Glossar

Two-Factor-Authentication (2FA) oder Multi-Factor-Authentication (MFA) sind Sicherheitsmethoden, bei denen zwei (2FA) oder mehrere (MFA) Arten von Identitätsnachweisen verwendet werden müssen, um auf ein Konto oder eine Plattform zuzugreifen. Statt nur einem Passwort benötigt man zusätzlich einen zweiten Code oder Bestätigungsschritt, der normalerweise von einem anderen Gerät, z.B. einem Smartphone, generiert wird. Diese Nachweise können verschiedene Formen annehmen: z.B. etwas, das der Benutzer weiß (Passwort), etwas, das er besitzt (Smartphone, Token) und etwas, das er ist (biometrische Merkmale wie Fingerabdruck, Gesichtserkennung). Durch die Kombination mehrerer Authentifizierungsmethoden bietet MFA ein noch höheres Maß an Sicherheit und Schutz vor unbefugtem Zugriff auf sensible Informationen oder Ressourcen.

MFA gilt auch als eine Bedingung zur Einhaltung des “Strong Customer Authentication” (SCA), welches die Zahlungsdiensterichtlinie (PSD2) der EU vorgibt und innerhalb des europäischen Wirtschaftsraumes gilt. Dabei soll mittels MFA die erhöhte Sicherheit bei elektronischen Zahlungen garantiert werden. SCA ist eine Authentifizierung, die die Verwendung von zwei oder mehr Elementen voraussetzt.

2FA ist wichtig für die Sicherheit von Zahlungen, da sie eine zusätzliche Sicherheitsebene bietet, die es Angreifern erschwert, auf Konten zuzugreifen oder betrügerische Transaktionen durchzuführen. Selbst wenn ein Angreifer ein Passwort kennt oder stiehlt, benötigt er zusätzlich den zweiten Faktor, um sich anzumelden oder eine Zahlung durchzuführen. Dadurch wird es erheblich schwieriger, unbefugten Zugriff zu erlangen, was die Sicherheit von Zahlungsprozessen, insbesondere im Online-Bereich, deutlich erhöht. Außerdem wird der eigentliche Kontoinhaber direkt darüber informiert, dass ein fremder Anmeldeversuch gestartet wurde und kann so direkt sein Passwort ändern. 

Dies reduziert das Risiko von Zahlungsbetrug und Chargebacks, schützt die Reputation eines Unternehmens und trägt dazu bei, das Vertrauen der Kunden in die Sicherheit ihrer Zahlungsdaten zu stärken. Letztendlich kann die Implementierung von Zweifaktor-Authentifizierung dazu beitragen, finanzielle Verluste durch betrügerische Aktivitäten zu minimieren und die Integrität des Zahlungssystems zu wahren.

Bei der Zweifaktor-Authentifizierung für Zahlungen werden verschiedene Arten von Faktoren verwendet, um die Identität des Kunden zu überprüfen und die Sicherheit von Transaktionen zu erhöhen. Typische Faktoren umfassen etwas, das der Kunde weiß (z. B. ein Passwort oder eine PIN), etwas, das er besitzt (z. B. ein Mobiltelefon oder eine Smartcard) und etwas, das er ist (z. B. biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung). Diese Kombination aus verschiedenen Faktoren erhöht die Sicherheit, da selbst wenn ein Faktor kompromittiert ist, der Angreifer dennoch einen zusätzlichen Faktor überwinden muss, um auf das Konto zuzugreifen oder Transaktionen durchzuführen. Die Vielfalt der verwendeten Faktoren bietet eine flexible und robuste Sicherheitslösung für Händler und ermöglicht es ihnen, den Schutz ihrer Zahlungssysteme an die Bedürfnisse ihrer Kunden anzupassen.

Card Schemes wie Mastercard oder Visa verwenden oftmals eigene MFA Methoden, die den Sicherheitsstatus ebenfalls erhöhen. Ein Beispiel hierfür ist Visa Secure. Bei jeder Online-Transaktion überprüft und bestätigt Visa Secure die Identität sowie die Bonität des Karteninhabers, indem der Online-Shop beim Bezahlvorgang eine sichere Verbindung zur Issuer Bank herstellt. Der Kunde wird dann aufgefordert, sein Kennwort zur Bestätigung der Identität einzugeben. So werden nicht nur die Kunden vor Kartenmissbrauch geschützt, sondern auch die Merchants durch einen garantierten Zahlungseingang.

Die Einhaltung von Vorschriften wie PCI DSS hat einen signifikanten Einfluss auf die Implementierung der Zweifaktor-Authentifizierung in Zahlungssystemen für Händler. PCI DSS stellt strenge Sicherheitsstandards für die Verarbeitung, Speicherung und Übertragung von Zahlungskartendaten auf, um die Sicherheit von Transaktionen zu gewährleisten und Betrug zu verhindern. Die Anforderungen von PCI DSS geben vor, dass Händler zusätzliche Sicherheitsmaßnahmen wie die Zweifaktor-Authentifizierung implementieren. Durch die Umsetzung der Zweifaktor-Authentifizierung können Händler nicht nur die Risiken von Datenschutzverletzungen und Betrug minimieren, sondern auch das Vertrauen ihrer Kunden stärken und potenzielle Sanktionen oder Strafen aufgrund von Nichtbeachtung von Vorschriften vermeiden.

Obwohl die Zwei-Faktor-Authentifizierung (2FA) im Allgemeinen als eine sehr sichere Methode zur Absicherung von Konten gilt, ist eine Kompromittierung nicht ausgeschlossen. Händler sollten sicherstellen, dass die 2FA-Methode, die sie verwenden, ihre Kunden effektiv schützt, ohne sie zu sehr zu belasten. Hier sind drei Maßnahmen, um Risiken zu minimieren:

• Starke Authentifizierungsmethoden: Einige Methoden der zweiten Authentifizierung, wie z.B. SMS-Codes, sind anfälliger für Angriffe als andere. Die Verwendung von sichereren Methoden wie Authentifizierungs-Apps oder physischen Sicherheitsschlüsseln kann das Risiko verringern. Dies schützt auch besser vor Phishing-Angriffen.
• Rückverfolgbarkeit: Händler sollten Systeme implementieren, um verdächtige Aktivitäten zu erkennen und zu überwachen, insbesondere wenn es um die Authentifizierung von Kunden geht. Dies könnte die Protokollierung von Authentifizierungsereignissen und die Überwachung von Anomalien umfassen, um potenzielle Angriffe frühzeitig zu erkennen.