MFA / 2FA

Entstehung und Beteiligte

Mehrfaktor-Authentifizierung hat keinen einzelnen Erfinder. Sie entwickelte sich aus Bankkarten, Einmalpasswörtern, Hardwaretoken und kryptografischer Anmeldung. Frühe kommerzielle Token kamen in den 1980er-Jahren; Standards wie HOTP, TOTP, FIDO U2F und WebAuthn folgten.

Welches Problem sollte gelöst werden?

Ein Passwort ist kopierbar, wiederverwendbar und kann erraten oder gestohlen werden. Ein zweiter, unabhängiger Faktor soll verhindern, dass ein einzelnes kompromittiertes Geheimnis zur Kontoübernahme reicht.

Technische Hürden und Lösungen

Faktoren müssen wirklich unabhängig sein. SMS kann abgefangen, Push-Bestätigung ermüdet und Wiederherstellung missbraucht werden. Phishing-resistente Verfahren binden die Anmeldung kryptografisch an die echte Domain. Nutzerfreundlichkeit und Notfallzugang bleiben zentrale Aufgaben.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• Faktoren sind Wissen, Besitz und biometrische Eigenschaft.
• Zwei Passwörter sind nicht automatisch zwei Faktoren.
• TOTP wurde 2011 als RFC 6238 standardisiert.
• FIDO2/WebAuthn kann passwortlose und phishing-resistente Anmeldung ermöglichen.

Was ist MFA?

Multi-Faktor-Authentifizierung (MFA) bzw. Zwei-Faktor-Authentifizierung (2FA) erhöht die Sicherheit von Logins durch die Kombination von mindestens zwei verschiedenen Faktorkategorien: Wissen (Passwort), Besitz (Smartphone/Token) und Sein (Biometrie).

Selbst wenn ein Angreifer das Passwort kennt, kann er sich ohne den zweiten Faktor nicht einloggen. MFA ist eine der effektivsten Maßnahmen gegen Phishing und Credential-Stuffing-Angriffe.

TOTP und FIDO2

Time-based One-Time Passwords (TOTP, RFC 6238) generieren alle 30 Sekunden einen neuen 6-stelligen Code auf Basis eines gemeinsamen Geheimnisses und der aktuellen Zeit. Apps: Google Authenticator, Authy, Microsoft Authenticator.

FIDO2/WebAuthn ist der modernste Standard: Ein Hardware-Schlüssel (YubiKey) oder das Gerät selbst (Fingerabdruck, Windows Hello) führt eine Challenge-Response durch. Phishing-resistent, da an die Domain gebunden. Passkeys basieren auf FIDO2.

Schwachstellen und Best Practices

SMS-basierte 2FA ist die schwächste Form: SIM-Swapping-Angriffe können SMS abfangen. TOTP ist deutlich sicherer. FIDO2 ist phishing-resistent – die sicherste verfügbare Methode.

Best Practice: Backup-Codes sicher aufbewahren (falls Gerät verloren), MFA für alle privilegierten Accounts und externen Dienste aktivieren, vorzugsweise Hardware-Tokens für Admin-Accounts nutzen.