PSD2 für Online-Shops

Welche Zwei-Faktor-Authentifizierung ist sinnvoll

16.09.2019
Von 

Omar Javaid blickt auf mehr als 20 Jahre Erfahrung in der Entwicklung mehrfach ausgezeichneter Produkte für den Technologiesektor zurück. Seit Juli 2015 verantwortete er als Chief Product Officer die allgemeine Produktstrategie bei Vonage, seit 2019 hält er die Position des Präsidenten der API Platform Group bei Vonage inne. Damit ist er neben allen produktstrategischen Aspekten jetzt auch für die Bereiche Sales, Operations und Developer Relations von Nexmo, der Vonage-Plattform für Kommunikations-APIs zuständig.

Online-Händler müssen ihren Kunden künftig besser vor Hackern schützen, eine Aufgabe vor der auch Admins stehen. Hilfe verspricht die Zwei-Faktor-Authentifizierung. Doch welche Verfahren gibt es?
Online-Händler müssen im Zuge der PSD2 künftig für mehr Sicherheit im Zahlungsverkehr sorgen.
Online-Händler müssen im Zuge der PSD2 künftig für mehr Sicherheit im Zahlungsverkehr sorgen.
Foto: wk1003mike - shutterstock.com

Am 14. September 2019 ist es soweit: die EU-Zahlungsdiensterichtlinie PSD2 (Payment Services Directive 2) tritt in Kraft - auch wenn hierzulande vorerst laut BaFin eine Missachtung der Vorgaben nicht geahndet wird. Online-Händler müssen künftig im Zuge der PSD2 sicherstellen, dass sie für sämtliche Zahlungsprozesse im Web, die eine Grenze von über 30 Euro überstiegen, eine sogenannte Zwei-Faktor-Authentifizierung (2FA) einsetzen. Diese soll für mehr Sicherheit bei Online-Zahlungsverkehr sorgen, indem sie die Identitäten von Kunden mehrfach authentifiziert und so die Hürden für Hackerangriffe deutlich erhöht.

Obwohl bereits einige Organisationen die 2FA angewenden, fallen die Akzeptanzraten noch recht niedrig aus. Schließlich bedeutet die 2FA für Nutzer, einen Extra-Schritt zu gehen und gestaltet damit die Customer Experience schwerfälliger. Komfortable "One-Click"-Zahlungsmethoden sind nicht mehr möglich, denn eine 2FA fordert mehr als nur einen Klick.

Dabei ist sie eine der nützlichsten Maßnahmen gegen die allgegenwärtige Bedrohung des Identitätsmissbrauchs und -diebstahls und macht es Hackern beinah unmöglich, digitale Angriffe durchzuführen. Doch wie funktioniert die Zwei-Faktor-Authentifizierung? Und was macht sie so sicher?

Was ist Zwei-Faktor-Authentifizierung?

Die Zwei-Faktor-Authentifizierung soll für Hacker und Bots den Online-Betrug erschweren.
Die Zwei-Faktor-Authentifizierung soll für Hacker und Bots den Online-Betrug erschweren.
Foto: vladwel - shutterstock.com

Ein Passwort zu stehlen ist für einen Hacker oder Bot relativ einfach. Sehr viel schwieriger ist es, ein Passwort zu stehlen und auf ein Mobilgerät zuzugreifen - wie bei einer Haustüre, die mit mehreren unterschiedlichen Schlössern gesichert ist. 2FA-Dienste bescheren unbefugten Personen erheblich mehr Aufwand, um "einzubrechen".

Dadurch bietet die Zwei-Faktor-Authentifizierung nicht nur ein Mehr an Sicherheit - sie kann auch verwendet werden, um einen Nutzer zu überprüfen, der sich bei einem Dienst oder einer App neu anmeldet. So lässt sich eine Identität anhand einer Kombination aus zwei unterschiedlichen und unabhängigen Komponenten einwandfrei nachweisen. Neben etwas, das dem Nutzer bekannt ist (wie einem Kennwort), wird zudem etwas, das der Nutzer besitzt (wie ein Mobiltelefon) mit einbezogen. Meist wird ein Sicherheits-Code erstellt, der per SMS auf das Mobiltelefon geschickt wird und einmalig benutzt werden kann. Selbst am Bankautomaten findet eine zweischichtige Authentifizierung statt: Neben der Karte (etwas, das der Nutzer besitzt) wird auch eine PIN-Nummer (etwas, das dem Nutzer bekannt ist) benötigt.

Warum ist Zwei-Faktor-Authentifizierung sinnvoll?

Die traurige Wahrheit ist, dass unsere Daten heutzutage ständig Angriffen ausgesetzt sind. Passwörter können mithilfe von Methoden wie Phishing, Keylogging und Brute-Force-Attacken geknackt beziehungsweise gestohlen werden. Für viele Nutzer bedeutet dies: Gestohlene Bankdaten und Identitäten oder gefälschte, oftmals peinliche Social-Media-Posts. Für Unternehmen kann sich ein Datendiebstahl geschäftsschädigend auswirken, denn Spammer, Betrüger und Hacker sind eine todsichere Methode, um Kunden zur Konkurrenz zu treiben.

Die meisten von uns hätten Schwierigkeiten, jemanden zu finden, dessen Konten noch nie geknackt wurden. Ein prominentes Beispiel ist der gehackte offizielle Twitter-Account der Nachrichten- und Presseagentur Associated Press. Von diesem Account aus wurden 2013 Tweets mit der Nachricht verschickt, dass das Weiße Haus angegriffen und der Präsident verletzt wurde. Ein recht drastisches Beispiel, aber es veranschaulicht, warum sich so viele Unternehmen um den Schutz ihrer Daten sorgen. Und warum sie auf die Zwei-Faktor-Authentifizierung setzen, um einfach, schnell und kosteneffizient Nutzeridentitäten zu überprüfen und das Betrugsrisiko zu senken.

Zwei-Faktor-Authentifizierung via SMS

Eine Option zur 2FA sind Apps wie der Google Authenticator im Bild.
Eine Option zur 2FA sind Apps wie der Google Authenticator im Bild.
Foto: Google

Mittlerweile ist fast jeder Mensch auf der Erde in der Lage, eine SMS zu empfangen - rund fünf Milliarden Menschen besitzen ein Mobiltelefon, die Hälfte davon sind Smartphones. Aufgrund dieser flächendeckenden Verbreitung des Mobiltelefons nutzen viele Internet-Giganten SMS als Tool zur 2FA. Manch ein Nutzer öffnet einen Brief, manch einer öffnet eine E-Mail - doch nichts reicht an die 95-prozentige Leserate von SMS-Nachrichten heran.

Die Implementierung einer Zwei-Faktor-Authentifizierung via SMS auf globaler Ebene kann sich jedoch als äußerst kompliziert erweisen: Jedes Land hat unterschiedliche Vorschriften und Einschränkungen - das macht es Unternehmen aller Größen schwer, das Know-how und das komplexe Geflecht an Beziehungen zu den Netzbetreibern zu handhaben, welche zur Implementierung einer effizienten Lösung notwendig sind. Kunden in Indien können zum Beispiel bestimmte Arten von SMS-Nachrichten (A2P-SMS) nur zwischen neun Uhr morgens und 21 Uhr abends empfangen. Wenn Sie diese Einschränkung nicht kennen, werden Ihre Nachrichten zurückgewiesen, was die Akquise und Kundenbindung negativ beeinflussen kann.