Erklärung
Faktoren sind Wissen (Passwort), Besitz (Gerät, Sicherheitsschlüssel) und Merkmal (Fingerabdruck, Gesicht). Werden mindestens zwei verschiedene Arten kombiniert, spricht man von Zwei-Faktor-Authentifizierung, bei mehr von Multi-Faktor-Authentifizierung (MFA). Ein gestohlenes Passwort allein genügt dann nicht mehr für den Zugriff.
Die Verfahren unterscheiden sich im Schutzniveau. Per SMS verschickte Codes und Einmalcodes aus Apps sind besser als kein zweiter Faktor, können aber durch Phishing oder durch das Abgreifen von Codes in Echtzeit umgangen werden. Bestätigungen per Push-Nachricht können durch wiederholte Anfragen erschlichen werden („MFA-Fatigue“). Phishing-resistente Verfahren wie Sicherheitsschlüssel und Passkeys binden die Anmeldung an die echte Website und sind gegen viele dieser Angriffe widerstandsfähiger.
Eine Aussage wie „wir haben MFA, also kann nichts passieren“ greift deshalb zu kurz. MFA reduziert das Risiko erheblich, beseitigt es aber nicht.
Typisches Beispiel (schematisch)
Ein Angreifer kennt das Passwort eines Mitarbeiters, scheitert aber am zweiten Faktor. Er löst daraufhin wiederholt Bestätigungsanfragen aus, bis jemand genervt zustimmt. Eine Anmeldung mit Sicherheitsschlüssel wäre so nicht möglich.
Bedeutung für Forensik und Ermittlungen
Anmeldeprotokolle zeigen, welcher Faktor genutzt wurde, ob ungewöhnlich viele Anfragen erfolgten und wann neue Geräte registriert wurden. Das hilft, den Zeitpunkt eines Zugriffs einzugrenzen (Account Takeover).
Erkennung und Prävention
MFA für alle Konten, bevorzugt phishing-resistent, mit gesicherten Wiederherstellungswegen und Meldeverfahren bei unerwarteten Anfragen.
Auch gesucht als 2FA, MFA, Multi-Faktor-Authentifizierung, Mehr-Faktor-Authentifizierung, Zwei-Faktor-Authentisierung, Two-Factor Authentication, Multi-Factor Authentication, Mehrfaktor-Anmeldung