Was ist Zwei-Faktor-Authentifizierung (2FA)?

Zwei-Faktor-Authentifizierung (2FA) sichert einen Login, indem sie zwei unabhängige Identitätsnachweise aus verschiedenen Kategorien verlangt: etwas, das der Nutzer weiß (Passwort oder PIN), etwas, das er besitzt (Telefon, Hardware-Schlüssel), oder etwas, das er ist (Fingerabdruck, Gesicht). Der Sinn des zweiten Faktors ist Fehler-Unabhängigkeit — ein Passwort kann in einem Datenleck auf einem anderen Kontinent auftauchen, doch dem Angreifer, der es hält, fehlt weiterhin das Telefon auf dem Nachttisch. Multi-Faktor-Authentifizierung (MFA) ist der Oberbegriff; zwei Faktoren sind der Normalfall — und das wirksamste einzelne Upgrade gegen die Angriffsepidemie, die mit einem gestohlenen Passwort beginnt.

Die Faktor-Leiter

Nicht alle zweiten Faktoren widerstehen denselben Angriffen, und die Unterschiede haben sich zu einer etablierten Leiter verfestigt. SMS-Codes stehen unten: besser als nichts, aber lesbar für jeden, der die Rufnummer kontrolliert — genau die Schwäche, die SIM-Swapping industrialisiert —, weshalb Sicherheitsleitlinien seit Jahren von SMS wegsteuern. Authenticator-Apps mit zeitbasierten Codes (TOTP) nehmen das Mobilfunknetz aus der Gleichung, auch wenn der Code selbst weiterhin gephisht und weitergereicht werden kann. Push-Bestätigungen liefern Kontext, laden aber zur Bestätigungsmüdigkeit ein. Ganz oben stehen Phishing-resistente Faktoren — FIDO2-Hardware-Schlüssel und Passkeys —, die die Authentifizierung kryptografisch an die echte Website binden: Eine perfekte Replik der Login-Seite erhält einen Nachweis, der überall wertlos ist außer auf der Domain, für die er erzeugt wurde.

Was 2FA ändert — und was nicht

Die Ökonomie erklärt die Begeisterung: Credential Stuffing monetarisiert Milliarden geleakter Passwörter gerade deshalb, weil Passwörter wiederverwendet werden — und ein zweiter Faktor zerschneidet die Wiederverwendungskette mit einem Schnitt. Groß angelegte Studien zeigen, dass schon irgendein zweiter Faktor die überwältigende Mehrheit automatisierter Kontoangriffe blockiert. Was 2FA nicht leistet, ist das Ende des Wettrüstens. Ein entschlossener Angreifer wechselt zu den Techniken, die unter MFA-Bypass katalogisiert sind: Echtzeit-Phishing-Proxies, die Codes beim Eintippen weiterreichen, Push-Bombardements, OTP-Bots, die das Opfer anrufen und nach dem Code fragen, und der Diebstahl des Session-Tokens, das nach erfolgreicher Authentifizierung ausgestellt wird. Jede dieser Techniken kostet mehr als bloßes Passwort-Abspielen — und das ist die ehrliche Bilanz von 2FA: Sie verwandelt billige, automatisierte Kompromittierung in teure, gezielte.

Einführen, ohne Nutzer zu verlieren

Die Verbreitung ist der Engpass — also sollten Dienste die Einrichtung mühelos machen, standardmäßig den stärksten Faktor anbieten, den das Konto trägt, und Pflicht-Challenges den Momenten vorbehalten, die sie rechtfertigen: neues Gerät, verändertes Verhalten, sensible Aktion. Diese risikobasierte Ökonomie setzt voraus, dass Automatisierung gar nicht erst in den Login-Fluss gelangt: Bots, die Zugangsdaten durchprobieren, lösen Challenges aus, treiben SMS-Kosten und begraben echte Gefahrensignale — menschliche Verifizierung wie CaptchaFox vor den Authentifizierungs-Endpunkten hält den zweiten Faktor bei seiner eigentlichen Arbeit: die Identität einer Person zu bestätigen statt Maschinenverkehr zu absorbieren. So geschichtet, wie unser Artikel über Account-Takeover-Angriffe ausführt, wird das Passwort, was es immer hätte sein sollen: das schwächste Glied einer Kette, die nicht mehr von ihm abhängt.