Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung verlangt bei der Anmeldung an einem Konto neben dem Passwort einen zweiten, unabhängigen Nachweis der Identität, etwa einen Code aus einer App auf dem Smartphone, eine SMS oder einen physischen Sicherheitsschlüssel. Selbst wenn ein Passwort bekannt wird, etwa durch Phishing, bleibt das Konto ohne diesen zweiten Faktor in aller Regel geschützt. Der Begriff grenzt sich dabei von einem reinen Passwortwechsel ab: Während ein neues Passwort nur den bisherigen Zugang ersetzt, kommt bei Zwei-Faktor-Authentifizierung eine zweite, davon unabhängige Hürde dauerhaft hinzu.

Für Handwerksbetriebe ist das vor allem bei Konten relevant, über die sich größerer Schaden anrichten lässt: das geschäftliche E-Mail-Postfach, über das auch Rechnungen versendet werden, der Zugang zum ERP-System mit Kunden- und Auftragsdaten, das Online-Banking oder das Google-Unternehmensprofil, über das Bewertungen und Kontaktdaten sichtbar sind. Wird eines dieser Konten übernommen, etwa für gefälschte Rechnungen im Namen der Geschäftsführung, kann ein einziger zweiter Faktor den Zugriff verhindern und größeren Schaden abwenden. Ein typischer Fehler ist, Zwei-Faktor-Authentifizierung zwar für das Hauptkonto der Geschäftsführung einzurichten, freigegebene Sammelpostfächer oder Konten von Aushilfen aber auszulassen, obwohl auch darüber sensible Vorgänge laufen. Auch der zweite Faktor selbst braucht eine Rückfallebene: Geht das Smartphone mit der Authentifizierungs-App verloren, sollte ein hinterlegter Ersatzcode oder ein zweites Gerät den Zugang wieder ermöglichen, ohne dass das Konto dauerhaft gesperrt bleibt.

Bezug zur Digitalisierung

Mit zunehmender Nutzung von Cloud-Software wächst auch die Zahl der Konten, über die auf Betriebsdaten zugegriffen werden kann, oft von unterwegs, über private oder dienstliche Smartphones. Zwei-Faktor-Authentifizierung lässt sich bei den meisten gängigen Diensten mit wenig Aufwand aktivieren und ergänzt klar definierte Zugriffsrechte um einen zusätzlichen Schutz, falls ein Passwort doch einmal in falsche Hände gerät, etwa nach einem gut gemachten Phishing-Versuch.

In der Praxis lohnt es sich, mit den wichtigsten Konten zu beginnen: E-Mail, Banking und die zentrale Betriebssoftware. Ein Passwortmanager erleichtert zusätzlich den Umgang mit den ohnehin nötigen, unterschiedlichen Passwörtern je Dienst und macht die Umstellung im Team spürbar einfacher.

Voraussetzung für eine funktionierende Umstellung ist eine kurze Einweisung der Mitarbeitenden, damit der zusätzliche Anmeldeschritt nicht als Hürde, sondern als selbstverständlicher Teil der Anmeldung verstanden wird. Sinnvoll ist außerdem, eine Codeanfrage, die man selbst nicht ausgelöst hat, als Warnsignal zu behandeln und nicht versehentlich zu bestätigen, weil genau darauf mittlerweile auch gezielte Betrugsversuche abzielen.