Zwei-Faktor-Authentifizierung (2FA).

Authentifizierung beruht auf drei Arten von Faktoren: etwas, das man weiss (Passwort, PIN), etwas, das man besitzt (Smartphone, Sicherheitsschlüssel), und etwas, das man ist (Fingerabdruck, Gesicht). Bei 2FA werden zwei verschiedene Arten kombiniert. Ein Angreifer, der ein Passwort aus einem Datenleck oder einer Phishing-Mail kennt, scheitert am zweiten Faktor, solange er nicht auch das Gerät des Opfers hat.

Die Verfahren unterscheiden sich in Sicherheit und Komfort. SMS-Codes sind verbreitet, aber am schwächsten, weil SMS umgeleitet oder per SIM-Tausch abgefangen werden können. Codes aus Authenticator-Apps (TOTP, etwa Microsoft oder Google Authenticator) sind deutlich sicherer. Push-Bestätigungen sind bequem, verleiten aber zum gedankenlosen Bestätigen, wenn Angreifer viele Anfragen schicken. Sicherheitsschlüssel und Passkeys bieten den stärksten Schutz, weil sie zusätzlich an die echte Domain gebunden sind.

Für KMU ist 2FA eine der wirksamsten und günstigsten Schutzmassnahmen überhaupt. Sie sollte mindestens bei allen Konten aktiv sein, über die sich viel Schaden anrichten lässt: E-Mail (Microsoft 365, Google Workspace), Domain-Registrar und DNS, Hosting, Website-Administration, Onlineshop, Buchhaltung, Banking, Werbekonten bei Google und Meta sowie Passwortmanager. Ein übernommenes E-Mail-Konto ist besonders gefährlich, weil sich darüber die Passwörter aller anderen Dienste zurücksetzen lassen.

Damit 2FA im Alltag funktioniert, braucht es etwas Organisation: Wiederherstellungscodes sicher ablegen, für wichtige Konten mindestens zwei berechtigte Personen, und beim Austritt einer Mitarbeiterin die Faktoren umstellen. Ohne diese Vorbereitung sperrt man sich bei einem verlorenen Handy schnell selbst aus.