Alles Wissenswerte, nichts Unwissendes.
Wovor schützt jedes einzelne tatsächlich?
Ein zeitbasierter Code einer Authentifizierungs-App wird auf dem Gerät aus einem gemeinsamen Geheimnis generiert und niemals über ein Netzwerk übertragen. Daher ist er immun gegen SIM Swapping, SS7 Abfangen und Netzwerküberwachung. Ein SMS Code hingegen durchläuft das Betreibernetz, was bedeutet, dass er durch einen SIM Swap umgeleitet und auf schlecht geschützten Strecken auf der Signalisierungsebene abgefangen werden kann. Gegen die Wiederverwendung von Passwörtern und Credential Stuffing – die mit Abstand häufigste Angriffsart – sind beide wirksam.
Was jeder einzelne an Nutzern kostet
Authentifizierungs-Apps haben einen Registrierungsaufwand: Der Nutzer muss eine App installieren, einen Code scannen und das Gerät behalten. Viele Nutzer schließen diesen Schritt nicht ab, und Geräteverluste verursachen zusätzlichen Supportaufwand. SMS hingegen kommt ohne Registrierung aus – der Nutzer besitzt die Nummer bereits. In Märkten mit geringerer Smartphone-Verbreitung oder häufigen Gerätewechseln ist SMS nicht nur die schlechtere, sondern die einzig funktionierende Option.
Eine vernünftige Hierarchie
Bieten Sie Passwörter oder eine Authentifizierungs-App als primären Faktor an und gestalten Sie die Registrierung attraktiv. Nutzen Sie SMS als Ausweichmöglichkeit, damit niemand ausgesperrt wird. Reservieren Sie die sicherheitskritischsten Vorgänge – Geldtransfer, Änderung eines Auszahlungskontos, Deaktivierung von Sicherheitskontrollen – ausschließlich für den starken Faktor und fügen Sie eine Statusprüfung hinzu, sodass ein kürzlich erfolgter SIM Kartenwechsel eine Erhöhung der Sicherheitsstufe erzwingt. So wird sichergestellt, dass der schwache Faktor niemals das schützt, was am schmerzlichsten zu verlieren wäre.
Wenn Sie nur einen versenden können
Versenden Sie SMS OTP – und zwar zuverlässig: Direkte Weiterleitung über den Mobilfunkanbieter, damit der Code innerhalb von Sekunden statt Minuten ankommt, kurze Gültigkeitsdauer, geringe Versuchsbegrenzung und eine Sprachoption für die wenigen Nachrichten, die nicht zugestellt werden. Ein zuverlässig zugestellter SMS Code ist einer Authentifizierungs-App, bei der sich der Nutzer nie registriert hat, überlegen – und Sie können die stärkere Authentifizierung später hinzufügen, ohne die Sprachoption zu entfernen.