Ob beim Lesen von E-Mails, beim Onlineeinkauf oder bei Bankgeschäften: Digitale Konten gehören für viele Menschen zum Alltag. Der Zugang erfolgt meist über eine Kombination aus Zugangsdaten und weiteren Sicherheitsmerkmalen. Welche Verfahren dabei zum Einsatz kommen, unterscheidet sich je nach Dienst. Neben dem klassischen Passwort stehen inzwischen zusätzliche Bestätigungsmöglichkeiten und neuere Anmeldeverfahren zur Verfügung. Sie verfolgen dasselbe Ziel: den Zugriff auf persönliche Konten auf berechtigte Nutzer zu beschränken. Doch worin unterscheiden sich die einzelnen Methoden, und welche Kombination bietet einen angemessenen Schutz?
Anbieter und Nutzer in der Pflicht
E-Mail-Postfächer, Kundenkonten, soziale Netzwerke, Bezahldienste und Zugänge zu öffentlichen Verwaltungsangeboten: Die Zahl digitaler Konten kann im Alltag schnell wachsen. Besonders schützenswert sind auch Zugänge zu Finanzdienstleistern, Krypto-Handelsplattformen oder auch für ein seriöses Online Casino mit deutscher Lizenz. Für Anbieter in diesen Bereichen, wie im regulierten iGaming zum Beispiel Novoline, gelten besondere gesetzliche Pflichten, darunter Vorgaben zur Identifizierung von Kunden und zur Prävention von Geldwäsche.
KYC steht für Know Your Customer und bezeichnet die Überprüfung der Kundenidentität. Das Geldwäschegesetz verpflichtet bestimmte Anbieter zu entsprechenden Sorgfaltsmaßnahmen. Welche Pflichten konkret gelten, hängt vom jeweiligen Geschäftsmodell und den gesetzlichen Vorgaben ab. Die Identitätsprüfung ist jedoch nicht mit der Authentifizierung beim späteren Login gleichzusetzen: KYC dient der Feststellung der Kundenidentität, während die Authentifizierung sicherstellen soll, dass nur Berechtigte auf ein Konto zugreifen.
Für die Sicherheit sind Anbieter und Nutzer gleichermaßen gefragt. Dienste können sichere Anmeldeverfahren bereitstellen, auffällige Zugriffe erkennen und geschützte Wege zur Kontowiederherstellung anbieten. Nutzer sollten individuelle Passwörter verwenden, zusätzliche Schutzfunktionen aktivieren und Anmeldeanfragen sorgfältig prüfen.
Drei Faktoren, drei Prinzipien
Bei der Authentifizierung werden drei grundlegende Kategorien unterschieden. Zur ersten gehört Wissen, etwa ein Passwort oder eine PIN. Die zweite umfasst den Besitz eines registrierten Geräts oder eines Sicherheitsschlüssels. Die dritte beruht auf biometrischen Merkmalen wie einem Fingerabdruck oder der Gesichtserkennung.
Eine Anmeldung mit mehreren Schritten ist nicht automatisch eine Mehr-Faktor-Authentifizierung. Werden beispielsweise zwei Passwörter abgefragt, stammen beide Nachweise aus derselben Kategorie. Erst die Kombination unterschiedlicher Faktoren erfüllt das Grundprinzip der Zwei-Faktor-Authentifizierung.
Bei biometrischen Verfahren kommt es auf die technische Umsetzung an. Ein Fingerabdruck kann etwa dazu dienen, ein Gerät zu entsperren oder die Verwendung eines darauf gespeicherten kryptografischen Schlüssels freizugeben. Daraus folgt nicht automatisch, dass der entfernte Onlinedienst drei eigenständige Faktoren abfragt.
Aus diesen Kategorien ergibt sich das Prinzip der Mehr-Faktor-Authentifizierung. Wie groß der zusätzliche Schutz ausfällt, hängt davon ab, welche Nachweise miteinander kombiniert werden.
Was der zweite Faktor bringt
Bei einer Zwei-Faktor-Authentifizierung muss neben dem ersten Nachweis ein weiteres, unabhängiges Merkmal erbracht werden. Das kann beispielsweise ein zeitlich begrenzter Code aus einer Authenticator-App sein. Auch SMS-Codes, Bestätigungen über registrierte Geräte und physische Sicherheitsschlüssel kommen zum Einsatz.
Der Vorteil zeigt sich, wenn ein Passwort bereits bekannt geworden ist: Ohne den zusätzlich verlangten Nachweis kann ein Angreifer möglicherweise nicht auf das Konto zugreifen. Vollständig verhindern lässt sich ein Missbrauch dadurch jedoch nicht. Auf gefälschten Webseiten eingegebene Einmalcodes können beispielsweise in Echtzeit abgefangen und weiterverwendet werden. SMS-basierte Verfahren sind zudem unter anderem durch die Übernahme einer Rufnummer angreifbar.
Deshalb ist nicht allein entscheidend, ob ein zweiter Faktor vorhanden ist. Auch seine technische Ausgestaltung beeinflusst, wie gut er vor bestimmten Angriffen schützt.
Neben der Kombination klassischer Faktoren gibt es inzwischen Verfahren, die auf eine andere technische Grundlage setzen. Dazu gehören Passkeys, die eine Anmeldung ohne die Eingabe eines herkömmlichen Passworts ermöglichen.
Passkeys statt Passwörter
Passkeys ermöglichen eine Anmeldung ohne klassisches Passwort. Sie beruhen auf einem kryptografischen Schlüsselpaar: Der Dienst speichert den öffentlichen Schlüssel, während der private Schlüssel für den Anmeldenachweis benötigt wird. Die Freigabe kann lokal über einen Fingerabdruck, die Gesichtserkennung oder eine Geräte-PIN erfolgen.
Ein wesentlicher Vorteil ist die Bindung des Verfahrens an den jeweiligen Dienst. Dadurch sind Passkeys gegen typische Phishing-Angriffe besonders widerstandsfähig: Ein auf einer gefälschten Webseite erlangter Anmeldenachweis lässt sich nicht einfach beim eigentlichen Anbieter verwenden. Dennoch sind auch hier Vorkehrungen gegen Geräteverlust und unsichere Wiederherstellungsverfahren nötig. Die lokale Freigabe per Biometrie ist dabei nicht automatisch ein zusätzlicher Faktor gegenüber dem Dienst, sondern ermöglicht häufig erst die Verwendung des Schlüssels.
Welche Konten besonderen Schutz brauchen
Nicht nur Konten mit direktem Geldbezug sind schützenswert. Ein kompromittiertes E-Mail-Postfach kann Angreifern ermöglichen, Passwörter anderer Dienste zurückzusetzen. Bei Shoppingkonten können gespeicherte Adressen und Bestellinformationen betroffen sein; soziale Netzwerke enthalten private Nachrichten und persönliche Angaben.
Bei Onlinebanking und elektronischen Zahlungen können unbefugte Zugriffe finanzielle Folgen haben. Für bestimmte Zugriffe und Zahlungsvorgänge schreibt das Zahlungsdiensterecht eine starke Kundenauthentifizierung vor, die auf mindestens zwei voneinander unabhängigen Elementen beruht.
Welche Schutzmaßnahmen angemessen sind, richtet sich daher sowohl nach dem jeweiligen Konto als auch nach den möglichen Folgen eines Missbrauchs. Aus dem jeweiligen Schutzbedarf lassen sich konkrete Maßnahmen ableiten. Dabei kommt es nicht nur auf die Wahl des Anmeldeverfahrens an, sondern auch darauf, wie Zugangsdaten verwaltet und Konten im Notfall wiederhergestellt werden.
So lässt sich der Login absichern
Für jeden Dienst sollte ein eigenes, ausreichend starkes Passwort verwendet werden. Ein Passwortmanager erleichtert die Verwaltung unterschiedlicher Zugangsdaten. Wo ein zusätzlicher Faktor angeboten wird, sollte die Funktion aktiviert werden. Unterstützt ein Dienst Passkeys oder geeignete Sicherheitsschlüssel, können diese insbesondere gegen Phishing einen Vorteil bieten.
Auch die Wiederherstellung verdient Aufmerksamkeit: Ersatzcodes sollten sicher aufbewahrt und hinterlegte Kontaktmöglichkeiten aktuell gehalten werden. Betriebssysteme, Browser und Apps müssen regelmäßig aktualisiert werden, damit bekannte Sicherheitslücken nicht unnötig lange offenbleiben. Unerwartete Anmeldebestätigungen sollten Nutzer kritisch prüfen und unbekannte Freigabeanfragen ablehnen. Besteht der Verdacht, dass ein Konto kompromittiert wurde, empfiehlt es sich, die Zugangsdaten zu ändern und aktive Sitzungen zu überprüfen.
Die verfügbaren Möglichkeiten unterscheiden sich allerdings in ihrer Schutzwirkung und ihrem Aufwand. Eine pauschale Empfehlung für sämtliche Konten greift deshalb zu kurz.
Wie viele Faktoren sind sinnvoll?
Eine für alle Konten gleichermaßen optimale Anzahl gibt es nicht. Einzigartige Passwörter bilden eine wichtige Grundlage; ein zweiter Faktor kann zusätzlichen Schutz bieten. Besonders interessant sind phishing-resistente Verfahren wie Passkeys, sofern der jeweilige Dienst sie unterstützt. Entscheidend ist nicht, möglichst viele Abfragen zu durchlaufen, sondern ein Verfahren zu wählen, das zum Schutzbedarf passt. Sichere Technik seitens der Anbieter und ein sorgfältiger Umgang mit den eigenen Zugangsdaten ergänzen sich dabei.
