Was ist die Zwei-Faktor-Authentifizierung (2FA)?

Bei der Zwei-Faktor-Authentifizierung (2FA) muss ein Benutzer seine Identität anhand von zwei verschiedenen Faktoren nachweisen, bevor ihm Zugriff gewährt wird – in der Regel handelt es sich dabei um ein Passwort sowie einen Einmalcode, der per E-Mail, SMS oder über eine mobile App übermittelt wird. Dadurch wird eine zweite, unabhängige Sicherheitsüberprüfung hinzugefügt, sodass ein durchgesickertes Passwort allein nicht ausreicht, um ein Konto zu kompromittieren.

Die wichtigsten Erkenntnisse

• Die 2FA bietet zusätzlich zu Benutzername und Passwort eine zweite Identitätsüberprüfung.
• Die Codes werden per SMS, E-Mail, über eine Authentifizierungs-App oder per Push-Benachrichtigung übermittelt.
• Titan Mit „Portal“ und „Director“ können Administratoren die 2FA pro Benutzer oder Organisation aktivieren.
• Ein gestohlenes Passwort allein reicht nicht aus, um Zugriff zu erhalten, sobald die Zwei-Faktor-Authentifizierung aktiviert ist.
• FIDO und Hardware-Sicherheitsschlüssel bieten eine stärkere Zwei-Faktor-Authentifizierung als SMS-Codes.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · 2FA & Versa · Häufig gestellte Fragen

Warum ist die 2-Faktor-Authentifizierung wichtig?

Ein Passwort ist ein einmaliges, statisches Geheimnis: Sobald es bekannt wird – sei es durch Phishing, eine Sicherheitslücke oder die Wiederverwendung auf verschiedenen Websites –, kann sich jeder, der es besitzt, als Kontoinhaber anmelden. Die Zwei-Faktor-Authentifizierung (2FA) schließt diese Lücke, indem sie einen zweiten Faktor verlangt, über den ein Angreifer mit weitaus geringerer Wahrscheinlichkeit verfügt, sodass ein gestohlenes Passwort allein nicht mehr ausreicht.

Dies ist besonders wichtig für Verwaltungs- und Fernzugriffsanmeldungen, bei denen ein einziger kompromittierter Zugangsdatensatz nicht nur ein Postfach, sondern ein gesamtes Netzwerk gefährden kann. Sicherheitsrahmenwerke betrachten die Multi-Faktor-Authentifizierung zunehmend als grundlegende Kontrollmaßnahme – und nicht als Option – für alle Vorgänge, die sensible Systeme betreffen. Für Netzwerkbetreiber ist die Aktivierung der 2FA auf Verwaltungskonsolen und VPN-Clients eine der wirkungsvollsten und kostengünstigsten Maßnahmen, die gegen Angriffe auf Zugangsdaten zur Verfügung stehen.

Was ist 2FA?

Authentifizierungsfaktoren lassen sich in drei Kategorien einteilen: etwas, das man weiß (ein Passwort), etwas, das man besitzt (ein Smartphone, ein Token oder ein Hardware-Schlüssel) und etwas, das man ist (ein Fingerabdruck oder ein Gesichtsscan). Bei der 2FA werden genau zwei dieser Faktoren kombiniert, meist ein Passwort und ein Besitzfaktor – ein Einmalcode, der an ein registriertes Smartphone oder eine E-Mail-Adresse gesendet oder von einer Authentifizierungs-App generiert wird.

Bei der Anmeldung gibt der Benutzer wie gewohnt den Benutzernamen und das Passwort ein. Sind beide korrekt und ist eine Zwei-Faktor-Authentifizierung (2FA) erforderlich, fordert das System den zweiten Faktor an, bevor der Zugriff gewährt wird. Der Benutzer ruft den Code – per SMS, E-Mail oder über eine App – ab und gibt ihn innerhalb eines kurzen Gültigkeitszeitraums ein. Erst nachdem beide Faktoren überprüft wurden, wird die Sitzung gestartet. Sobald ein Administrator diese Anforderung aktiviert hat, kann der Endbenutzer sie in der Regel nicht mehr deaktivieren.

Arten der 2FA

SMS- und E-Mail-Codes sind die gängigsten Übermittlungsmethoden: Das System generiert einen kurzen numerischen Code und sendet ihn an eine registrierte Telefonnummer oder E-Mail-Adresse, wobei dieser Code nur wenige Minuten lang gültig ist. Sie lassen sich leicht implementieren, sind jedoch von der Sicherheit des Mobilfunknetzes oder des E-Mail-Postfachs abhängig. Authentifizierungs-Apps generieren zeitbasierte Einmalpasswörter (TOTP) lokal auf einem Gerät, wodurch das Risiko eines SMS-Abfangens entfällt. Bei der Push-basierten Bestätigung wird eine Anmeldeaufforderung an eine vertrauenswürdige App gesendet, und der Nutzer muss diese lediglich genehmigen oder ablehnen. FIDO und Hardware-Sicherheitsschlüssel stellen die stärkste Sicherheitsstufe dar: Ein physischer Schlüssel weist den Besitz kryptografisch nach und widersteht Phishing-Angriffen auf eine Weise, wie es Einmalcodes nicht können; allerdings erfordern sie einen unterstützenden Identitätsanbieter.

2FA & Versa

Versa unterstützt 2FA über alle Verwaltungsoberflächen hinweg. In Versa, können Administratoren die Zwei-Faktor-Authentifizierung in Verbindung mit externen Authentifizierungsservern – Active Directory, LDAP, RADIUS oder TACACS+ – aktivieren, wobei der Code per E-Mail oder SMS übermittelt wird. Bei der Konfiguration werden Benutzer einer Gruppe hinzugefügt (Versa-2FA-Enabled (über Active Directory oder LDAP), damit der Connector weiß, für welche Konten die zweistufige Authentifizierung erforderlich ist; ein Administrator aktiviert diese Funktion für jeden Benutzer einzeln, und der Benutzer kann sie anschließend nicht mehr deaktivieren. Stärkere Authentifizierungsfaktoren wie FIDO verbinden SSO hingegen mit einem unterstützenden Identitätsanbieter.

Im „Titan “-Portal ist die 2FA eine pro Benutzer aktivierbare Option, die beim Hinzufügen oder Bearbeiten eines beliebigen Kontos – Unternehmensadministrator, Unternehmensbenutzer, Shop-Administrator, MSP oder Wiederverkäufer – verfügbar ist; sie schließt die externe SSO-Authentifizierung für dasselbe Konto aus. Die Client-Profile von „ Versa Secure Access“ (VSA) bieten ebenfalls eine Option zur Zwei-Faktor-Authentifizierung für lokale VSA-Benutzer, die jedoch nicht für über Active Directory authentifizierte Benutzer gilt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen 2FA und MFA?

2FA ist ein Sonderfall der Multi-Faktor-Authentifizierung (MFA), bei der genau zwei Faktoren zum Einsatz kommen. MFA ist der übergeordnete Begriff und kann je nach Strenge der Richtlinien zwei, drei oder mehr Faktoren erfordern – beispielsweise ein Passwort, einen Hardware-Schlüssel und eine biometrische Überprüfung.

Kann ein Benutzer die 2FA deaktivieren, sobald ein Administrator sie aktiviert hat?

Nein, weder im „ Versa -Manager“ noch im „ Titan -Portal“. Sobald ein Administrator die Zwei-Faktor-Authentifizierung für ein Konto aktiviert hat, kann der Endbenutzer diese nicht mehr deaktivieren – nur ein Administrator oder ein anderer autorisierter Benutzer kann sie deaktivieren, wodurch verhindert wird, dass durch einen einzigen kompromittierten Anmeldeversuch der Schutz unbemerkt ausgeschaltet wird.

Ist die SMS-basierte Zwei-Faktor-Authentifizierung sicher?

Das ist zwar besser als ein Passwort allein, aber weniger sicher als eine Authentifizierungs-App oder ein Hardware-Schlüssel, da SMS durch SIM-Swapping oder Netzwerkangriffe abgefangen werden können. In Sicherheitsempfehlungen werden zunehmend App-basierte Codes oder FIDO-Schlüssel für Konten bevorzugt, die einen stärkeren Schutz erfordern.

Können 2FA und Single Sign-On (SSO) zusammen verwendet werden?

Das hängt von der Plattform ab. Im „ Versa “Titan Portal schließen sich die integrierte 2FA und die externe SSO-Authentifizierung pro Konto gegenseitig aus. Im „ Versa Director“ werden sicherere Multi-Faktor-Verfahren wie FIDO über SSO mit einem unterstützenden Identitätsanbieter abgewickelt und nicht über den integrierten 2FA-Ablauf.

Benötigt man für die 2FA ein Handy?

Nicht immer. Ein Smartphone ist zwar die gängigste Option für SMS-Codes, Push-Benachrichtigungen oder eine Authentifizierungs-App, doch die Zwei-Faktor-Authentifizierung kann auch über E-Mail oder einen physischen Hardware-Sicherheitsschlüssel erfolgen, sodass auch ein Konto ohne mobiles Gerät einen funktionierenden zweiten Faktor aktivieren kann.

Mehr zum Thema 2FA

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über 2FA informieren, sollten Sie sich als Nächstes diese Artikel ansehen.