Schwache und starke Authentifizierung - Warum ein Passwort allein längst nicht mehr ausreicht

Sicherheit beginnt beim Login

Nahezu jeder digitale Dienst beginnt mit einem Login. Ob E‑Mail‑Postfach, Online‑Banking, Social‑Media‑Account oder Unternehmenssoftware – überall müssen Nutzer ihre Identität nachweisen. In den meisten Fällen geschieht das immer noch über Benutzername und Passwort. Dieses Verfahren ist vertraut und bequem, gilt heute jedoch als einer der größten Schwachpunkte der IT‑Sicherheit.

Cyberangriffe, Phishing‑Kampagnen und großflächige Datenlecks zeigen seit Jahren, dass ein einzelnes Passwort keinen ausreichenden Schutz mehr bietet. Genau an dieser Stelle wird die Unterscheidung zwischen schwacher und starker Authentifizierung relevant. Sie entscheidet darüber, wie gut digitale Identitäten geschützt sind.

Was bedeutet Authentifizierung?

Authentifizierung beschreibt den Prozess, mit dem ein System überprüft, ob ein Nutzer tatsächlich derjenige ist, der er vorgibt zu sein. Sie ist ein grundlegender Bestandteil der Informationssicherheit und bildet die Voraussetzung für jede Form geschützten Zugriffs.

Dabei ist es wichtig, Authentifizierung nicht mit Autorisierung zu verwechseln. Während die Authentifizierung klärt, wer ein Nutzer ist, entscheidet die Autorisierung darüber, was dieser Nutzer anschließend tun darf. Ohne eine sichere Authentifizierung kann jedoch auch eine noch so ausgefeilte Zugriffskontrolle nicht wirksam sein.

Schwache Authentifizierung – einfach, aber riskant

Von schwacher Authentifizierung spricht man, wenn zur Anmeldung lediglich ein einzelnes Merkmal verwendet wird. In der Praxis ist dies meist ein Passwort oder eine PIN. Diese Form der Authentifizierung ist weit verbreitet, da sie einfach umzusetzen ist und von Nutzern kaum zusätzlichen Aufwand erfordert.

Genau diese Einfachheit macht sie jedoch anfällig. Viele Passwörter sind leicht zu erraten oder werden mehrfach verwendet. Kommt es bei einem Dienst zu einem Datenleck, können die gestohlenen Zugangsdaten direkt verwendet und oft auch für andere Plattformen genutzt werden. Zusätzlich gelingt es Angreifern häufig, Passwörter über Phishing‑E-Mails oder manipulierte Webseiten abzufangen. Ist das Passwort einmal bekannt, existiert bei schwacher Authentifizierung keine weitere Sicherheitsbarriere, die einen unbefugten Zugriff verhindern könnte.

Die drei Authentifizierungsfaktoren

Grundsätzlich lassen sich alle Authentifizierungsverfahren auf drei unterschiedliche Faktoren zurückführen. Der erste Faktor ist das Wissen, also eine Information, die nur der Nutzer kennen sollte. Dazu gehören Passwörter, PINs oder Antworten auf Sicherheitsfragen. Dieser Faktor ist leicht zu implementieren, aber auch besonders anfällig für Diebstahl und Missbrauch.

Der zweite Faktor ist der Besitz. Hierbei handelt es sich um etwas, das der Nutzer physisch besitzt, beispielsweise ein Smartphone, eine Chipkarte oder ein Hardware‑Token. Wird dieser Faktor verwendet, ist selbst bei der Kompromittierung eines Passworts in der Regel ohne dieses Gerät kein Zugriff möglich.

Der dritte Faktor ist die Inhärenz, also etwas, das den Nutzer als Person ausmacht. Biometrische Merkmale wie Fingerabdruck, Gesichtserkennung oder Iris‑Scan fallen in diese Kategorie. Diese Merkmale sind schwer zu kopieren und bieten daher ein hohes Sicherheitsniveau. Allerdings können biometrische Merkmale im Falle einer Kompromittierung – anders als ein Passwort – nicht einfach geändert werden. Aus diesem Grund werden sie in der Praxis häufig mit einem zusätzlichen Faktor kombiniert.

Multi-Faktor-Authentifizierung – Sicherheit durch Kombination

Starke Authentifizierung liegt dann vor, wenn mindestens zwei unterschiedliche Authentifizierungsfaktoren kombiniert werden. Häufig wird in diesem Zusammenhang von Zwei‑Faktor‑ oder Multi‑Faktor‑Authentifizierung gesprochen. Ziel ist es, die Schwächen eines einzelnen Faktors durch einen weiteren auszugleichen.

Ein klassisches Beispiel ist die Anmeldung mit Passwort und einem zusätzlichen Einmalcode, der über eine App oder per SMS bereitgestellt wird. Auch Kombinationen aus Smartcard und PIN oder biometrischer Erkennung und Gerätebesitz zählen zur Multi-Faktor-Authentifizierung. Entscheidend ist, dass die eingesetzten Faktoren aus unterschiedlichen Kategorien stammen und voneinander unabhängig sind. Dadurch entsteht eine zusätzliche Sicherheitsebene, die Angriffe erheblich erschwert.

Der größte Vorteil starker Authentifizierung liegt in der Trennung der einzelnen Faktoren. Selbst wenn ein Passwort durch ein Datenleck oder einen Phishing‑Angriff kompromittiert wird, reicht diese Information allein nicht aus, um Zugriff auf ein Konto zu erhalten. Der Angreifer benötigt zusätzlich den zweiten Faktor, etwa ein physisches Gerät oder ein biometrisches Merkmal.

Diese zusätzliche Hürde verhindert einen Großteil automatisierter Angriffe und macht gezielte Kontoübernahmen deutlich schwieriger. Erfahrungen aus der Praxis zeigen, dass viele Angriffe bereits an der zweiten Authentifizierungsstufe scheitern. Multi-Faktor-Authentifizierung wirkt damit wie ein Sicherheitsnetz, das auch dann greift, wenn Nutzer Fehler machen oder einzelne Schutzmechanismen versagen.

Unterschied zwischen schwachen und starken Authentifizierungsfaktoren

Doch nicht jeder Authentifizierungsfaktor bietet das gleiche Sicherheitsniveau. Auch innerhalb der Multi‑Faktor‑Authentifizierung gibt es Unterschiede zwischen eher schwachen und besonders starken Faktoren. Entscheidend ist dabei vor allem, wie leicht ein Faktor gestohlen, kopiert oder manipuliert werden kann.

Schwächere Faktoren sind häufig Verfahren, die sich vergleichsweise einfach abfangen oder weiterleiten lassen. Ein typisches Beispiel sind SMS‑Codes. Zwar stellen sie bereits eine zusätzliche Sicherheitsebene gegenüber einem reinen Passwort dar, dennoch gelten sie heute nur noch als eingeschränkt sicher. Angreifer können SMS beispielsweise über sogenannte SIM‑Swapping‑Angriffe umleiten oder durch Phishing abfangen. Auch E‑Mail‑Codes sind problematisch, wenn der Zugriff auf das E‑Mail‑Konto selbst nicht ausreichend geschützt ist.

Darüber hinaus können auch zweite Faktoren selbst Ziel von Phishing‑Angriffen werden. Dabei werden Nutzer auf gefälschte Login‑Seiten geleitet, die nicht nur Benutzername und Passwort abfragen, sondern anschließend auch den zweiten Faktor anfordern. Gibt der Nutzer beispielsweise einen SMS‑Code oder einen Code aus einer Authenticator‑App ein, kann der Angreifer diesen in Echtzeit auf der echten Webseite verwenden und sich erfolgreich anmelden. Besonders betroffen sind daher Faktoren, die sich einfach weitergeben oder manuell eingeben lassen. TOTP‑Verfahren, wie sie beispielsweise von Authenticator‑Apps genutzt werden, gelten grundsätzlich als deutlich stärker als SMS‑Codes, da die Codes lokal auf dem Gerät erzeugt werden und nicht über ein Mobilfunknetz übertragen werden müssen. Dennoch sind auch TOTP‑Codes nicht vollständig phishingresistent, da Nutzer die erzeugten Codes auf gefälschten Webseiten eingeben können und Angreifer diese unter Umständen in Echtzeit weiterverwenden.

Deutlich stärkere Faktoren basieren dagegen auf kryptografischen Verfahren und physischen Geräten. Ein bekanntes Beispiel dafür ist der YubiKey oder vergleichbare Hardware‑Security‑Keys. Diese Geräte speichern kryptografische Schlüssel sicher auf der Hardware und verlassen das Gerät niemals. Bei der Anmeldung bestätigt der Nutzer den Zugriff direkt über den Security‑Key, beispielsweise durch Berühren eines Sensors. Dadurch wird verhindert, dass Zugangsdaten einfach kopiert oder über Phishing‑Seiten abgegriffen werden können.

Besonders moderne Standards wie FIDO2 oder WebAuthn gelten heute als sehr sicher, da sie phishingresistent arbeiten. Selbst wenn ein Nutzer versehentlich eine gefälschte Webseite besucht, kann der Hardware‑Key erkennen, dass die Domain nicht legitim ist, und die Anmeldung verweigern.

Zudem zählen Passkeys zu den besonders starken und modernen Authentifizierungsverfahren. Anders als klassische Hardware‑Security‑Keys sind Passkeys nicht zwingend an ein separates physisches Gerät gebunden, sondern können beispielsweise sicher auf Smartphones, Laptops oder Passwortmanagern gespeichert werden. Technisch basieren sie ebenfalls auf kryptografischen Schlüsselpaaren und gelten als phishing‑resistent, da die Anmeldung an die jeweilige Webseite beziehungsweise Domain gebunden ist. Dadurch kombinieren Passkeys ein hohes Sicherheitsniveau mit einer besonders benutzerfreundlichen Anmeldung.

Auch biometrische Verfahren wie Fingerabdruck oder Gesichtserkennung zählen häufig zu den stärkeren Faktoren, insbesondere wenn die biometrischen Daten sicher auf dem Gerät gespeichert werden. Dennoch werden auch sie oft mit weiteren Faktoren kombiniert, um ein möglichst hohes Sicherheitsniveau zu erreichen.

In der Praxis bedeutet das: Nicht jede Multi‑Faktor‑Authentifizierung ist automatisch gleich sicher. Während SMS‑Codes bereits einen wichtigen Schutz bieten können, stellen moderne Verfahren wie YubiKeys oder Passkeys heute den deutlich robusteren Ansatz dar.

Benutzerfreundlichkeit vs. Sicherheit

Häufig wird starke Authentifizierung mit zusätzlichem Aufwand und schlechterer Benutzerfreundlichkeit in Verbindung gebracht. Tatsächlich war dies bei frühen Sicherheitslösungen teilweise der Fall. Moderne Authentifizierungsverfahren haben diesen Zielkonflikt jedoch weitgehend aufgelöst.

Push‑Benachrichtigungen, biometrische Verfahren oder gerätebasierte Anmeldungen ermöglichen heute eine sicherere Authentifizierung mit minimalem Mehraufwand. Nutzer müssen sich keine zusätzlichen Passwörter merken, sondern bestätigen den Login beispielsweise per Fingerabdruck oder Gesichtserkennung. Richtig umgesetzt geht starke Authentifizierung also nicht auf Kosten der Benutzerfreundlichkeit, sondern kann diese sogar erhöhen.

Welche Systeme sollten starkes MFA nutzen?

Grundsätzlich sollte starke Multi‑Faktor‑Authentifizierung überall dort eingesetzt werden, wo sensible Daten verarbeitet werden oder ein kompromittierter Zugang schwerwiegende Folgen hätte. Besonders kritisch sind Systeme, die personenbezogene Informationen, finanzielle Daten oder interne Unternehmensressourcen enthalten.

Dazu zählen beispielsweise E‑Mail‑Konten, da sie häufig als zentraler Einstiegspunkt für Passwort‑Resets und weitere Angriffe dienen. Auch Cloud‑Dienste, VPN‑Zugänge, Unternehmensnetzwerke sowie Administrations‑ und Entwicklerkonten sollten grundsätzlich mit starker MFA abgesichert werden. Gerade privilegierte Accounts stellen ein besonders attraktives Ziel für Angreifer dar, da sie weitreichende Zugriffsrechte besitzen.

Besonders empfehlenswert sind starke und phishingresistente Verfahren wie Hardware‑Security‑Keys, Passkeys oder moderne biometrische Lösungen. Je kritischer ein System oder die darin gespeicherten Daten sind, desto wichtiger wird der Einsatz robuster Authentifizierungsverfahren.

Die Zukunft der Authentifizierung

Die Entwicklung geht zunehmend weg vom klassischen Passwort. Passwortlose Verfahren wie Passkeys kombinieren kryptografische Schlüssel mit Gerätebesitz und reduzieren damit viele der bekannten Sicherheitsprobleme. Biometrische Verfahren werden weiter verbreitet und direkt in Endgeräte integriert.

Zudem gewinnt kontextbasierte Authentifizierung an Bedeutung. Faktoren wie Standort, genutztes Gerät oder typisches Nutzerverhalten fließen bereits heute in Sicherheitsentscheidungen ein. In Verbindung mit Zero‑Trust‑Ansätzen entsteht so eine flexible und zugleich sehr robuste Sicherheitsarchitektur, die sich dynamisch an das jeweilige Risiko anpasst.

Fazit

Ein einzelnes Passwort reicht in der heutigen digitalen Welt längst nicht mehr aus, um digitale Identitäten zuverlässig zu schützen. Schwache Authentifizierung ist zwar bequem und einfach umzusetzen, bietet Angreifern jedoch häufig nur eine geringe Hürde. Datenlecks, Phishing und gestohlene Zugangsdaten zeigen immer wieder, wie anfällig rein passwortbasierte Systeme sind.

Starke Authentifizierung kombiniert dagegen mehrere unabhängige Faktoren und erhöht dadurch die Sicherheit erheblich. Dabei spielt nicht nur die Anzahl der Faktoren eine Rolle, sondern auch deren Qualität. Während Verfahren wie SMS‑Codes bereits einen zusätzlichen Schutz bieten, gelten moderne Lösungen wie YubiKeys, Passkeys oder biometrische Verfahren heute als besonders sicher und phishingresistent.

Die Entwicklung zeigt klar, dass die Zukunft der Authentifizierung in starken, benutzerfreundlichen und möglichst passwortlosen Verfahren liegt. Unternehmen und Nutzer profitieren gleichermaßen von höherer Sicherheit, besserem Schutz sensibler Daten und einem geringeren Risiko erfolgreicher Angriffe. Starke Authentifizierung ist damit kein optionales Zusatzfeature mehr, sondern ein zentraler Bestandteil moderner IT‑Sicherheit.