Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung verlangt einen zweiten Identitätsnachweis zusätzlich zum Passwort, sodass ein gestohlenes Passwort allein kein Konto öffnet. Die gängigen Formen unterscheiden sich deutlich in ihrer Stärke. Ein Code per SMS ist der schwächste, denn eine Rufnummer lässt sich durch Täuschung des Anbieters auf die SIM eines Angreifers übertragen, und der Code kommt dann auf dessen Gerät an. Eine Authenticator-App erzeugt Codes auf dem Gerät selbst, ohne Netzschritt; das beseitigt diesen Angriff, aber kein Phishing: Ein auf einer überzeugenden Fälschung eingegebener Code funktioniert dort genauso wie auf der echten Seite. Ein Hardware-Sicherheitsschlüssel ist an die Domain gebunden und antwortet einer ähnlich aussehenden Adresse gar nicht. Auch was der zweite Faktor schützt, ist je nach Anbieter verschieden — nur beim Login oder auch bei der Auszahlung.