Zwei-Faktor-Authentifizierung

Eine allgemeine gesetzliche Pflicht zur Zwei-Faktor-Authentifizierung gibt es in Deutschland nicht, eine sektorbezogene schon. Das NIS-2-Umsetzungsgesetz ist im Dezember 2025 in Kraft getreten und verlangt in § 30 Absatz 2 Satz 2 Nummer 10 BSIG Lösungen zur Multi-Faktor-Authentifizierung – für wichtige Einrichtungen ab 50 Beschäftigten in den dort benannten Sektoren wie Energie, Verkehr oder Gesundheit. Ein kleiner Handwerks- oder Handelsbetrieb unterliegt dieser Pflicht in der Regel nicht.

Echtzeit-Phishing hält die Zwei-Faktor-Authentifizierung nicht auf. Eine nachgebaute Anmeldeseite leitet Passwort und Code sofort an den echten Dienst weiter und fängt danach das Sitzungs-Cookie ab – der zweite Faktor wurde korrekt geprüft, der Angreifer sitzt trotzdem in der Sitzung. Eine Untersuchung von Google mit zwei Universitäten bezifferte das im Mai 2019: Bei gezieltem Phishing blockierte ein SMS-Code 76 Prozent der Übernahmen, eine Abfrage auf dem Gerät 90 Prozent, ein Sicherheitsschlüssel 100 Prozent.

Ein Code der Zwei-Faktor-Authentifizierung gilt standardmäßig 30 Sekunden. Der Algorithmus dahinter ist in RFC 6238 vom Mai 2011 beschrieben; dort ist der Zeitschritt mit 30 Sekunden voreingestellt, und Prüfsysteme akzeptieren üblicherweise zusätzlich den vorangegangenen Schritt, sodass ein Code praktisch bis zu 60 Sekunden trägt. Daraus folgt eine unscheinbare Fehlerquelle: Weicht die Uhr des Geräts um mehr als eine Minute ab, werden gültige Codes abgewiesen.

Das E-Mail-Postfach bekommt den zweiten Faktor zuerst, danach Domain- und DNS-Verwaltung, dann der Hosting-Zugang und erst zuletzt die Redaktion des Redaktionssystems. Die Reihenfolge folgt einer Regel: Wer das Postfach übernimmt, braucht die übrigen Passwörter nicht, weil jede Nachricht zum Zurücksetzen dort ankommt. Ein zweiter Faktor am Redaktionssystem nützt wenig, solange die Adresse ungeschützt bleibt, über die er sich abschalten lässt.

Zwei Passwörter zählen nicht als Zwei-Faktor-Authentifizierung, denn beide sind Nachweise aus derselben Kategorie Wissen – wer das eine abgefischt hat, fischt meist auch das zweite ab. Als zwei Faktoren gilt eine Anmeldung erst, wenn die Nachweise aus verschiedenen Kategorien stammen: Wissen, Besitz und Eigenschaft – also Passwort plus Gerät oder Passwort plus Fingerabdruck. Dieselbe Prüfung fällt für Sicherheitsfragen und die Geburtsdatum-Abfrage am Telefon negativ aus; beide zählen als Wissen.