Was ist Zwei-Faktor-Authentifizierung? Ein verständlicher Leitfaden
Zwei-Faktor-Authentifizierung (2FA) ist eine Anmeldung, die zwei verschiedene Arten von Nachweis verlangt, dass Sie diejenige Person sind, für die Sie sich ausgeben: typischerweise etwas, das Sie wissen, etwa ein Passwort, plus etwas, das Sie besitzen, etwa Ihr Telefon oder einen Sicherheitsschlüssel. Wenn ein Krimineller Ihr Passwort stiehlt oder errät, kommt er ohne den zweiten Faktor trotzdem nicht hinein. Es ist eine der einfachsten Methoden, Konten zu schützen, auf die es ankommt.
Warum es beim Bauen mit KI wichtig ist
Wenn Sie einen KI-Baukasten nach „Login“ fragen, bekommen Sie meist E-Mail und Passwort. Das ist ein guter Anfang, aber Passwörter werden wiederverwendet, abgefischt und geleakt. Wenn Ihre App etwas Wertvolles enthält – Kundendaten, Rechnungen, Admin-Funktionen, Zahlungseinstellungen –, könnte ein einziges gestohlenes Passwort alles offenlegen.
2FA beeinflusst außerdem Entscheidungen, die Sie am Anfang vielleicht nicht bedenken:
- Wer muss es nutzen. Optional für alle, Pflicht für Admins oder Pflicht für alle?
- Welche Methoden Sie unterstützen. Codes aus einer App, Textnachrichten, Passkeys, Sicherheitsschlüssel.
- Was passiert, wenn jemand ausgesperrt ist. Verlorene Telefone sind die häufigste Support-Anfrage bei Apps mit 2FA.
- Wo es durchgesetzt wird. Die Prüfung muss auf dem Server stattfinden. Ein 2FA-Bildschirm, der nur im Browser die Seite verbirgt, lässt sich umgehen.
Sie müssen die Kryptografie nicht selbst bauen – gut geprüfte Bibliotheken und Auth-Anbieter übernehmen das. Sie müssen aber wissen, was Sie anfragen sollten.
Ein Alltagsvergleich
Denken Sie an ein Bankschließfach. Um es zu öffnen, brauchen Sie Ihren Ausweis (etwas, das die Bank prüft, was Sie sind oder wissen) und den physischen Schlüssel (etwas, das Sie haben). Ein Dieb, der Ihre Unterschrift kopiert, hat trotzdem keinen Schlüssel. Ein Dieb, der Ihnen den Schlüssel abnimmt, kommt an der Ausweiskontrolle nicht vorbei.
2FA funktioniert genauso. Das Passwort ist die Unterschrift, das Telefon oder der Sicherheitsschlüssel ist der physische Schlüssel. Jedes für sich allein reicht nicht.
Die drei Arten von Faktoren
Sicherheitsstandards, etwa die Richtlinien des US-amerikanischen National Institute of Standards and Technology (NIST) für digitale Identitäten, ordnen Faktoren in drei Arten ein:
| Faktor | Beispiele |
|---|---|
| Etwas, das Sie wissen | Passwort, PIN |
| Etwas, das Sie haben | Telefon mit Authenticator-App, Sicherheitsschlüssel, Gerät mit einem Passkey |
| Etwas, das Sie sind | Fingerabdruck, Gesicht – meist zum Entsperren eines Geräts genutzt, das dann die eigentliche Prüfung durchführt |
Entscheidend ist das Wort verschieden. Ein Passwort plus eine Sicherheitsfrage sind zwei Dinge, die Sie wissen, und damit keine echte Zwei-Faktor-Authentifizierung. Wenn ein einziger Leak beides verrät, zählt es nur als einer.
Die gängigen 2FA-Methoden im Vergleich
| Methode | So funktioniert sie | Stärke | Hinweise |
|---|---|---|---|
| SMS-Code | Ein Code wird an Ihre Telefonnummer geschickt | Am schwächsten | Anfällig für SIM-Swapping und Phishing, aber weit besser als kein 2FA |
| E-Mail-Code | Ein Code wird Ihnen per E-Mail geschickt | Schwach | Nur so sicher wie das E-Mail-Konto |
| Authenticator-App (TOTP) | Eine App wie Google Authenticator erzeugt alle 30 Sekunden einen neuen 6-stelligen Code | Gut | Funktioniert offline; kann dennoch abgefischt werden, wenn eine gefälschte Seite den Code verlangt |
| Push-Bestätigung | Eine App fragt „Bist du das?“ und Sie tippen auf Bestätigen | Gut | Achten Sie auf „Approve-Müdigkeit“, bei der Nutzer ständig Ja tippen, um wiederholte Abfragen loszuwerden |
| Passkey oder Sicherheitsschlüssel | Ein kryptografischer Schlüssel auf dem Gerät beweist, dass Sie auf der echten Seite sind | Am stärksten | Resistent gegen Phishing, weil er auf eine täuschend echte Domain nicht reagiert |
NIST behandelt Verfahren, bei denen man einen Code eintippt (SMS, E-Mail, Authenticator-Apps), als nicht phishing-resistent und stuft den Versand von Codes über das Mobilfunknetz als „eingeschränkt“ ein. Passkeys und Hardware-Sicherheitsschlüssel auf Basis der WebAuthn/FIDO2-Standards gelten als phishing-resistent.
Das praktische Fazit: Eine Authenticator-App ist ein starker, einfacher Standard für die meisten Apps, und Passkeys lohnen sich, wenn Ihre Nutzer damit zurechtkommen.
Ein Beispiel: 2FA für ein Kundenportal
Angenommen, Sie haben ein Portal gebaut, über das eine kleine Steuerkanzlei Steuerunterlagen mit ihren Mandanten teilt. So sieht ein sinnvolles 2FA-Setup Schritt für Schritt aus.
Einschalten (Registrierung). Priya, eine Mandantin, öffnet die Einstellungen und klickt auf „Zwei-Faktor-Authentifizierung einschalten“. Die App erzeugt ein geheimes Schlüsselwort und zeigt es als QR-Code. Sie scannt ihn mit ihrer Authenticator-App, die nun sechsstellige Codes anzeigt. Sie gibt den aktuellen Code im Portal ein, um zu beweisen, dass die Einrichtung funktioniert. Die App zeigt zehn Wiederherstellungscodes und bittet sie, diese sicher aufzubewahren.
Danach anmelden.
- Priya gibt E-Mail und Passwort ein. Der Server prüft beides.
- Statt sie direkt einzuloggen, markiert der Server die Sitzung als „Passwort OK, zweiter Faktor ausstehend“ und zeigt den Code-Bildschirm.
- Sie tippt den Code aus ihrer App ein. Der Server prüft ihn gegen das gespeicherte Geheimnis und toleriert dabei eine kleine Zeitabweichung der Uhren.
- Erst jetzt erstellt der Server eine vollständige Sitzung und lässt sie die Dokumente sehen.
Was ein Angreifer sieht. Wenn Priyas Passwort von einer anderen Seite geleakt wurde, bleibt der Angreifer bei Schritt 3 hängen. Jeder fehlgeschlagene Code-Versuch wird gezählt, und nach mehreren falschen Versuchen wird das Konto vorübergehend gesperrt und Priya erhält eine E-Mail.
Wenn sie ihr Telefon verliert. Priya meldet sich mit einem ihrer Wiederherstellungscodes an, schaltet 2FA aus und mit ihrem neuen Telefon wieder ein und erhält neue Wiederherstellungscodes. Der benutzte Code kann nie wieder verwendet werden.
Für Mitarbeitende. Die Buchhalterinnen der Kanzlei sehen alle Dateien aller Mandanten, daher verlangt das Portal 2FA für Mitarbeiterkonten; sie kommen erst zum Dashboard, wenn sie die Einrichtung abgeschlossen haben.
Häufige Begriffe erklärt
| Begriff | Bedeutung |
|---|---|
| 2FA / MFA | Zwei- bzw. Multi-Faktor-Authentifizierung: Anmeldung mit mehr als einer Art von Nachweis. |
| Faktor | Eine Art von Nachweis: etwas, das Sie wissen, haben oder sind. |
| TOTP | Zeitbasiertes Einmalpasswort – die rotierenden Codes in Authenticator-Apps. |
| Geteiltes Geheimnis | Der verborgene Wert, der per QR-Code eingerichtet wird und mit dem App und Telefon übereinstimmende Codes erzeugen. |
| Wiederherstellungs- (Backup-)Codes | Einmal verwendbare Codes, um sich anzumelden, wenn der zweite Faktor verloren ist. |
| Passkey | Eine auf dem Gerät gespeicherte Anmeldedaten, die statt eines Passworts Public-Key-Kryptografie nutzt. |
| Sicherheitsschlüssel | Ein kleines physisches Gerät (USB oder NFC), das dieselbe Aufgabe wie ein Passkey erfüllt. |
| SIM-Swapping | Einen Mobilfunkanbieter dazu bringen, eine Nummer auf eine neue SIM zu übertragen, sodass Textnachrichten beim Angreifer landen. |
| Phishing | Eine gefälschte Seite oder Nachricht, die Menschen dazu bringt, Passwörter oder Codes herauszugeben. |
| Step-up-Authentifizierung | Den zweiten Faktor erneut verlangen, bevor eine sensible Aktion erfolgt, etwa das Ändern der Auszahlungsdaten. |
Häufige Fehler und Missverständnisse
- „2FA macht ein Konto unhackbar.“ Es macht es deutlich schwerer. Phishing-Seiten können eingegebene Codes in Echtzeit abgreifen, deshalb gibt es Passkeys.
- Den Code nur im Browser prüfen. Wenn der Server nach dem Passwort eine vollständige Sitzung ausstellt, ist der Code-Bildschirm nur Dekoration. Der Server muss den Zugang verweigern, bis der zweite Faktor bestanden ist.
- Keine Begrenzung für Code-Versuche. Ein sechsstelliger Code hat eine Million Möglichkeiten. Ohne Rate Limiting und Sperren kann ein Angreifer einfach weiterraten.
- Die Wiederherstellung vergessen. Ohne Wiederherstellungscodes wird jedes verlorene Telefon zu einem Support-Ticket oder zu einem ausgesperrten Kunden.
- Das TOTP-Geheimnis sorglos speichern. Das geteilte Geheimnis sollte in der Datenbank verschlüsselt sein und nach der Einrichtung nie wieder angezeigt werden.
- Nutzern erlauben, 2FA ohne erneute Prüfung abzuschalten. Das Deaktivieren von 2FA oder das Ändern der E-Mail-Adresse sollte Passwort und einen aktuellen Code verlangen.
- Passwort plus Sicherheitsfrage gilt als 2FA. Tut es nicht – beides sind Dinge, die man weiß.
Was Sie Ihren KI-Baukasten fragen sollten
- „Füge optionale Zwei-Faktor-Authentifizierung mit einer Authenticator-App (TOTP) hinzu, mit QR-Code für die Einrichtung und einer Bestätigung mit Code, bevor sie eingeschaltet wird.“
- „Zeige zehn einmalig verwendbare Wiederherstellungscodes, wenn 2FA aktiviert wird. Speichere sie gehasht, wie Passwörter.“
- „Erzwinge 2FA auf dem Server: keine vollständige Sitzung, bevor der zweite Faktor bestanden ist.“
- „Begrenze die Code-Versuche und sperre den Login nach mehreren Fehlversuchen für 15 Minuten. Schick dem Nutzer dabei eine E-Mail.“
- „Verlange 2FA für Admin-Konten.“
- „Verlange Passwort und einen aktuellen Code, bevor 2FA deaktiviert oder die Konto-E-Mail geändert wird.“
- „Nutze eine bekannte Bibliothek oder die integrierte 2FA unseres Auth-Anbieters – schreib die Kryptografie nicht selbst.“
- „Erkläre, welche Methode du verwendet hast und wo die Geheimnisse gespeichert sind.“
Wenn Sie einen gehosteten Auth-Anbieter nutzen, prüfen Sie, ob er bereits 2FA oder Passkeys anbietet. Eine eingebaute Funktion einzuschalten ist meist sicherer als eigener Code. Die Schritt-für-Schritt-Anleitung finden Sie unter wie Sie Zwei-Faktor-Authentifizierung hinzufügen, und was Authentifizierung ist erklärt die Grundlagen der Anmeldung darunter.
Zwei-Faktor-Authentifizierung in Mythex
Mythex enthält kein eingebautes Anmeldesystem für die Nutzer Ihrer App. 2FA ist deshalb Teil des Auth-Ansatzes, den Sie wählen: entweder ein eigenes Login mit E-Mail und Passwort, gestützt auf die Datenbank des Projekts, oder ein gehosteter Anbieter, der 2FA bietet. Sie bitten den Agenten im Chat, es hinzuzufügen, und alle Anbieter-Schlüssel landen in den Projekt-Geheimnissen statt im Chat selbst. Das Dokumentations-Rezept zu Anmeldung in Ihre App einbauen enthält einen Start-Prompt zum Anpassen, und Sicherheit für Apps, die Sie bauen beschreibt die Gewohnheiten rund um Schlüssel. Gehen Sie vor dem Start die Sicherheits-Checkliste für mit KI gebaute Apps durch.
Fragen
Was ist Zwei-Faktor-Authentifizierung, einfach erklärt?
Zwei-Faktor-Authentifizierung (2FA) bedeutet, dass die Anmeldung zwei verschiedene Arten von Nachweisen verlangt, meist Ihr Passwort plus einen Code von Ihrem Telefon oder einem Sicherheitsschlüssel. Wer nur Ihr Passwort stiehlt, kommt trotzdem nicht hinein.
Ist 2FA dasselbe wie MFA?
Fast. Multi-Faktor-Authentifizierung (MFA) bedeutet zwei oder mehr Faktoren; Zwei-Faktor-Authentifizierung ist der häufigste Fall mit genau zwei. Im Alltag werden die Begriffe meist synonym verwendet.
Ist SMS-Zwei-Faktor-Authentifizierung sicher?
Sie ist deutlich besser als ein Passwort allein, aber die schwächste gängige Option. Textnachrichten können abgefangen oder durch SIM-Swapping umgeleitet werden, und eine gefälschte Login-Seite kann Menschen dazu bringen, den Code einzugeben. Authenticator-Apps sind stärker, und Passkeys oder Sicherheitsschlüssel sind noch stärker.
Braucht meine App Zwei-Faktor-Authentifizierung?
Wenn Konten Geld, private Daten oder Admin-Rechte über andere Nutzer enthalten, ist 2FA eine gute Idee, und die Pflicht für Admins ist üblich. Bei einer einfachen Hobby-App kann sie optional sein oder später kommen.
Was passiert, wenn ein Nutzer sein Telefon verliert?
Dafür gibt es Wiederherstellungscodes: eine kurze Liste einmaliger Backup-Codes, die beim Einschalten von 2FA angezeigt wird. Ohne sie bedeutet Wiederherstellung meist eine manuelle Identitätsprüfung durch den Betreiber der App. Planen Sie das daher vor dem Start.