MFA: Der zweite Faktor, der vor den Folgen eines Passwortdiebstahls schützt

Die Multi-Faktor-Authentifizierung (MFA) verlangt zusätzlich zu Ihrem Passwort einen zweiten Nachweis. Stellen Sie sich dies wie ein Doppelschloss vor: Das Passwort ist etwas, das Sie wissen, und der zweite Faktor ist etwas, das Sie besitzen, etwa ein Telefon, das einen Code generiert, oder ein Hardwareschlüssel, oder etwas, das Sie sind, etwa Ihr Fingerabdruck. Ohne MFA verschafft ein gestohlenes Passwort einem Angreifer vollständigen Zugang. Mit MFA benötigt er zusätzlich diesen zweiten Faktor, der wesentlich schwerer zu stehlen ist. Ein Einmalcode aus einer Authentifizierungs-App ist beispielsweise weitaus sicherer als ein SMS-Code, der durch SIM-Swapping abgefangen werden kann.

Achten Sie in Prüfungsfragen auf die Falle, alle Formen von MFA als gleich sicher darzustellen. SMS-Codes sind besser als nichts, aber anfällig für Phishing- und SIM-Swapping-Angriffe. Hardwareschlüssel wie YubiKey oder biometrische Prüfungen sind phishingresistent und gelten als am sichersten. Ein weiterer Trick: MFA verhindert keinen Passwortdiebstahl, sondern begrenzt dessen Folgen. Fragt eine Aufgabe nach der sichersten Methode, wählen Sie diejenige, die nicht durch Phishing umgangen werden kann. Denken Sie außerdem daran, dass MFA nicht dasselbe ist wie eine zweistufige Verifizierung; bei Letzterer wird häufig zweimal dieselbe Art von Faktor verwendet, z. B. ein Passwort und eine Sicherheitsfrage, was weniger sicher ist.

Um sich den entscheidenden Punkt zu merken, denken Sie an das Kürzel PHA: Passwort plus Haben oder An-Sein. Der zweite Faktor muss einer anderen Kategorie als das Passwort entstammen. Ein kurzer Selbsttest: Kann sich jemand, der Ihr Passwort gestohlen hat, trotzdem anmelden? Wenn ja, verwenden Sie keine MFA. Benötigt die Person zusätzlich einen Code von Ihrem Telefon oder Ihren Fingerabdruck, nutzen Sie MFA. Die stärkste MFA ist phishingresistent; daher sind Hardwareschlüssel oder biometrische Merkmale besser als App-Codes, die wiederum besser als SMS-Codes sind.