Was ist eine Zwei-Faktor-Anmeldung und wo lohnt sie sich?

Wie funktioniert die Zwei-Faktor-Anmeldung?

Bei der Anmeldung verlangt der Dienst neben dem Passwort einen zweiten Nachweis. Wer nur Ihr Passwort erbeutet hat, kommt damit nicht in das Konto. Die beiden Nachweise müssen aus verschiedenen Arten stammen. Das BSI unterscheidet drei Arten.

• Wissen: Sie kennen ein Passwort oder eine PIN.
• Besitz: Sie haben ein Gerät, etwa ein Handy mit einer Authenticator-App, eine Chipkarte oder einen TAN-Generator.
• Biometrie: Ein Merkmal wie Ihr Fingerabdruck bestätigt die Anmeldung.

Welche Verfahren gibt es?

Ein zweiter Faktor erhöht die Sicherheit grundsätzlich. Ein hohes Maß an Sicherheit bieten nach dem BSI vor allem Verfahren mit eigener Hardware, etwa ein Sicherheitsschlüssel.

• Authenticator-App: Eine App auf dem Handy erzeugt einen Code, der nur kurz gilt, oder fragt nach einer Bestätigung.
• Sicherheitsschlüssel: Ein kleiner Schlüssel für den USB-Anschluss oder per NFC bestätigt die Anmeldung. Er lässt sich nicht kopieren.
• SMS: Der Code kommt per Kurznachricht. Das Verfahren ist verbreitet. Der Code sollte aber nicht auf demselben Gerät ankommen, mit dem Sie sich anmelden.
• Passkey: Er ersetzt das Passwort ganz. Sie bestätigen die Anmeldung mit Fingerabdruck, Gesicht oder PIN am Gerät. Auf einer gefälschten Seite funktioniert ein Passkey nicht.

Welche Konten brauchen zuerst einen zweiten Faktor?

Beginnen Sie mit den Konten, über die sich am meisten erreichen lässt. Das BSI nennt Konten mit weitreichenden Rechten wie E-Mail, dazu Online-Banking.

• Das E-Mail-Postfach kommt zuerst. Über die Adresse lassen sich die Passwörter anderer Konten zurücksetzen.
• Danach folgen Online-Banking und Zahlungsdienste.
• Administratorkonten, mit denen Benutzer, Postfächer und Einstellungen verwaltet werden, brauchen ihn ebenfalls. Microsoft verlangt ihn in seinen Sicherheitsstandards von Administratoren bei jeder Anmeldung.

Wie schalten Sie den zweiten Faktor bei Microsoft 365 ein?

Arbeitet Ihr Betrieb mit Microsoft 365, gibt es dafür die Sicherheitsstandards in Microsoft Entra ID. Sie kosten nichts zusätzlich und sind in neuen Umgebungen schon eingeschaltet. In älteren Umgebungen schaltet sie ein Administrator ein.

Danach muss sich jeder Benutzer mit der App Microsoft Authenticator registrieren. Bei der Anmeldung zeigt der Bildschirm eine Zahl, die Sie in der App eingeben. Das schützt davor, eine fremde Anfrage aus Versehen zu bestätigen. Informieren Sie das Team vorher, damit die Umstellung niemanden überrascht.

Was tun Sie, wenn das Handy verloren geht?

Ist der zweite Faktor verloren oder defekt, kommen Sie in der Regel nicht mehr in das Konto. Das BSI empfiehlt deshalb, mehrere zweite Faktoren zu hinterlegen, etwa einen weiteren Sicherheitsschlüssel oder eine zweite App. Viele Dienste bieten bei der Einrichtung außerdem Wiederherstellungscodes an. Drucken Sie diese aus und bewahren Sie sie verschlossen auf.

Ist das Handy weg, gehen Sie so vor.

1. Melden Sie sich mit dem Reservefaktor oder einem Wiederherstellungscode an.
2. Entfernen Sie das verlorene Handy in den Sicherheitseinstellungen des Kontos und richten Sie den Faktor auf dem neuen Gerät ein.
3. Bei Microsoft 365 kann ein Administrator die bisherigen Methoden löschen, eine neue Registrierung verlangen und alle aktiven Sitzungen widerrufen.
4. Fehlt jeder Zugang, hilft nur der Anbieter. Er prüft Ihre Identität auf anderem Weg.
5. Wurde das Handy gestohlen, lassen Sie auch die SIM-Karte bei Ihrem Mobilfunkanbieter sperren.

Wobei hilft ServerCrowd?

Wir richten Benutzerverwaltung, Passwortverwaltung und Fernzugriff in Ihrem Betrieb ein. Abgerechnet wird nach Aufwand, auf Wunsch über einen Servicevertrag mit festem Monatspreis je Gerät.

Ihr eigenes Konto im ServerCrowd Portal schützen Sie unter „Mein Konto“ mit einer Zwei-Faktor-Anmeldung über eine Authenticator-App.

IT-Service ansehen