Hannover. Immer mehr Online-Unternehmen bieten Nutzern die sogenannte "Zwei-Faktor-Authentifizierung" (2FA) an. Internationale Unternehmen wie Facebook, Apple, Twitter oder Amazon ermöglichen 2FA bereits seit längerem. Neben dem Passwort verlangen die Dienste ein zweites Element zur Identifikation der Nutzer. Das System soll für mehr Sicherheit im Netz sorgen, sensible Daten schützen und vor Identitätsdiebstahl bewahren. Wenn zum Beispiel ein Nutzer online einen Einkauf tätigt, soll sichergestellt sein, dass diese Person tatsächlich dazu berechtigt ist.

Wie funktioniert der Login mit einem zweiten Faktor?

Die Authentifizierung durch mehrere Faktoren gibt es in zahlreichen Varianten. Je nach Anbieter und Unternehmen funktioniert sie unterschiedlich. Mit einem einfachen Passwort ist es bei allen 2FA-Systemen nicht mehr getan. Wie der Name bereits vermuten lässt, müssen Nutzer sich stattdessen zusätzlich beziehungsweise alternativ zu ihrem Passwort über einen weiteren Faktor identifizieren.

In der Regel läuft die Authentifizierung durch mehrere Faktoren zunächst wie bei einem normalen Anmeldevorgang ab. Der Nutzer gibt sein Passwort ein und dieses wird vom System überprüft. Ist das Passwort verifiziert, gelangt der Nutzer dann allerdings nicht direkt zu seinem gewünschten Inhalt, sondern stößt auf eine weitere Schranke. So wird verhindert, dass unbefugte Dritte auf sensible Daten zugreifen können, selbst wenn sie an das Passwort gelangt sind.

Lesen Sie auch: Hacker findet Sicherheitslücke in iPhones – und Apple kann sie nicht beheben

Code, Chipkarte oder Fingerabdruck: Das sind mögliche zweite Faktoren

Im Optimalfall verfügt der Nutzer neben dem Anmeldenamen und Passwort als sogenanntes Wissenselement auch über ein Besitzelement. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) kommt für diesen zweiten Faktor häufig ein externes System zum Einsatz. Das kann zum Beispiel ein Smartphone sein, an das der Anbieter einen Bestätigungscode sendet.

Zu den bekanntesten Varianten gehört der Versand eines sechsstelligen Codes per SMS auf das Handy. Alternativ gibt es Code-Generatoren-Apps, die auf dem Smartphone installiert werden können, erklärt Christoph Meinel, Direktor des Hasso-Plattner-Instituts in Potsdam. Der individuelle Code kann beliebig oft angefordert werden und ist jeweils nur einmalig gültig. Bei dem Besitzelement kann es sich aber auch zum Beispiel um einen Schlüssel oder eine Chipkarte handeln. Möglich ist auch ein biometrisches Element wie der Fingerabdruck. Wichtig ist, dass die beiden Faktoren zu unterschiedlichen Kategorien gehören.

Das könnte Sie auch interessieren: Patientendaten offen im Netz: Wieso sind sensible Daten oft so schlecht gesichert?

System schützt Daten in verschiedenen Bereichen

Angewendet wird die Zwei-Faktor-Authentifizierung in vielen unterschiedlichen Bereichen. Bei manchen Anbietern ist 2FA sogar Pflicht. Häufig kommt sie zum Einsatz, wenn es um Geld geht, wie zum Beispiel beim Online-Banking oder bei der Zahlung mit Debit-oder Kreditkarte im Internet. Auch Anbieter im Gesundheitswesen ermöglichen ihren Nutzern teilweise, ihre in einer App oder dem Benutzerkonten gespeicherten Daten über die doppelte Authentifizierung schützen. Die Online-Ausweisfunktion des Personalausweises verfügt ebenfalls über Zwei-Faktor-Authentifizierung. Darüber hinaus bieten auch die meisten gängigen sozialen Netzwerke wie Twitter, Instagram und Facebook die Zwei-Faktor-Authentifizierung an.

F2A ist häufig standardmäßig deaktiviert

Das BSI rät, eine Zwei-Faktor-Authentifizierung immer anzuwenden, sobald ein Online-Dienst dies ermöglicht. Damit dauert die Anmeldung zwar ein wenig länger, die persönlichen Daten sind jedoch deutlich besser geschützt. Nicht immer lässt sich auf den ersten Blick erkennen, ob ein Dienst die Funktion anbietet. Viele Dienste verfügen zwar über die Funktion, haben diese aber standardmäßig deaktiviert. Meistens versteckt sie sich in Kategorien mit Titeln wie "Erweiterte Sicherheitseinstellungen" (Amazon) oder "Sicherheit und Login" (Facebook). Auf der Website "Twofactorauth" können Nutzer einfach nachschauen, welche Dienste die Zwei-Faktor-Authentifizierung anbieten.

Auch interessant: Datenschützer für mehr Klarheit: Wann sind anonymisierten Daten wirklich anonym?

Zwei-Faktor-Authentifizierung: so funktioniert's bei Facebook, WhatsApp und Co.

Facebook: Bei Facebook können Nutzer die zweistufige Authentifizierung in den Einstellungen zum Schutz ihres Kontos einrichten. Das funktioniert entweder über SMS-Codes oder über Anmeldecodes von der Authentifizierungs-App eines Drittanbieters.

So geht':

• In den Einstellungen auf "Sicherheit und Login" klicken.
• Bei "Zweistufige Authentifizierung verwenden" auf "Bearbeiten" klicken.
• Die Authentifizierungsmethode wählen und und die Anweisungen auf dem Bildschirm befolgen.
• Auf "Aktivieren" klicken.

Zum Thema: Facebook startet automatische Gesichtserkennung

Instagram: Wie Facebook bietet auch Instagram verschiedene Möglichkeiten der zweistufigen Authentifizierung. Dazu ist es notwendig, das Instagram-Konto mit einer Handynummer zu verknüpfen.

So geht's:

• In den Einstellungen auf „Zweistufige Authentifizierung“ klicken.
• „Sicherheitscode anfordern“ umlegen. Instagram sendet nun eine Bestätigungs-SMS an die bereits hinterlegte Handynummer.
• Den Code in dieser SMS in der Instagram App eingeben.
• Nach erfolgreicher Aktivierung der zweistufigen Authentifizierung zeigt Instagram zusätzlich 6 Zugangscodes an, die Nutzer verwenden können, wenn sie keine Möglichkeit zum Empfang einer SMS haben.

Twitter: Auch bei Twitter muss eine Telefonnummer mit dem Konto verbunden sein, um die Anmeldebestätigung zu verwenden.

So geht's:

• Im oberen Menü auf das Profil-Symbol und dann auf "Einstellungen und Datenschutz" klicken.
• Auf die "Account-Einstellungen" und dann auf "Anmeldebestätigung einrichten" klicken.
• Das Passwort eingeben und auf "Verifizieren" klicken. Twitter sendet eine SMS an die hinterlegte Nummer.
• Den Verifizierungscode aus der SMS eingeben.
• Unter "Sicherheitscode abrufen" können Nutzer sich einen Code anzeigen lassen, der von Twitter erzeugt wurde. Auf diesen können sie zugreifen, wenn sie keine Möglichkeit zum Empfang einer SMS haben.

WhatsApp: Auch via WhatsApp lassen sich Zwei-Faktor-Authentifizierungen vornehmen. Wenn diese Funktion aktiviert ist, muss bei jeder neuen Verknüpfung von WhatsApp mit der Telefonnummer ein selbst festgelegter sechsstelliger Code eingegeben werden. Damit Nutzer ihren Code nicht vergessen, fragt WhatsApp diesen regelmäßig ab.

So geht's:

• In der App die Einstellungen öffnen und unter "Account" auf "Verifizierung in zwei Schritten" klicken.
• Auf "Aktivieren" klicken.
• Eine sechsstellige Pin festlegen.
• Nutzer können dabei auch zusätzlich ihre E-Mail Adresse angeben. Falls sie ihren sechsstelligen Code vergessen, schickt WhatsApp einen Link, um die Zwei-Faktor-Authentifizierung zu deaktivieren.

RND/dpa/Luisa Ziegler