Zwei-Faktor-Authentifizierung

Passwörter werden erraten, abgefangen, wiederverwendet oder bei fremden Diensten gestohlen. Die Zwei-Faktor-Authentifizierung sorgt dafür, dass ein Passwort allein nicht genügt. Wer sich anmelden will, muss zusätzlich etwas vorweisen, das nur die berechtigte Person hat.

Die drei Faktorarten

• Wissen: etwas, das man weiß – Passwort, PIN.
• Besitz: etwas, das man hat – Smartphone mit Authenticator-App, Sicherheitsschlüssel.
• Inhärenz: etwas, das man ist – Fingerabdruck, Gesichtserkennung.

Echte Zwei-Faktor-Authentifizierung kombiniert zwei verschiedene Arten. Zwei Passwörter hintereinander sind keine 2FA.

Wie zeitbasierte Codes funktionieren

Das verbreitetste Verfahren ist TOTP (Time-based One-Time Password, standardisiert in RFC 6238). Bei der Einrichtung zeigt die Anwendung einen QR-Code mit einem geheimen Schlüssel. Die Authenticator-App speichert ihn. Aus diesem Schlüssel und der aktuellen Uhrzeit berechnen App und Server unabhängig voneinander denselben Code – üblicherweise sechs Ziffern, die alle 30 Sekunden wechseln. Der Code wird nicht übertragen, sondern auf beiden Seiten berechnet. Deshalb funktioniert die App auch ohne Internetverbindung.

Andere Verfahren

• SMS-Codes: weit verbreitet, aber anfälliger, etwa durch Umleitung der Rufnummer.
• Push-Bestätigung in einer App: bequem, aber anfällig für gedankenloses Bestätigen.
• Sicherheitsschlüssel und Passkeys (FIDO2/WebAuthn): sehr sicher und resistent gegen Phishing.

Wiederherstellungscodes

Was passiert, wenn das Handy verloren geht? Dafür gibt es Wiederherstellungscodes: eine Liste einmalig nutzbarer Codes, die bei der Einrichtung angezeigt wird. Sie gehören an einen sicheren Ort – nicht ins selbe Handy. Wer sie verliert und das Gerät wechselt, braucht die Hilfe einer Administratorin.

Warum 2FA im Support besonders wichtig ist

Das Konto eines Support-Agents hat Zugriff auf viele Kundendaten und kann in deren Namen E-Mails versenden. Ein übernommenes Konto ist deshalb ein ernstes Risiko – für den Datenschutz nach Art. 32 DSGVO und für das Vertrauen der Kund*innen. Zusammen mit sinnvollen Rollen und Rechten ist 2FA einer der wirksamsten Schutzmechanismen.

Ein Beispiel

Jana Beispiel nutzt dasselbe Passwort versehentlich auch bei einem Onlineshop, der gehackt wird. Ein Angreifer versucht sich damit im Ticketsystem anzumelden. Das Passwort stimmt – aber ohne den sechsstelligen Code aus Janas App kommt er nicht weiter. Jana ändert ihr Passwort, ohne dass Kundendaten in Gefahr waren.

2FA im Team einführen

Am besten mit einem festen Termin: Alle richten die App am selben Tag ein, die Wiederherstellungscodes werden sicher abgelegt, und eine Person steht für Fragen bereit. Wer eine Ausnahme braucht, etwa ohne Diensthandy, bekommt eine dokumentierte Lösung statt eines stillschweigenden Verzichts.

Hilfreich ist auch eine kurze Anleitung mit Bildern, welche App installiert wird und wo die Codes abgelegt werden. Wichtig für Administrator*innen: Ihr eigener Zugang sollte als erster geschützt sein, weil er die meisten Rechte hat und damit das lohnendste Ziel für Angreifer ist.

So hilft rapidFOX

rapidFOX bietet die Zwei-Faktor-Anmeldung mit zeitbasierten Codes aus einer Authenticator-App, eingerichtet per QR-Code und abgesichert mit Wiederherstellungscodes. Ergänzend erkennt ein Wächter Angriffe auf die Anmeldung, und nach 10 Minuten ohne Eingabe wird abgemeldet – mit vorheriger Nachfrage. Mehr unter Sicherheit.