Alles Wissenswerte, nichts Unwissendes.
Was ein OTP ist
Ein Einmalpasswort (OTP) ist ein kurzer, einmalig verwendbarer Code – typischerweise 4 bis 8 Ziffern –, der nur einmal und für einen kurzen Zeitraum gültig ist. Es wird dem Nutzer auf einem beliebigen Kanal zugestellt, meist per SMS, aber auch per WhatsApp, Sprachanruf, Flash-Anruf, E-Mail oder lokal generiert von einer Authentifizierungs-App. Da es abläuft und nicht wiederverwendet werden kann, beweist ein OTP zum Zeitpunkt der Zustellung, dass der Nutzer die Kontrolle über den Kanal hat, über den es gesendet wurde.
- Ein Einmalcode, der nur einmal und für kurze Zeit gültig ist.
- Zustellung per SMS, WhatsApp, Sprachnachricht, Flash-Anruf, E-Mail oder App.
- Beweist die Kontrolle über den Kanal, an den es gesendet wurde.
- Ablaufdatum und einmalige Verwendung machen es zu einem „Einmalprodukt“.
Was ist 2FA?
Die Zwei-Faktor-Authentifizierung erfordert zwei Nachweise aus unterschiedlichen Kategorien: etwas, das Sie wissen (Passwort oder PIN), etwas, das Sie besitzen (Telefon, Sicherheitsschlüssel, Einmalpasswort) oder etwas, das Sie sind (Fingerabdruck oder Gesicht). Der entscheidende Punkt ist die Unabhängigkeit – ein Angreifer, der Ihr Passwort stiehlt, hat immer noch keinen zweiten Faktor. Ein Passwort plus ein per SMS gesendetes Einmalpasswort (OTP) ist 2FA; zwei Passwörter allein reichen nicht aus, da sie denselben Faktortyp darstellen.
- Zwei Faktoren aus verschiedenen Kategorien: wissen / haben / sind.
- Passwort + SMS-OTP = 2FA; Passwort + PIN = keine 2FA.
- Unabhängigkeit ist die Sicherheitseigenschaft, die zählt.
- Die MFA verallgemeinert die 2FA auf zwei oder mehr Faktoren.
Wie sie miteinander in Beziehung stehen
Ein Einmalpasswort (OTP) ist häufig der entscheidende Faktor für die Authentifizierung bei Zwei-Faktor-Authentifizierung (2FA) – aber es ist nur eine von mehreren Optionen und nicht die sicherste. SMS-OTPs sind anfällig für Phishing, SIM-Swapping und SMS-Pumping-Betrug. Daher stuft beispielsweise der NIST SP 800-63B SMS als eingeschränktes Authentifizierungsverfahren ein, und es gibt Alternativen wie Flash-Anrufe, stille Netzwerkauthentifizierung, Authentifizierungs-Apps und Hardware-Schlüssel. Sie können ein OTP ohne 2FA (passwortlose Anmeldung per Code) und 2FA ohne OTP (Passwort plus Fingerabdruck) verwenden.
- OTP ist in der Regel der entscheidende Faktor, aber nicht der einzige.
- SMS-OTP ist schwächer als App-basierte oder Hardware-Faktoren.
- NIST SP 800-63B schränkt die Verwendung von SMS als Authentifizierungsmethode ein.
- Sowohl OTP ohne 2FA als auch 2FA ohne OTP existieren.
OTP vs. 2FA auf einen Blick
| OTP | 2FA | |
|---|---|---|
| Was es ist | Ein Einmalcode | Ein Zwei-Faktor-Sicherheitsmodell |
| Umfang | Ein Authentifizierungsmechanismus | Eine Richtlinie, die zwei Faktoren kombiniert |
| Beispiele | SMS-Code, Sprachcode, App-Code | Passwort + OTP, Passwort + Fingerabdruck |
| Zustellung / Methoden | SMS, WhatsApp, Sprache, Flash Call, App | Zwei beliebige unabhängige Faktortypen |
| Beziehung | Kann der zweite Faktor bei 2FA sein | Kann ein OTP verwenden, muss aber nicht |