Passwörter allein reichen heute häufig nicht mehr aus, um Unternehmenskonten zuverlässig zu schützen. Gerät ein Passwort durch Phishing, eine Datenpanne oder ein unsicheres Kennwort in falsche Hände, kann ein Angreifer versuchen, sich damit direkt bei einem Benutzerkonto anzumelden.
Eine zusätzliche Authentifizierungsebene kann dieses Risiko deutlich reduzieren. Dabei begegnet man häufig den Begriffen 2-Stufen-Authentifizierung und 2-Faktor-Authentifizierung (2FA).
Die Begriffe werden oft synonym verwendet. Technisch betrachtet gibt es jedoch einen wichtigen Unterschied: Entscheidend ist nicht nur, wie viele Schritte bei einer Anmeldung durchgeführt werden, sondern auch, welche Arten von Authentifizierungsfaktoren dabei verwendet werden.
Was bedeutet Authentifizierung?
Bei einer Authentifizierung wird überprüft, ob eine Person tatsächlich diejenige ist, für die sie sich ausgibt.
Das klassische Beispiel ist die Anmeldung mit Benutzername und Passwort. Das Passwort dient dabei als Nachweis der Identität.
Das Problem: Wird dieses Passwort gestohlen oder erraten, besitzt ein Angreifer möglicherweise genau denselben Nachweis wie der eigentliche Benutzer.
Deshalb setzen moderne Sicherheitskonzepte auf zusätzliche Faktoren.
Welche Authentifizierungsfaktoren gibt es?
Authentifizierungsverfahren lassen sich grundsätzlich in verschiedene Kategorien einteilen.
1. Wissen – etwas, das Sie wissen
Dazu gehören beispielsweise:
- Passwort
- PIN
- Sicherheitscode
- Passphrase
Das Problem dabei: Wissen kann weitergegeben, gestohlen oder durch Phishing abgegriffen werden.
2. Besitz – etwas, das Sie besitzen
Hierbei wird zusätzlich ein physisches oder digitales Gerät benötigt.
Beispiele sind:
- Smartphone
- Authenticator-App
- Hardware-Sicherheitsschlüssel
- Smartcard
- Token
Ein Angreifer benötigt dadurch nicht nur das Passwort, sondern zusätzlich Zugriff auf den entsprechenden Besitzfaktor.
3. Biometrie – etwas, das Sie sind
Hier wird ein biometrisches Merkmal zur Authentifizierung verwendet.
Beispiele sind:
- Fingerabdruck
- Gesichtserkennung
- andere biometrische Verfahren
Welche Verfahren tatsächlich eingesetzt werden können, hängt vom jeweiligen System und dessen Sicherheitskonzept ab.
Was ist eine 2-Stufen-Authentifizierung?
Bei der 2-Stufen-Authentifizierung erfolgt die Anmeldung in zwei aufeinanderfolgenden Schritten.
Ein einfaches Beispiel:
Schritt 1: Eingabe des Passworts
Schritt 2: Eingabe eines zusätzlichen Codes
Damit besteht die Anmeldung aus zwei separaten Prüfungen.
Der entscheidende Punkt ist jedoch: Zwei Schritte bedeuten nicht zwangsläufig, dass auch zwei unterschiedliche Faktoren verwendet werden.
Genau hier liegt der Unterschied zur 2-Faktor-Authentifizierung.
Was ist eine 2-Faktor-Authentifizierung?
Bei der 2-Faktor-Authentifizierung, kurz 2FA, werden zwei unterschiedliche Kategorien von Authentifizierungsfaktoren miteinander kombiniert.
Ein typisches Beispiel ist:
Passwort: etwas, das Sie wissen
Smartphone bzw. Sicherheitsschlüssel: etwas, das Sie besitzen
Selbst wenn ein Angreifer das Passwort kennt, fehlt ihm damit noch der zweite Faktor.
Ein weiteres Beispiel wäre die Kombination aus einem Besitzfaktor und einer biometrischen Prüfung.
Der entscheidende Unterschied ist also nicht einfach die Anzahl der Eingaben, sondern die Verwendung unterschiedlicher Faktorarten.
2-Stufen- oder 2-Faktor-Authentifizierung – wo liegt der Unterschied?
Die Begriffe klingen sehr ähnlich, beschreiben aber unterschiedliche Konzepte.
Bei der 2-Stufen-Authentifizierung steht der Ablauf im Mittelpunkt: Für die Anmeldung werden zwei Schritte durchgeführt.
Bei der 2-Faktor-Authentifizierung steht dagegen die Art der Sicherheitsmerkmale im Mittelpunkt: Es werden zwei unterschiedliche Authentifizierungsfaktoren eingesetzt.
Eine Anmeldung kann also aus zwei Schritten bestehen, ohne im strengeren Sinn eine echte Zwei-Faktor-Authentifizierung zu sein.
In der Praxis werden die Begriffe von Anbietern allerdings nicht immer konsequent voneinander getrennt. Deshalb lohnt es sich, nicht nur auf die Bezeichnung einer Funktion zu achten, sondern darauf, welche Faktoren tatsächlich verwendet werden.
Warum reicht ein Passwort allein nicht aus?
Passwörter bleiben ein häufiges Ziel von Cyberangriffen.
Sie können beispielsweise kompromittiert werden durch:
- Phishing-E-Mails
- gefälschte Login-Seiten
- Schadsoftware
- Datenlecks
- schwache oder wiederverwendete Passwörter
- Social Engineering
Wird dasselbe Passwort außerdem für mehrere Dienste verwendet, kann ein kompromittiertes Kennwort gleich mehrere Benutzerkonten gefährden.
Ein zusätzlicher Authentifizierungsfaktor erschwert den Zugriff erheblich, da das Passwort allein nicht mehr für die Anmeldung ausreicht.
Welche Möglichkeiten für einen zweiten Faktor gibt es?
Nicht jedes Verfahren bietet dasselbe Sicherheitsniveau.
Authenticator-App
Authenticator-Apps können zeitlich begrenzte Einmalcodes erzeugen oder Anmeldeanfragen bestätigen.
Sie werden häufig als zusätzlicher Faktor für Microsoft 365, Cloud-Dienste und andere Unternehmensanwendungen eingesetzt.
Hardware-Sicherheitsschlüssel
Ein Hardware-Sicherheitsschlüssel ist ein separates physisches Gerät, das zur Authentifizierung verwendet wird.
Moderne Sicherheitsschlüssel können beispielsweise auf Standards wie FIDO2/WebAuthn basieren und einen besonders starken Schutz gegen klassische Phishing-Angriffe ermöglichen.
Push-Bestätigung
Bei einer Push-Authentifizierung erhält der Benutzer eine Anfrage auf seinem registrierten Gerät und muss die Anmeldung bestätigen.
Dabei sollten Unternehmen darauf achten, dass Benutzer nicht einfach jede Anfrage bestätigen. Zusätzliche Mechanismen wie Number Matching können das Risiko unbeabsichtigter Freigaben reduzieren.
SMS-Code
Auch ein per SMS versendeter Einmalcode kann eine zusätzliche Sicherheitsebene darstellen.
SMS-basierte Verfahren haben jedoch Schwächen und sind gegenüber stärkeren Authentifizierungsmethoden wie Authenticator-Apps oder Hardware-Sicherheitsschlüsseln nach Möglichkeit nicht die erste Wahl.
Wenn ein System ausschließlich SMS als zusätzliche Methode unterstützt, kann diese dennoch besser sein als eine reine Anmeldung nur mit Passwort.
Was ist MFA?
Neben 2FA begegnet Unternehmen häufig der Begriff Multi-Faktor-Authentifizierung (MFA).
MFA bedeutet, dass für die Authentifizierung mehrere Faktoren eingesetzt werden.
2FA kann somit als eine Form der Multi-Faktor-Authentifizierung betrachtet werden, bei der konkret zwei unterschiedliche Faktoren verwendet werden.
In Unternehmensumgebungen wird heute häufig allgemein von MFA gesprochen.
Warum ist MFA für Unternehmen besonders wichtig?
Unternehmen verwenden zahlreiche Dienste, die sensible oder geschäftskritische Informationen enthalten.
Dazu gehören beispielsweise:
- Microsoft 365
- E-Mail-Konten
- Cloud-Anwendungen
- VPN-Zugänge
- Administratorkonten
- Buchhaltungssoftware
- CRM- und ERP-Systeme
- Remote-Zugänge
Wird eines dieser Konten kompromittiert, können Angreifer unter Umständen auf E-Mails, Dokumente, Kundendaten oder interne Systeme zugreifen.
Eine zusätzliche Authentifizierungsebene gehört deshalb zu den wichtigsten grundlegenden Schutzmaßnahmen für Benutzerkonten.
Welche Konten sollten besonders geschützt werden?
Idealerweise wird eine starke Mehrfaktor-Authentifizierung überall dort eingesetzt, wo das verwendete System sie unterstützt.
Besonders hohe Priorität sollten jedoch Konten mit weitreichenden Berechtigungen haben.
Dazu zählen:
- Administratoren
- Geschäftsführung
- IT-Mitarbeiter
- Benutzer mit Zugriff auf sensible Unternehmensdaten
- Finanz- und Buchhaltungskonten
- externe Remote-Zugänge
- Cloud-Administratoren
Ein kompromittiertes Administratorkonto kann erheblich größere Auswirkungen haben als ein Benutzerkonto mit stark eingeschränkten Rechten.
MFA allein reicht nicht aus
Auch eine Mehrfaktor-Authentifizierung kann nicht alle Cyberangriffe verhindern.
Sie sollte deshalb immer Teil eines umfassenderen Sicherheitskonzepts sein.
Dazu gehören unter anderem:
- sichere und einzigartige Passwörter
- Passwortmanager
- regelmäßige Sicherheitsupdates
- eingeschränkte Benutzerrechte
- Endpoint Security
- Firewall und Netzwerksicherheit
- Schutz vor Phishing
- regelmäßige Backups
- Security-Awareness der Mitarbeiter
- Überwachung verdächtiger Anmeldeversuche
Besonders wichtig ist, dass Mitarbeiter ungewöhnliche Anmeldeanfragen nicht einfach bestätigen.
Vorsicht bei unerwarteten MFA-Anfragen
Erhält ein Mitarbeiter plötzlich mehrere Authentifizierungsanfragen, obwohl er selbst keine Anmeldung gestartet hat, sollte er diese nicht bestätigen.
Solche Anfragen können darauf hindeuten, dass jemand bereits über die Zugangsdaten verfügt und versucht, den zweiten Faktor zu überwinden.
In diesem Fall sollte die IT-Abteilung informiert und das betroffene Benutzerkonto überprüft werden.
Mitarbeiter sollten deshalb nicht nur wissen, wie sie MFA verwenden, sondern auch verstehen, warum eine Authentifizierungsanfrage erscheint.
Welche Authentifizierung eignet sich für Unternehmen?
Wenn mehrere Möglichkeiten zur Verfügung stehen, sollten Unternehmen möglichst starke und benutzerfreundliche Verfahren wählen.
Moderne Authentifizierungsmethoden wie Authenticator-Apps oder insbesondere phishing-resistente Verfahren mit FIDO2/WebAuthn können gegenüber einfachen SMS-Codes zusätzliche Sicherheitsvorteile bieten.
Welche Methode sinnvoll ist, hängt jedoch von der vorhandenen IT-Infrastruktur, den eingesetzten Anwendungen und den Anforderungen des Unternehmens ab.
Wichtig ist vor allem, dass MFA nicht nur für einzelne Mitarbeiter eingerichtet wird, während kritische Konten weiterhin ausschließlich mit einem Passwort geschützt sind.
Fazit: Zwei Faktoren bieten einen wichtigen zusätzlichen Schutz
Der Unterschied zwischen 2-Stufen- und 2-Faktor-Authentifizierung liegt vor allem darin, wie die Identität eines Benutzers überprüft wird.
Bei einer 2-Stufen-Authentifizierung erfolgt die Anmeldung in mehreren Schritten. Bei einer echten 2-Faktor-Authentifizierung werden dagegen zwei unterschiedliche Arten von Authentifizierungsfaktoren miteinander kombiniert.
Für Unternehmen ist eine starke Mehrfaktor-Authentifizierung heute ein wichtiger Bestandteil der IT-Sicherheit. Besonders E-Mail-Konten, Cloud-Dienste, Administratorzugänge und Remote-Verbindungen sollten entsprechend geschützt werden.
Das Support Center 24 (SC24) unterstützt Unternehmen bei der Absicherung von Benutzerkonten, Microsoft 365, Cloud-Diensten und der gesamten IT-Infrastruktur.
Häufig gestellte Fragen (FAQs)
1. Was ist der Unterschied zwischen 2FA und MFA?
2FA verwendet zwei unterschiedliche Authentifizierungsfaktoren. MFA ist der allgemeinere Begriff für die Verwendung mehrerer Faktoren.
2. Ist eine 2-Stufen-Authentifizierung dasselbe wie 2FA?
Nicht zwingend. Zwei Schritte bedeuten nicht automatisch, dass zwei unterschiedliche Kategorien von Authentifizierungsfaktoren verwendet werden. In der Praxis werden die Begriffe allerdings häufig synonym verwendet.
3. Ist 2FA sicherer als ein Passwort?
Ja, ein zusätzlicher unabhängiger Faktor bietet einen wichtigen zusätzlichen Schutz, weil ein gestohlenes Passwort allein normalerweise nicht für die Anmeldung ausreicht.
4. Ist ein SMS-Code eine 2-Faktor-Authentifizierung?
In Kombination mit einem Passwort kann ein SMS-Code einen zusätzlichen Besitzfaktor darstellen. Es gibt jedoch stärkere Authentifizierungsmethoden, beispielsweise Authenticator-Apps oder geeignete Hardware-Sicherheitsschlüssel.
5. Welche Konten sollten Unternehmen mit MFA schützen?
Möglichst alle geschäftlich relevanten Konten, insbesondere Administrator-, E-Mail-, Cloud-, Finanz- und Remote-Zugänge.
6. Was soll ich tun, wenn ich eine unbekannte MFA-Anfrage erhalte?
Die Anfrage nicht bestätigen und die zuständige IT-Abteilung informieren. Das Benutzerkonto sollte anschließend auf verdächtige Anmeldeversuche überprüft werden.
7. Kann MFA gehackt werden?
Keine Sicherheitsmaßnahme bietet vollständigen Schutz. Bestimmte MFA-Verfahren können beispielsweise durch Phishing oder Social Engineering angegriffen werden. Deshalb sind die Wahl eines geeigneten Verfahrens und zusätzliche Sicherheitsmaßnahmen wichtig.
8. Was ist die sicherste Form der Authentifizierung?
Das hängt vom jeweiligen Einsatzbereich ab. Phishing-resistente Verfahren auf Basis moderner Standards wie FIDO2/WebAuthn bieten für viele Unternehmensanwendungen ein besonders hohes Schutzniveau.