Multi-Faktor-Authentifizierung: Methoden und Dienstleister
Dass die Benutzername-Passwort-Kombination nicht der bestmöglichen Sicherheit dient, ist weithin bekannt. Alternativen sind da, auch aus der Cloud.
- Jürgen Seeger
Eigentlich ist es jedem klar: Wer sich nur auf die Sicherheit seiner Passwörter verlässt, hat über kurz oder lang verloren. Diese Binsenweisheit ist zwar seit Jahrzehnten bekannt – schon 1986 brachte RSA sein SecurID-System auf den Markt, einen Codegenerator für ein temporäres zweites Passwort und somit eine erste Implementierung einer Zwei-Faktor-Authentifizierung (2FA).
Doch eine breitere Akzeptanz für diese Methode gibt es erst in letzter Zeit. Denn zum einen bieten mittlerweile immer mehr weithin genutzte Dienste, von Amazon über Google und Microsoft bis PayPal, die Zwei-Faktor-Authentifizierung an. Und zum andern dient als Faktor "Besitz" das Smartphone. Es bedarf also keiner weiteren Anschaffung von Kartenlesern oder anderer spezieller Hardware mehr. Die genannten Anbieter setzen auf eine kostengünstige, schnell verfügbare Kombination von Besitz und Wissen – eine Smartphone-App generiert einen temporär gültigen Schlüssel, der beim Login-Vorgang zusätzlich zum Passwort angegeben werden muss.
Dieses Token wird dem Account während eines Initialisierungsvorgangs fest zugeordnet. Den Code, das sogenannte One-Time-Passwort (OTP), generiert eine App wie Google Authenticator oder Microsoft Authenticator. Noch wird stattdessen gelegentlich ein Code per SMS verschickt. Das funktioniert zwar auch mit einem Mobiltelefon aus dem letzten Jahrhundert, ist aber nicht sehr sicher. Denn die zugeordnete Mobilfunknummer, an die der Code geschickt wird, kann per VoIP nur vorgetäuscht sein, wie das National Institute for Standards and Technology (NIST) schon 2016 warnte. Dies gilt sinngemäß auch für mittels E-Mail verschickte Codes, da auch hier der Faktor "Besitz" (des Empfangssystems) vorgetäuscht sein kann.
Das war die Leseprobe unseres heise-Plus-Artikels "Multi-Faktor-Authentifizierung: Methoden und Dienstleister ". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.Immer mehr Wissen. Das digitale Abo für IT und Technik.
openDesk: Hat die staatliche Microsoft-Alternative eine Chance?
Volvo EX30 im Test: E-Auto mit Android Automotive
UpdateWas 100 Kilometer mit dem Elektroauto wirklich kosten
Windows on ARM: Zehn Notebooks mit Copilot+ und Snapdragon X im Vergleichstest
Rückgang von THG-Prämien: Betrügereien auf Kosten von E-Auto-Besitzern