Multi-Faktor-Authentifizierung

Um die IT-Sicherheit an der Universität Wien zu erhöhen, stellt der ZID für einige Services eine Multi-Faktor-Authentifizierung (MFA) zur Verfügung.

Grundlagen verstehen

Multi-Faktor-Authentifizierung ist ein effektives Verfahren, um sich davor zu schützen, dass Unbefugte durch Phishing bzw. anderweitig entwendete oder verlorene Zugangsdaten (Nutzer*innenname und Passwort) Zugriff auf Services erlangen.

Melden Sie sich ohne Multi-Faktor-Authentifizierung an einem Service an, benötigen Sie dazu ausschließlich das Wissen über den Nutzer*innenname und das Passwort. Unbefugte können jedoch beispielsweise über Phishing-E-Mails Zugangsdaten erlangen: In diesen E-Mails werden Nutzer*innen dazu aufgefordert, sich auf verlinkten Webseiten oder Online-Formularen anzumelden. Diese täuschen vor, eine legitime Webseite bzw. ein legitimes Formular zu sein.

Die Multi-Faktor-Authentifizierung wirkt dem entgegen, indem zusätzliche Anmelde-Komponenten (Faktoren) für eine erfolgreiche Anmeldung nötig sind. Diese Faktoren müssen Nutzer*innen, die sich anmelden, physisch zugänglich sein. Dadurch können sie nicht auf elektronischem Weg verloren gehen.

Multi-Faktor-Authentifizierung bedeutet daher, dass mindestens zwei Faktoren bei der Anmeldung an einem Service nötig sind:

Wissen, etwa ein Passwort
Besitz, etwa ein Smartphone
Biometrik, etwa ein Fingerabdruck

Beispiel: Wenn Sie die Multi-Faktor-Authentifizierung für das VPN-Service aktiviert haben, müssen Sie folgende Daten eingeben, um sich anzumelden:

Erster Faktor: u:account-Zugangsdaten
Zweiter Faktor: Einmalpasswort (erzeugt durch eine App auf Ihrem Smartphone oder durch einen YubiKey)

Unterstützte Methoden

Der ZID unterstützt folgende Methoden für den zweiten Faktor:

Authentifizierungs-App am Smartphone, die Einmalpasswörter erzeugt. Unterstützt werden nur Apps, die zeitlich limitierte Einmalpasswörter über das TOTP-Verfahren (Time-based One-time Password) erzeugen.
Der ZID empfiehlt die Apps Google Authenticator, Microsoft Authenticator oder die Open-Source-App FreeOTP (kann unter Android via alternativem App-Store auch ohne Google-Konto genutzt werden).
Das TOTP-Verfahren funktioniert unabhängig von der Handynummer. Der ZID erfasst diese daher nicht.
YubiKey, den Sie via USB (oder NFC) mit Ihrem Computer, Smartphone oder Tablet verbinden.
YubiKeys können über das Service Hardware für Mitarbeiter*innen bestellt und anschließend am ZID (Standort NIG, Universitätsstraße 7) abgeholt werden.
Nur für Microsoft 365: Telefonanruf oder SMS von Microsoft an eine vorab von Ihnen registrierte Nummer

Hinweis

Vermeiden Sie es, Authentifizierungs-Apps auf demselben Gerät zu nutzen, auf dem Sie sich am Service anmelden. Sollte das Gerät, auf dem Sie sich am Service anmelden, entwendet oder verloren werden und sich die Authentifzierungs-App ebenfalls auf diesem Gerät befinden, ist die zusätzliche Sicherheit des zweiten Faktors nicht gegeben.

Nutzen Sie stattdessen ein separates Gerät jeweils für das Erstellen des Einmalpasswortes via Authentifizierungs-App (etwa Smartphone) und das Anmelden am Service (etwa Computer).