Gängige Methoden als zweiter Faktor zum Passwort
SMS als zweiter Faktor ist anfällig für Missbrauch und als veraltetes Kommunikationsprotokoll erfüllt es nicht mehr die Sicherheitsanforderungen für eine sichere Authentifizierung.
Einmalpasswörter, bekannt als ein sich wechselnde Zahlenreihe, haben sich im Umfeld bei Banken, bei Versicherungen, Gemeinde, Kanton, Bund (AGOV) etc. als zweiten Faktor etabliert und bewährt.
Diese wechselnden Zahlenreihen, der sogenannte TOTP-Standard (Time-based one-Time password), können mit verschiedenen Apps für verschiedene Plattformen und als Schlüsselanhänger mit Bildschirm eingerichtet und erzeugt werden.
Nebst Microsoft- und Google-Authenticator können auch Apps von anderen Anbietern, wie Bitwarden, Ente Auth, FreeOTP etc. verwendet werden.
Apps wie Bitwarden-Authenticator, Ente Auth und FreeOTP lassen sich auch ohne Registrierung und Abozwang für mehrere Accounts kostenfrei nutzen und sind Open Source.
Ohne Smartphone gibt es das Angebot eines Schlüsselanhänger-Geräts, jedoch nur gegen ein Pfand und nur für unseren PHBern-Microsoft-Account, nicht jedoch für SWITCH (und andere Accounts).
Die Nutzung eines bestehenden Sicherheitsschlüssels, von YubiKey, Token2, Nitrokey etc. wird nicht durchgängig unterstützt von Microsoft und SWITCH. Die Anschaffung und die Einrichtung müssen sie selbst übernehmen.
Methode | Microsoft | Switch edu-ID |
|---|---|---|
User & Passwort | erforderlich | erforderlich |
Authenticator-App | ja | ja |
PassKey | ja (Mobilnummer zur Registrierung erforderlich) | ja (Mobilnummer zur Registrierung erforderlich) |
Schlüsselanhänger | ja | nein |
SMS | ja | ja |
Voice | nein | nein |
Weitere Quellen:
Ausführlicher Artikel zu “Zwei-Faktor-Authentisierung” vom BSI (Deutschland): https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/zwei-faktor-authentisierung_node.html
Der Chaos-Computer-Club (CCC) demonstriert, wie gefährlich SMS als zweiter Faktor ist: https://www.ccc.de/de/updates/2024/2fa-sms#:~:text=Schon%202013%20riet,2FA-SMS%20weit%20verbreitet.
Umfangreicher Vergleich von OTP-Apps/Software: https://en.wikipedia.org/wiki/Comparison_of_OTP_applications