Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung häufig auch Zwei-Faktor-Authentisierung (kurz 2FA) ist ein Identitätsnachweis, welcher die Sicherheit vor fremdem, ungewollten Zugriff auf Accounts und deren Daten (vor allem Private Keys im Crypto-Bereich) erhöht. Man kennt sie in Form von PIN-Eingabe bei Smartphones oder an Bankautomaten oder auch der Eingabe einer Transaktionsnummer (TAN) beim Online-Banking sowie bei der Nutzung von EC-Karten oder Kreditkarten. Ein anderes Beispiel wäre das Zusenden eines Codes per SMS oder E-Mail nach der Registierung bei irgendeiner Plattform, einem Service oder einer App, etc..

2FA-Apps für Smartphones und Computer - funktionales Ziel und Sicherheitsaspekte

Ziel ist der eindeutige Identifikationsnachweis einer Person durch die Eingabe eines Codes, der nur dieser Person zugänglich sein sollte. Somit soll sichergestellt sein, dass der Zugriff auf Server mit sensiblen Daten von eben jener Person getätigt wird, welche die Zugriffsberechtigung hat. Nach aktuellem Stand der Technik gewährleistet eine einfache Absicherung durch "Benutzername und Kennwort" nicht mehr den ausreichenden Schutz vor Hacker-Angriffen - besonders bei zentralisiert organisierten Servern verschiedenster Plattformen können Hacker teilweise relativ leicht in den Besitz der Nutzerdaten gelangen. Um vor solch einem Fremdeingriff geschützt zu sein, wird mit der 2FA eine zweite "Hürde" für die Angreifer errichtet. Dadurch ist die gleichzeitige Kenntnis der Nutzerdaten (Benutzername und Passwort) und der Einmal-Codes der Authenfikations-App notwendig, um tatsächlich auf die Accounts, Wallets, etc. zugreifen zu können.

In der Praxis bedeutet dies, dass alle für die Code-Generierung notwendigen Endgeräte (meist Smartphones oder Computer) ausschließlich für die/den vorgesehene*n Nutzer*in zugänglich sein dürfen. Bei Verlust müssen die bei der App hinterlegten periodisch erstellten "Einmal-Codes" gesperrt werden, indem man den Support über seine hinterlegte E-Mail-Adresse kontaktiert oder aber die Verknüpfung der Codes mit den jeweiligen Accounts einfach auf einem neuen Endgerät wiederherstellt (je nach App). Bei Diebstahl z.B. des Smartphones können Diebe andersherum nur auf die mit der App verbundenen Accounts zugreifen, wenn sie wiederum Benutzername und Passwort der zugehörigen Exchanges oder Wallets kennen. Aus diesem Grund sollten die Zugangsdaten und/oder Seed Phrases niemals auf demselben Smartphone oder Computer gespeichert sein; Diebe hätten sonst Zugriff auf alle notwendigen Daten mittels ein und desselben Endgeräts.

2FA-Apps für Smartphones und Computer - Beispiele

• Google Authenticator

Der Google-Authenticator stellt die wohl am häufigsten verwendete Authenticator-App dar. Per QR-Code oder manueller Eingabe können Konten hinzugefügt und später wieder entfernt werden. Es lassen sich hier aber weder Sicherheitsschlüssel einsehen noch können bereits bestehende 2FA-Konten mit dieser App verknüpft werden, da sich diese nicht importieren oder exportieren lassen. Dazu wäre die Anzeige eines Sicherheitsschlüssels des dazugehörigen Account-Codes nötig; darauf wird jedoch aus Sicherheitsgründen verzichtet. Somit können die Einmal-Codes nicht auf anderen Endgeräten wiederhergestellt werden, was jedoch einen Mehraufwand bei Verlust oder Diebstahl des Endgeräts für die/den Nutzer*in bedeutet. Die App funktioniert auf iOS und Android.

• Microsoft Authenticator

Die Microsoft-Variante der 2FA bietet Nutzer*innen von Microsoft-Konten zusätzlich die Möglichkeit, sich über die App bei diesen Konten anzumelden. Die App unterstützt ebenfalls iOS und Android. Außerdem können Passwörter bei der iOS-Version in der iCloud gesichert werden, sodass sie auf anderen Endgeräten z.B. bei Verlust oder Diebstahl wiederhergestellt werden können, ohne Umwege über den jeweiligen Support. Der dazu notwendige Sicherheitsschlüssel des jeweiligen Codes kann angezeigt werden und ermöglicht so auch die Übertragung der Daten auf andere Endgeräte.

• Authy

Bei dieser App werden alle Sicherheitsschlüssel auf dem jeweiligen Endgerät (Smartphone, PC, Tablet, etc.) und verschlüsselt beim Hersteller gespeichert, wodurch eine synchrone Nutzung auf allen registrierten Geräten möglich ist. Dazu muss bei der Erstanmeldung ein eigenes Konto unter Angabe der Mobilfunknummer hinterlegt werden. Auch Authy unterstützt iOS und Android.

• 2FA Authenticator (2FAS)

Der 2FAS unterstützt wie alle vorherigen Apps ebenfalls iOS und Android. Sie bietet eine Anleitung für Nutzer*innen beim Erststart und unterstützt den iOS Dark Mode. Außerdem kann das Design angepasst werden. Bei dieser App können die Sicherheitsschlüssel angezeigt werden, was eine Übertragung auf andere Geräte auch hier ermöglicht. Allerdings ist (aktuell noch) kein Backup und damit keine Wiederherstellung der Codes bei Verlust oder Diebstahl möglich. Es lässt sich außerdem einstellen, die App erst nach einer PIN-Eingabe oder per Finger-Scan zu starten.

---