© DrHitch/Shutterstock.com
Angriffsziel UI

2 Sicheres Einloggen mit zwei Faktoren


Die Kombination aus Benutzername und Passwort reichte lange aus, um einen Benutzer sicher zu identifizieren. Inzwischen gelangen diese Zugangsdaten immer öfter in falsche Hände. Also muss ein zusätzlicher Faktor die Authentifizierung absichern, wenn man wirklich auf Nummer sicher gehen will.

Es gibt viele Möglichkeiten, wie die Zugangsdaten für Webanwendungen (und natürlich auch alle anderen möglichen Zwecke) in die Hände von Cyberkriminellen gelangen können. Zum Beispiel kann auf der Clientseite der Benutzer auf einen Phishing-Angriff hereinfallen. Außerdem ist es denkbar, dass Schadsoftware auf seinem Rechner (oder einem von ihm genutzten Rechner in einem Internetcafé etc.) den Benutzernamen und das Passwort beim Einloggen in die Webanwendung ausspäht. Auch JavaScript-Code ist in der Lage, über eine Schwachstelle im Webbrowser die Zugangsdaten aus dem Passwortmanager auszulesen. Ein Man in the Middle kann die Zugangsdaten während der Übertragung ausspähen – ein vor allem bei unverschlüsselten Verbindungen und der Nutzung eines offenen WLANs nicht zu unterschätzendes Risiko. Und auf dem Server kann ein Cyberkrimineller die Datenbank mit den Zugangsdaten über eine SQL-Injection-Schwachstelle abfragen oder nach einem erfolgreichen Eindringen als Datei kopieren.

Benutzername und Passwort allein reichen also nicht mehr aus, um einen Benutzer sicher zu identifizieren. Die Authentifizierung muss daher um einen weiteren Faktor ergänzt werden. Wobei an dieser Stelle ein wichtiger Hinweis nicht fehlen darf: Auch zwei Faktoren schützen nicht vor einem Angreifer in der Verbindung.

Eingeschränkter Schutz

Eine Zwei-Faktor-Authentifizierung schützt nicht vor einem laufenden Man-in-the-Middle-Angriff: Da sich der Angreifer in der Verbindung zwischen Client und Server befindet, kann er sich nach erfolgreicher Authentifizierung durch den Benutzer gegenüber dem Server jederzeit als der betroffene Benutzer ausgeben (und gegenüber dem Benutzer als Server). Aber während der Man in the Middle die belauschte Benutzername-Passwort-Kombination auch später noch jederzeit nutzen kann, um sich bei der Webanwendung als Benutzer anzumelden, ist das bei einer Zwei-Faktor-Authentifizierung nicht möglich, da dem Angreifer der dafür zusätzlich benötigte zweite Faktor fehlt. Bevor wir zum zweiten Faktor kommen, betrachten wir erst mal die Möglichkeiten für eine Authentifizierung ganz allgemein.

Die Authentifizierungsmethoden im Überblick

Bei der Authentifizierung wird geprüft, ob eine b...

Neugierig geworden?

Angebote für Teams

Für Firmen haben wir individuelle Teamlizenzen. Wir erstellen Ihnen gerne ein passendes Angebot.

Das Library-Modell:
IP-Zugang

Das Company-Modell:
Domain-Zugang