Wenn ein gestohlenes Passwort nicht mehr ausreicht
Passwörter schützen E-Mail-Konten, Cloud-Dienste, Kundenportale und viele weitere digitale Anwendungen. Gelangt ein Passwort jedoch durch Phishing, ein Datenleck oder Wiederverwendung bei mehreren Diensten in falsche Hände, kann daraus schnell ein Sicherheitsproblem entstehen.
Eine wichtige zusätzliche Absicherung ist deshalb die Mehr-Faktor-Authentifizierung (MFA) beziehungsweise Zwei-Faktor-Authentifizierung. Dabei reicht das Passwort allein nicht aus. Für die Anmeldung wird ein weiterer Nachweis benötigt – beispielsweise eine Authenticator-App, ein Hardware-Sicherheitsschlüssel oder ein anderes registriertes Gerät.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, Zwei-Faktor-Authentisierung überall dort zu verwenden, wo sie angeboten wird. Insbesondere hardwaregestützte Verfahren bieten dabei ein hohes Sicherheitsniveau.
Nicht jede MFA schützt gleich gut vor Phishing
Die zusätzliche Anmeldung erhöht die Sicherheit deutlich. Trotzdem unterscheiden sich die Verfahren.
Ein per SMS versendeter Code ist beispielsweise besser als ein Passwort allein, bietet aber weniger Schutz als moderne kryptografische Verfahren. Auch Codes aus Authenticator-Apps können bei ausgefeilten Phishing-Angriffen abgegriffen werden, wenn Nutzerinnen oder Nutzer sie auf einer gefälschten Login-Seite eingeben.
Das BSI weist darauf hin, dass Cyberkriminelle gefälschte Webseiten verwenden können, um sowohl Passwörter als auch Einmalcodes in Echtzeit mitzulesen.
CISA empfiehlt deshalb für besonders schützenswerte Konten phishing-resistente MFA. Dazu gehören insbesondere Verfahren auf Basis von FIDO/WebAuthn. Diese können beispielsweise über Sicherheitsschlüssel oder Passkeys umgesetzt werden.
Passkeys als nächste Entwicklungsstufe
Passkeys funktionieren anders als klassische Passwörter. Vereinfacht gesagt wird beim Einrichten ein kryptografisches Schlüsselpaar erzeugt. Ein Teil verbleibt beim Dienstanbieter, während der geheime Schlüssel auf dem Gerät der Nutzerin oder des Nutzers gespeichert bleibt.
Das eigentliche Geheimnis wird bei der Anmeldung nicht an die Webseite übertragen. Dadurch können klassische Phishing-Seiten deutlich weniger ausrichten als bei einem Passwort oder einem manuell eingegebenen Einmalcode.
Das BSI beschreibt Passkeys deshalb als besonders wirksame Möglichkeit, Konten gegen Phishing zu schützen.
Auch ENISA nennt Passkeys beziehungsweise andere phishing-resistente Authentifizierungsverfahren als empfehlenswerte Maßnahme der grundlegenden Cyberhygiene.
Warum das auch für Unternehmen und Infrastruktur relevant ist
Für Unternehmen, Gemeinden und Betreiber digitaler Infrastruktur sind Benutzerkonten häufig ein wichtiger Angriffspunkt. Ein kompromittiertes E-Mail-, Administrations- oder Cloud-Konto kann Angreifern Zugang zu weiteren Systemen ermöglichen.
Deshalb sollte MFA besonders bei Konten mit erhöhten Berechtigungen, Fernzugängen, Cloud-Diensten und administrativen Anwendungen konsequent eingesetzt werden. Wo technisch möglich, sind phishing-resistente Verfahren eine sinnvolle Weiterentwicklung.
Für Privatpersonen gilt die gleiche Grundidee: Besonders wichtige Konten wie E-Mail, Apple-/Google-/Microsoft-Konten, Cloud-Speicher und Finanzdienste sollten nicht ausschließlich durch ein Passwort geschützt werden.
IT-Sicherheit besteht dabei nicht aus einer einzigen Maßnahme. MFA oder Passkeys ergänzen sichere Geräte, regelmäßige Updates, vorsichtigen Umgang mit Links und Anhängen sowie eine gute Passwort- und Berechtigungsverwaltung.
Handlungsempfehlungen
- MFA aktivieren: Für wichtige Online-Konten Zwei- oder Mehr-Faktor-Authentifizierung einschalten.
- Passkeys bevorzugen: Wenn ein Dienst Passkeys oder FIDO-basierte Anmeldung unterstützt, diese Möglichkeit prüfen.
- SMS möglichst nicht als erste Wahl verwenden: Authenticator-Apps oder phishing-resistente Verfahren bieten in der Regel einen besseren Schutz.
- MFA-Anfragen bewusst prüfen: Unerwartete Login-Bestätigungen niemals einfach freigeben.
- E-Mail-Konto besonders schützen: Wer Zugriff auf das zentrale E-Mail-Konto erhält, kann häufig auch Passwörter anderer Dienste zurücksetzen.
- Keine Einmalcodes weitergeben: Seriöse Supportmitarbeiter benötigen keine MFA-Codes oder Passkeys.
- Unternehmenskonten priorisieren: Administrative und extern erreichbare Konten sollten möglichst mit besonders starken Authentifizierungsverfahren abgesichert werden.
Quellen
BSI – Zwei-Faktor-Authentisierung
Informationen zur zusätzlichen Absicherung von Online-Konten und vernetzten Geräten.
BSI: Zwei-Faktor-Authentisierung
BSI – E-Mail-Sicherheit: Mythen im Faktencheck
Hinweise zu Phishing, MFA-Codes und Passkeys.
BSI: E-Mail-Sicherheit
CISA – Implementing Phishing-Resistant MFA
Empfehlungen für FIDO/WebAuthn und phishing-resistente Mehr-Faktor-Authentifizierung.
CISA: Phishing-Resistant MFA
ENISA – Cyber Hygiene
Empfehlungen zu starken Passwörtern, 2FA und phishing-resistenter Authentifizierung.
ENISA: Cyber Hygiene