Zwei-Faktor-Authentifizierung

Was Zwei-Faktor-Authentifizierung bedeutet

Die Zwei-Faktor-Authentifizierung, oft mit 2FA abgekürzt, ist ein Anmeldeverfahren, das zwei verschiedene Arten von Nachweis dafür verlangt, dass Sie die Person sind, die Sie zu sein behaupten. Der erste ist in der Regel etwas, das Sie wissen, zum Beispiel Ihr Passwort. Der zweite ist etwas, das Sie besitzen, etwa ein Smartphone mit Authenticator-App, ein Hardware-Sicherheitsschlüssel oder ein per SMS gesendeter Code, oder etwas, das Sie sind, etwa ein Fingerabdruck oder ein Gesichtsscan.

Die Idee ist einfach. Ein gestohlenes oder erratenes Passwort reicht allein nicht aus, weil der Angreifer zusätzlich den zweiten Faktor benötigt. Passwörter gelangen bei Datenlecks an die Öffentlichkeit, werden auf mehreren Seiten wiederverwendet und können über gefälschte Anmeldeseiten abgegriffen werden. Ein zweiter Faktor errichtet eine Hürde, die solche alltäglichen Angriffe nur schwer überwinden.

Für jedes Broker-, Handels- oder Zahlungskonto ist 2FA einer der wirksamsten und kostengünstigsten verfügbaren Schutzmechanismen. Konten enthalten Geld und persönliche Dokumente und lassen sich nutzen, um Trades zu platzieren oder Auszahlungen anzufordern. Sie sind daher ein naheliegendes Ziel für Kriminelle. Viele regulierte Unternehmen verlangen 2FA oder empfehlen sie nachdrücklich, und in einigen Regionen sorgen die Regeln zur starken Kundenauthentifizierung bei Zahlungen dafür, dass sie bei bestimmten Aktionen unabhängig von Ihrer Entscheidung angewendet wird.

Wie sie funktioniert

Das Verfahren fügt nach dem Passwort einen weiteren Schritt hinzu.

1. Sie geben wie gewohnt Benutzername und Passwort ein.
2. Der Dienst verlangt einen zweiten Faktor. Das kann ein sechsstelliger Code sein, der sich alle 30 Sekunden ändert, eine Push-Benachrichtigung, die Sie bestätigen, ein Tippen auf einen physischen Schlüssel oder eine biometrische Prüfung.
3. Der Dienst prüft den zweiten Faktor anhand dessen, was er erwartet. Sind beide korrekt, beginnt die Sitzung.

Die wichtigsten Arten unterscheiden sich in ihrer Stärke.

• SMS- oder Sprachcodes. Ein Code wird an Ihre Telefonnummer gesendet. Einfach einzurichten, aber schwächer, weil Telefonnummern per SIM-Swapping übernommen und Nachrichten abgefangen werden können.
• Authenticator-Apps. App und Dienst teilen bei der Einrichtung ein Geheimnis. Die App erzeugt danach zeitbasierte Einmalcodes lokal, ganz ohne Netzwerk. Das ist die übliche Standardwahl.
• Push-Bestätigungen. Der Dienst sendet eine Anfrage an eine registrierte App, und Sie bestätigen oder lehnen ab. Bequem, kann aber missbraucht werden, wenn Sie aus Gewohnheit auf Bestätigen tippen.
• Hardware-Sicherheitsschlüssel. Ein kleines Gerät, das Ihre Identität kryptografisch nachweist und an die echte Webadresse gebunden ist, sodass es gefälschten Anmeldeseiten widersteht. Für normale Nutzer im Allgemeinen die stärkste Option.
• Biometrie. Fingerabdruck- oder Gesichtserkennung auf einem Gerät, meist zum Entsperren eines gespeicherten Berechtigungsnachweises, der nicht selbst an den Dienst gesendet wird.

Dienste stellen bei der Einrichtung außerdem Backup-Codes aus. Mit ihnen kommen Sie hinein, wenn Sie das Gerät verlieren, und sie sollten offline aufbewahrt werden.

Ein durchgerechnetes Beispiel

Dies ist ein veranschaulichendes Szenario. Ein Trader verwendet dasselbe Passwort in einem Forum und bei einem Brokerkonto. Das Forum wird gehackt, und das Passwort taucht auf einer online verkauften Liste auf.

Ohne 2FA

1. Ein Angreifer probiert die geleakte E-Mail-Adresse und das Passwort auf der Anmeldeseite des Brokers aus.
2. Es funktioniert. Der Angreifer gelangt in das Konto, ändert die Kontaktdaten und versucht eine Auszahlungsanforderung.

Mit 2FA per Authenticator-App

1. Der Angreifer probiert dieselbe E-Mail-Adresse und dasselbe Passwort.
2. Der Broker verlangt einen sechsstelligen Code. Der Angreifer hat das Telefon des Traders nicht und kann keinen erzeugen.
3. Die Anmeldung scheitert. Der Trader erhält möglicherweise eine Benachrichtigung über den fehlgeschlagenen Versuch und kann das Passwort ändern.

Das geleakte Passwort war in beiden Fällen dasselbe. Der Unterschied ist eine zweite Hürde. Hätte der Angreifer den Trader stattdessen dazu gebracht, einen Code in Echtzeit auf einer gefälschten Anmeldeseite einzugeben, könnte ein App-Code dennoch weitergeleitet werden. Deshalb werden Hardware-Schlüssel und Phishing-resistente Verfahren geschätzt.

Warum sie wichtig ist

Kontoübernahmen sind eine der Hauptursachen für Betrug im Privatkundenhandel. Die Folgen können nicht autorisierte Trades, betrügerische Auszahlungsversuche, Identitätsdiebstahl und der Missbrauch der Dokumente sein, die Sie zur Verifizierung hochgeladen haben. Die Wiederherstellung kann langsam sein, und nicht jeder Verlust wird erstattet, da die Bedingungen vom Unternehmen abhängen und davon, ob Sie mit Ihren Zugangsdaten fahrlässig umgegangen sind.

Auch die Sicherheitsfunktionen unterscheiden sich zwischen den Brokern. Manche verlangen 2FA bei jeder Anmeldung und bei Auszahlungen, andere bieten sie optional an, und einige unterstützen nur SMS. Ein Auszahlungsschutz, etwa eine zusätzliche Bestätigung beim Hinzufügen eines neuen Bankkontos, kann ebenso wichtig sein wie die Anmeldung selbst. Der Umgang eines Brokers mit der Authentifizierung ist neben getrennten Kundenkonten und anderen Kontrollen ein Hinweis darauf, wie ernst er die Sicherheit seiner Kunden nimmt.

So nutzen Sie sie in der Praxis

1. Aktivieren Sie 2FA für Ihren Broker, Ihre E-Mail, Ihre Bank und alle Zahlungs- oder Krypto-Konten. Die E-Mail ist entscheidend, weil darüber alle anderen Passwörter zurückgesetzt werden können.
2. Bevorzugen Sie eine Authenticator-App oder einen Hardware-Schlüssel gegenüber SMS, wo der Dienst dies anbietet.
3. Speichern Sie die Backup-Codes offline, zum Beispiel ausgedruckt und sicher verwahrt, nicht im selben E-Mail-Konto.
4. Verwenden Sie für jeden Dienst ein eigenes Passwort, am besten erzeugt und in einem Passwort-Manager gespeichert.
5. Prüfen Sie, ob Ihr Broker eine zusätzliche Bestätigung bei Auszahlungen und Änderungen der Bankverbindung anbietet, und aktivieren Sie sie.
6. Halten Sie Ihre Telefonnummer und E-Mail-Daten aktuell, damit Sie den Zugang wiederherstellen können.
7. Geben Sie einen Code niemals an jemanden weiter, auch nicht an eine Person, die sich als Support ausgibt. Echte Mitarbeiter fragen nicht danach.
8. Prüfen Sie regelmäßig die Anmelde- und Gerätebenachrichtigungen des Brokers.

Häufige Fehler und Missverständnisse

• Anzunehmen, SMS-Codes seien so stark wie App-Codes. Sie sind besser als nichts, aber dem SIM-Swapping ausgesetzt.
• Push-Anfragen zu bestätigen, die Sie nicht selbst ausgelöst haben. Unerwartete Anfragen sollten abgelehnt und das Passwort geändert werden.
• Das einzige Gerät ohne Backup zu verlieren. Ohne Backup-Codes kann die Wiederherstellung langwierige Identitätsprüfungen erfordern.
• Zu glauben, 2FA mache Phishing harmlos. Echtzeit-Weiterleitungsangriffe können Einmalcodes abgreifen. Prüfen Sie die Webadresse, bevor Sie sie eingeben.
• 2FA beim Broker zu nutzen, aber nicht beim E-Mail-Konto. Ein Angreifer mit Zugriff auf die E-Mail kann oft das Brokerpasswort und manchmal auch den zweiten Faktor zurücksetzen.
• Jemandem den Code am Telefon zu nennen, weil er sagte, es handle sich um eine Sicherheitsprüfung.

Risiken und Grenzen

Die Zwei-Faktor-Authentifizierung verringert das Risiko, beseitigt es aber nicht. Schadsoftware auf Ihrem Gerät, Phishing-Weiterleitungen, Social Engineering gegenüber Supportmitarbeitern und schwache Wiederherstellungsverfahren können weiterhin zu einer Kompromittierung führen. Starke Verfahren können Sie auch aussperren, wenn Sie das Gerät verlieren und keine Sicherung haben. Regeln und verfügbare Verfahren unterscheiden sich je nach Land und Unternehmen, und 2FA schützt den Zugang zum Konto, nicht den Wert der darin gehaltenen Anlagen. Sie ist daher kein Schutz vor Marktverlusten.

Wie Brokeli es betrachtet

Wenn wir Brokerdaten erheben, halten wir fest, welche Authentifizierungsoptionen angeboten werden, ob 2FA verpflichtend oder optional ist und ob für Auszahlungen zusätzliche Prüfungen gelten. Dies ist einer von mehreren Punkten zur Kontosicherheit, die wir neben Regulierung, getrennter Verwahrung von Kundengeldern und dem Verifizierungsprozess erfassen. Wir beschreiben, was der Broker veröffentlicht, und testen oder zertifizieren seine Sicherheit nicht.