Wie die Zwei-Faktor-Authentifizierung Ihr Konto Schützt

Die Zwei-Faktor-Authentifizierung funktioniert, indem sie einen sechsstelligen Code generiert, der sich alle 30 Sekunden ändert, abgeleitet von einem Geheimnis, das zwischen Ihrem Konto und Ihrer Authenticator-App geteilt wird, unter Verwendung eines Standardalgorithmus namens TOTP. Weder Ihr Passwort noch ein Code allein reicht aus, um sich anzumelden, sobald sie aktiviert ist — beides ist erforderlich. Dieser Artikel behandelt genau, wie die Code-Generierung funktioniert, wofür die Backup-Codes gedacht sind, und was die Einrichtung von 2FA tatsächlich in Ihrem Konto ändert.

Der Standard Hinter dem Sechsstelligen Code

Die Codes werden mit TOTP (Time-based One-Time Password) generiert, demselben weit verbreiteten Standard hinter den meisten Authenticator-Apps, definiert in einer öffentlichen technischen Spezifikation (RFC 6238), statt eines benutzerdefinierten oder proprietären Schemas. TOTP selbst baut auf einem älteren Algorithmus auf, HOTP, der einen Code aus einem geheimen Schlüssel und einem Zähler mittels einer kryptografischen Hash-Funktion generiert. Der Beitrag von TOTP besteht darin, Zeit statt eines manuell hochgezählten Zählers zu verwenden — die aktuelle Zeit, unterteilt in 30-Sekunden-Fenster, fungiert automatisch als Zähler, weshalb sich der Code alle 30 Sekunden von selbst ändert, ohne dass Sie oder der Server zwischen Anfragen einen Zustand verfolgen müssen.

Was Geschieht, Wenn Sie 2FA Aktivieren

Das Aktivieren von 2FA generiert ein zufälliges Geheimnis — einen aus kryptografisch zufälligen Bytes abgeleiteten Wert, kodiert in einem Format namens Base32, dem Standardkodierungsformat, das Authenticator-Apps für diese Geheimnisse erwarten. Dieses Geheimnis wird Ihnen während der Einrichtung als QR-Code oder als manuell eingebbare Zeichenfolge angezeigt. Das Scannen in eine Authenticator-App gibt dieser App dasselbe Geheimnis, das Ihr Konto gespeichert hat, was es beiden Seiten ermöglicht, unabhängig voneinander denselben sechsstelligen Code im selben Moment zu berechnen, ohne den Code selbst jemals während einer normalen Anmeldung über das Netzwerk zu übertragen.

2FA ist nicht tatsächlich aktiv, sobald das Geheimnis generiert wird — es wird erst aktiviert, nachdem Sie die Einrichtung bestätigen, indem Sie einen von Ihrer App gerade generierten Code eingeben, was beweist, dass das Geheimnis korrekt gescannt wurde und die App übereinstimmende Codes generiert, bevor das Konto darauf festgelegt wird, es zu verlangen.

Warum der Code Funktioniert, Obwohl Server und Ihr Telefon Nie Miteinander Kommunizieren

Dies ist der Teil, bei dem Menschen manchmal annehmen, es erfordere eine Live-Verbindung, aber das ist nicht der Fall. Da sowohl die Authenticator-App Ihres Telefons als auch der Server unabhängig voneinander dasselbe Geheimnis kennen und beide Zugriff auf die aktuelle Zeit haben, können sie jeweils denselben Code berechnen, ohne jegliche Kommunikation zwischen ihnen während des 30-Sekunden-Fensters, in dem er gültig ist. Ihr Telefon benötigt keinen Internetzugang, um einen gültigen Code zu generieren — deshalb funktionieren Authenticator-Apps im Flugmodus. Der Server verifiziert einen eingereichten Code, indem er selbst dieselbe Berechnung durchführt und prüft, ob beide übereinstimmen.

Wofür Backup-Codes Gedacht Sind

Wenn Sie die Aktivierung von 2FA abschließen, erhalten Sie eine Reihe von Einmal-Backup-Codes, die zu diesem Zeitpunkt einmalig generiert und danach nie wieder angezeigt werden — ähnlich wie ein API-Schlüsselwert nur bei der Erstellung angezeigt wird. Diese existieren speziell für das Szenario, in dem Sie den Zugriff auf Ihre Authenticator-App verlieren (ein verlorenes Telefon, ein gelöschtes Gerät) und andernfalls vollständig ausgesperrt wären, da ein Passwort allein nicht mehr ausreicht, sobald 2FA aktiv ist. Jeder Backup-Code wird auf dem Server als Hash statt im Klartext gespeichert, derselbe schützende Ansatz, der für API-Schlüssel verwendet wird, sodass eine Datenbankoffenlegung keine verwendbaren Backup-Codes preisgibt, genauso wenig wie sie verwendbare Passwörter preisgeben würde.

Was das Deaktivieren von 2FA Tatsächlich Erfordert

Das Ausschalten von 2FA ist kein einfacher Schalter — es erfordert zunächst die Eingabe eines gültigen Codes, genau wie bei der Anmeldung. Dies ist eine bewusste Designentscheidung: Wenn das Deaktivieren von 2FA nicht mehr als das Umlegen einer Einstellung erfordern würde, könnte jeder, der vorübergehenden Zugriff auf eine angemeldete Sitzung erhält, den zweiten Faktor des Kontos still entfernen. Die Anforderung eines frischen gültigen Codes zur Deaktivierung bedeutet, dass derselbe Besitznachweis, der zur Anmeldung benötigt wird, auch zum Entfernen des Schutzes benötigt wird.

Häufig Gestellte Fragen

Was passiert, wenn ich mein Telefon verliere und alle meine Backup-Codes verbraucht habe? An diesem Punkt ist keiner der beiden Faktoren über normale Mittel verfügbar, was der Kompromiss starker Zwei-Faktor-Sicherheit ist — sie ist so konzipiert, dass sie schwer zu umgehen ist, auch von Ihnen selbst. Die Kontowiederherstellung in dieser Situation erfordert typischerweise eine manuelle Identitätsprüfung über den Support statt eines Self-Service-Resets.

Kann ich dieselbe Authenticator-App für mehrere Konten verwenden? Ja — TOTP ist ein allgemeiner Standard, und Authenticator-Apps sind so gebaut, dass sie viele unabhängige Geheimnisse gleichzeitig speichern können, jedes an ein anderes Konto gebunden. Die App selbst ist nicht kontospezifisch; das Geheimnis ist es, was jeden Eintrag eindeutig macht.

Warum funktioniert der Code nicht mehr, wenn die Uhr meines Telefons falsch geht? Da der Code aus der aktuellen Zeit abgeleitet wird, unterteilt in 30-Sekunden-Fenster, müssen beide Seiten sich ungefähr darauf einigen, wie spät es ist. Die meisten Authenticator-Apps synchronisieren die Zeit automatisch, aber ein Telefon mit einer erheblich falschen Uhr kann Codes generieren, die der Server nicht als gültig erkennt, weil es gegen ein anderes Zeitfenster als der Server rechnet.