich, aber anfällig für “MFA-Fatigue”-Angriffe, bei denen Angreifer wiederholt Benachrichtigungen senden.
Unterschied zwischen 2FA und MFA
2FA bezeichnet spezifisch die Verwendung von genau zwei Faktoren. MFA (Multi-Faktor-Authentifizierung) ist der Oberbegriff für jede Authentifizierung mit mehr als einem Faktor.
Jede 2FA ist also eine Form von MFA, aber nicht jede MFA ist 2FA (es könnten auch drei Faktoren sein).
Sicherheitsrisiken und Schwachstellen
SIM-Swapping
Bei diesem Angriff überzeugt ein Angreifer den Mobilfunkanbieter, die Telefonnummer des Opfers auf eine andere SIM-Karte zu übertragen. Dadurch kann er SMS-basierte 2FA-Codes abfangen.
Phishing (AiTM-Attacken)
Bei Adversary-in-the-Middle-Angriffen positioniert sich der Angreifer zwischen Benutzer und echtem Dienst. Er fängt nicht nur Passwort und 2FA-Code ab, sondern auch die Session-Cookies nach erfolgreicher Anmeldung.
Schutz: Hardware-Token mit FIDO2/WebAuthn sind phishing-resistent, da sie die Domain prüfen.
Geräteverlust
2FA schützt nur, wenn du den zweiten Faktor auch wiederherstellen kannst. Wer sein Smartphone verliert und keine Backup-Codes besitzt, sperrt sich im schlimmsten Fall selbst aus wichtigen Konten aus. Deshalb gehören Wiederherstellungscodes in einen Passwort-Manager oder ausgedruckt an einen sicheren Ort. Screenshots im Fotoalbum sind keine gute Lösung.
Falsches Sicherheitsgefühl
2FA ersetzt kein gutes Passwort. Wenn du dasselbe Passwort überall verwendest, ist ein kompromittierter Dienst trotzdem gefährlich. 2FA ist eine zusätzliche Schutzschicht, aber keine Entschuldigung für schwache oder wiederverwendete Passwörter.
Moderne Standards: FIDO2, WebAuthn und Passkeys
FIDO2 ist ein moderner Standard für sichere, phishing-resistente Authentifizierung. Er besteht aus:
- WebAuthn: Browser-API für sichere Authentifizierung
- CTAP2: Protokoll für die Kommunikation mit Hardware-Tokens
Passkeys sind die praktische Umsetzung dieser Standards. Statt eines Passworts wird ein kryptographisches Schlüsselpaar verwendet. Der private Schlüssel verlässt nie dein Gerät und wird durch Fingerabdruck oder PIN geschützt.
Große Anbieter wie Google, Apple und Microsoft unterstützen Passkeys bereits. Sie gelten als Zukunft der passwortlosen Authentifizierung.
Best Practices für IT-Auszubildende
- Aktiviere 2FA überall, wo es möglich ist (besonders E-Mail, Cloud-Dienste, GitHub)
- Bevorzuge Authenticator-Apps gegenüber SMS
- Speichere Backup-Codes sicher und offline
- Nutze Hardware-Token für besonders kritische Systeme
- Verwende einen Passwort-Manager, der 2FA unterstützt
Prüfungs- und Praxisbezug
In der IT-Ausbildung begegnet dir 2FA nicht nur als Benutzerfunktion, sondern als Sicherheitsmaßnahme in betrieblichen Szenarien. Typische Prüfungsfragen drehen sich um die Auswahl einer angemessenen Authentifizierung für ein System, die Bewertung von Risiken oder die Erklärung, warum ein Passwort allein nicht ausreicht.
| Situation | Passende Antwort |
|---|---|
| E-Mail-Konto eines Administrators absichern | Passwort-Manager plus Hardware-Token oder Passkey |
| Azubi-Zugriff auf Lernplattform schützen | Authenticator-App oder Passkey, Backup-Codes dokumentieren |
| Kundenportal mit vielen privaten Nutzern | Passkeys und optional TOTP, SMS nur als Fallback |
| Verdacht auf gestohlene Zugangsdaten | Passwort ändern, Sessions beenden, 2FA prüfen, Logs auswerten |
Wichtig ist die Begründung: Du solltest erklären können, welche Faktoren kombiniert werden, welches Angriffsszenario dadurch erschwert wird und welche organisatorischen Folgen entstehen. Ein Hardware-Token ist sicher, aber ein Betrieb braucht Ersatz-Token, Sperrprozesse und klare Zuständigkeiten.
Abgrenzung zu verwandten Begriffen
2FA gehört zur Authentifizierung, also zur Prüfung, ob eine Person wirklich die behauptete Identität besitzt. MFA ist der Oberbegriff für mehrere Faktoren. Phishing ist eines der wichtigsten Angriffsszenarien, gegen das moderne 2FA-Verfahren wie FIDO2 helfen.
Rechtliche Relevanz
Die DSGVO fordert “angemessene technische und organisatorische Maßnahmen” zum Schutz personenbezogener Daten. 2FA gilt als Best Practice. Die PSD2 (Zahlungsdiensterichtlinie) verlangt für Online-Banking sogar verpflichtend eine starke Kundenauthentifizierung mit zwei unabhängigen Faktoren.
Prüfungsbezug
Passt zu deiner Prüfungsvorbereitung
Wenn dir dieser Begriff in Aufgaben, Projektdokumentation oder Fachgespräch begegnet, ordne ihn direkt in den Prüfungsstoff ein.