Drei-Faktor-Authentifizierung (3FA)
Was ist die Drei-Faktor-Authentifizierung (3FA)?
Die Drei-Faktor-Authentifizierung (3FA) ist die Verwendung von Identitätsnachweisen aus drei verschiedenen Kategorien von Authentifizierungsfaktoren – in der Regel den Kategorien Wissen, Besitz und Inhärenz.
Diese Art der Multifaktor-Authentifizierung (MFA) verbessert die Sicherheit gegenüber der Ein- oder Zwei-Faktor-Authentifizierung (2FA), da es unwahrscheinlich ist, dass ein Angreifer alle drei Elemente der 3FA fälschen oder stehlen kann. 3FA ist sinnvoll für Unternehmen, die mit sehr sensiblen Daten umgehen und ein hohes Maß an Sicherheit für die Anmeldung benötigen.
Authentifizierungsfaktoren lassen sich klassischerweise in die folgenden drei Kategorien einteilen:
- Wissensfaktoren – auch als „etwas, das Sie wissen“ bezeichnet, umfassen Dinge, die ein Benutzer wissen muss, um sich anzumelden. Dazu gehören Benutzernamen, IDs, Passwörter und persönliche Identifikationsnummern (PINs).
- Besitzfaktoren – auch als „etwas, das Sie haben“ bezeichnet, umfassen alles, was ein Benutzer besitzen muss, um sich anzumelden. Zu dieser Kategorie gehören Einmalpasswort-Token, Schlüsselanhänger, Smartphones mit OTP-Apps, Mitarbeiterausweise und SIM-Karten.
- Inhärenzfaktor – auch als „etwas, das Sie sind“ bezeichnet, umfassen alle biologischen Merkmale des Benutzers, die für die Anmeldung überprüft werden können. Zu dieser Kategorie gehören biometrische Daten wie Fingerabdruckscans, Gesichtserkennung oder Stimmerkennung. Biometrische Daten werden beispielsweise häufig mit Smartphones verwendet, die Fingerabdruckscanner oder Gesichtserkennung nutzen.
Anwendungsfälle für die Drei-Faktor-Authentifizierung
Die Drei-Faktor-Authentifizierung ist sicherer als 2FA, da Benutzer drei Identitätsnachweise erbringen müssen, im Gegensatz zu den zwei verschiedenen Nachweisen, die 2FA erfordert. Damit ein System als Drei-Faktor-Authentifizierung gilt, muss mindestens ein Element aus jeder Kategorie verwendet werden – die Auswahl von drei Authentifizierungsfaktoren aus zwei Kategorien gilt nur als 2FA.
Daher wird 3FA häufig von Unternehmen verwendet, die ein hohes Maß an Sicherheit benötigen. Beispielsweise kann 3FA von Unternehmen, Universitäten und Hochschulen, Behörden und Organisationen im Gesundheitswesen für den Zugriff auf Konten und die Durchführung von Transaktionen verwendet werden.
Die Zuverlässigkeit der Authentifizierung wird durch die Anzahl der beteiligten Faktoren sowie deren Implementierung beeinflusst. In jeder Kategorie haben die für die Authentifizierungsregeln getroffenen Entscheidungen großen Einfluss auf die Sicherheit der einzelnen Faktoren.
2-Faktor- vs. 3-Faktor-Authentifizierung
Der größte Unterschied zwischen 2FA und 3FA besteht darin, dass 3FA einen weiteren Sicherheitsfaktor mehr erfordert als 2FA. Dadurch ist 3FA eine sicherere Form der Multifaktor-Authentifizierung.
Obwohl 3FA allgemein als sicherer gilt, kann ein System mit 2FA bei schlechter Implementierung der 3-Faktor-Authentifizierung sicherer sein, da zwei starke, gut implementierte Faktoren sicherer sind als drei schwache Authentifizierungsfaktoren. Laxe Regeln und Implementierungen führen zu einer schwächeren Sicherheit. Alternativ können bessere Regeln eine bessere Sicherheit pro Faktor und eine bessere Sicherheit für Multifaktor-Authentifizierungssysteme insgesamt ergeben.
Zusätzliche Faktoren wie Standort oder Zeit können zusätzlich verwendet werden, um eine Vier-Faktor-Authentifizierung zu erstellen.
