Zwei-Faktor-Authentifizierung: Pflicht für Unternehmen ab 2021

Seit Mitte Januar 2021 besteht für Unternehmen die Pflicht zur Zwei-Faktor-Authentifizierung im Zahlungsverkehr. Erfahren Sie hier, welche Möglichkeiten der Zwei-Faktor-Authentifizierung es gibt und warum diese besseren Schutz bietet.

Stufenmodell bei der Einführung der Zwei-Faktor-Authentifizierung ab Januar 2021

Unternehmen müssen sich ab Januar 2021 auf die Pflicht zur „Zwei-Faktor-Authentifizierung“, auch „Zwei-Faktor-Authentisierung“ oder kurz „2FA“ genannt, einstellen. Bereits zu Ende 2020 war diese Pflicht für Zahlungen mit Kreditkarte, PayPal etc. zum Beispiel in Online-Shops angedacht. Die Frist wurde jedoch verlängert und zwar in einem Stufenmodell. Seit dem 15. Januar 2021 gilt die Zwei-Faktor-Authentifizierung für Zahlungen ab 250,00 Euro, ab dem 15. Februar 2021 für Zahlungen ab 150 Euro und ab dem 15. März 2021 gilt die Zwei-Faktor-Authentifizierung für alle Zahlungen.

2FA bietet deutlich besseren Schutz als ein Passwort

Lange waren Benutzerkonten und Passwörter die einzige Option zum Schutz von Online-Diensten. Hacker und unbefugte Dritte, die in den Besitz dieser Zugangsdaten gelangten, konnten durch den Diebstahl der digitalen Identität sehr leicht große Schäden anrichten. Die Zwei-Faktor-Authentifizierung bringt hier einen zusätzlichen Sicherheitsgewinn. Dieser entsteht, indem Bestellungen, Zahlungsvorgänge oder Änderungen von Server- oder Sicherheitseinstellungen nicht mehr allein dadurch ausgelöst werden können, dass sich Nutzer von Internetdiensten mit Ihrem Benutzerkonto und einem Kennwort ausweisen.

Es kommt als zweiter Faktor noch eine zusätzliche Legitimierung hinzu, die von einem anderen Gerät aus erfolgt und als Einmalkennwort eingegeben werden muss. Die Zwei-Faktor-Authentifizierung macht das herkömmliche einstufige zu einem zweistufigen Verfahren, das durch die zusätzliche Sicherheitsfunktion ein wesentlich höheres Sicherheitsniveau bietet.

Diese Möglichkeiten der Zwei-Faktor-Authentifizierung gibt es

Das andere Gerät kann z. B. ein Fingerabdruck- oder Iris-Scanner sein, der die biometrischen Daten des Nutzers erfasst und bestätigt. Oder ein Mobiltelefon, das ein Einmalkennwort in einer SMS empfängt, die vom Online-System automatisch verschickt wird. Nach dem Empfang muss dieses Einmalpasswort in das Online-System eingegeben werden, um etwa einen Bestellvorgang abzuschließen oder eine Grundeinstellung zu ändern.

Alternativ kann das notwendige Einmalkennwort auch mit einer Smartphone-App (Software-Token) oder einem zusätzlichen Gerät (Hardware-Token) vom Nutzer selbst erzeugt werden. Das Online-System zeigt zu diesem Zweck einen Sicherheitscode direkt an, der vor Ort in die Smartphone-App oder das Zusatzgerät eingegeben werden muss. Da App oder Zusatzgerät zuvor beim Onlineanbieter registriert und angemeldet werden mussten, erwartet das Online-System die Eingabe eines bestimmten Einmalkennworts. Wird dies korrekt generiert und eingegeben, führt das Online-System die gewünschte Aktion aus. Die Einmalkennwörter sind meist einfache Ziffernfolgen, die zügig nach der Erstellung eingegeben werden müssen, bevor sie ihre Gültigkeit verlieren.

Tipp

Tipp: Einmalkennwörter generieren

Apps für die Erzeugung von Einmalkennwörtern nach dem standardisierten und allgemein anerkannten TOTP-Verfahren (Time-based One-Time Password) gibt es von unterschiedlichen Anbietern sowohl für Android als auch für iOS. Weit verbreitet sind Google Authenticator oder Microsoft Authenticator.

Der Vorteil: Höhere Sicherheit für Nutzer und Unternehmen

Die Zwei-Faktor-Authentifizierung ist kein neues Verfahren, sondern wird bereits seit mehreren Jahren von großen Online-Händlern und Internetdiensten eingesetzt. Hierzu zählen die "allmächtigen" Internetkonzerne Google, Amazon oder Microsoft, aber auch spezialisierte Anbieter wie Dropbox.

Die Zwei-Faktor-Authentifizierung bietet deutlich mehr Sicherheit für Nutzer und Anbieter: Gerät bei der Zwei-Faktor-Authentifizierung das Passwort für das Benutzerkonto in falsche Hände, kann allein dadurch kein Schaden entstehen. Denn für einen Missbrauch würde ja auch noch die zweite Sicherheitsfunktion benötigt.

Angreifer müssen also auch das Smartphone des Nutzers in ihre Verfügungsgewalt bekommen oder die Kommunikation umleiten bzw. abhören, um in den Besitz des zusätzlichen Einmalkennworts zu kommen. Unmöglich ist dies nicht, erfordert aber einen ungleich höheren Aufwand als das Ausspionieren des Passworts. Nutzer sind dadurch also besser vor Missbrauch geschützt. Da die Zwei-Faktor-Authentifizierung gleichzeitig einen besseren Identitätsnachweis liefert, erhöht sich auch die Transaktionssicherheit für die Anbieter.

Diese Nachteile hat die Zwei-Faktor-Authentifizierung

Die Hauptnachteile sind der höhere technische Aufwand und die umständliche Abwicklung, die Bestell- und Zahlungsvorgänge deutlich zeitaufwändiger macht und dazu führt, dass viele Transaktionen abgebrochen werden. Das jedenfalls behauptete der „Händlerbund“, der größte Onlinehandelsverband Europas, und warnte daher vor den „verheerenden Folgen“ der Einführung der Zwei-Faktor-Authentifizierung für den Onlinehandel. Die Pflicht zur Zwei-Faktor-Authentifizierung fördert allerdings nicht nur das allgemeine Sicherheitsniveau, sondern sorgt auch dafür, dass Zwei-Faktor-Verfahren schnell allgemein akzeptiert werden und eben keinen Wettbewerbsnachteil darstellen.

Tipp

Themenseite "Datensicherheit"

Wenn Sie nicht mehr auf Geschäftsdaten zugreifen können, wird das schnell sehr teuer. Damit Ihnen das nicht passiert, zeigen wir Ihnen auf der Themenseite "Datensicherheit", wie Sie Ihre Daten effektiv vor Diebstahl, Missbrauch und Verlust schützen.