Email
Hauptinhalt

So funk­tioniert der Zwei-Faktor-Au­then­ti­sier­ung-Dienst (2FA)

Passwörter können unter verschiedenen Umständen durch Angreifer ausgespäht werden. Zusätzlichen Schutz bietet die Zwei-Faktor-Authentisierung, bei der das Passwort um eine weitere Komponente (zweiter Faktor) erweitert wird. Das Hochschulrechenzentrum (HRZ) der Philipps-Universität Marburg sichert daher zentrale und sensitive IT-Dienste durch 2FA ab. Auf dieser Seite lesen Sie, warum 2FA wichtig ist und wie das Verfahren an der UMR funktioniert.

2FA funk­tioniert wie Bank­karte plus PIN

Banken nutzen die Zwei-Faktor-Authentisierung seit Jahrzehnten: Wer am Geldautomaten Geld abheben möchte, benötigt neben der persönlichen Bankkarte zusätzlich die dazugehörige PIN. Diese Kombination zweier voneinander unabhängiger Faktoren – Wissen (Passwort/PIN) plus Besitz (Gerät/Schlüssel) – bietet einen deutlich erhöhten Schutz vor Missbrauch. An der UMR setzen wir zur Absicherung wichtiger IT-Dienste bereits seit 2018 auf 2FA.

2FA-Verfahren der UMR im Über­blick

Der zweite Faktor wird auch als Token bezeichnet und kann auf verschiedene Weise realisiert werden.

Pro Uni-Account können maximal zehn Token registriert und parallel genutzt werden. Es ist ratsam, sich neben dem ersten primären Token mindestens eine Backup-Methode einzurichten. Dies ist direkt über das 2FA-Portal des HRZ möglich. Nicht mehr genutzte Token können Sie dort eigenständig löschen.

Hinweis: Beachten Sie an dieser Stelle bitte, dass der IT-Support des HRZ Tokens nur sperren, sie aber nicht löschen kann. Um Verzögerungen beim Support zu vermeiden, ist es ratsam, dass Sie deaktivierte Tokens löschen, sobald Sie diese nicht mehr benötigen.

2FA per Smartphone (APP-Token)

Das Standardverfahren für die meisten Nutzenden ist ein zeitbasiertes Einmalpasswort (Time-based One-Time Password, TOTP). Bei der Einrichtung im 2FA-Portal wird ein QR-Code erzeugt, den Sie mit einer Authentifizierungs-Anwendung einscannen.

  • Funktionsweise: Die App berechnet fortlaufend offline einen 8-stelligen Sicherheitscode (HMAC-SHA512), der alle 30 Sekunden wechselt. Unsere Anmeldeserver akzeptieren den Code innerhalb eines Kulanzzeitfensters von 180 Sekunden, um Eingabeverzögerungen und leichte Zeitabweichungen Ihrer Geräteuhr auszugleichen.
  • Smartphone-Apps: Das Verfahren ist standardisiert und funktioniert mit gängigen Apps wie Uni-Marburg App oder 2FAS.
  • Desktop-Alternativen: Wer kein Smartphone nutzen möchte oder am Arbeitsplatz arbeitet, kann den App-Token auch über Desktop-Software wie KeePassXC oder Proton Authenticator verwalten.

2FA per USB-Stick (nur Beschäftigte)

Besonders komfortabel und robust ist die Verwendung eines Hardware-Sicherheitsschlüssels.

  • Dienstliche Ausgabe: Für Staff-Accounts (Mitarbeitende mit Arbeitsvertrag beim Land Hessen / Philipps-Universität Marburg) wird standardmäßig ein YubiKey (derzeit Serie 5 mit USB-A) an die Dienstadresse ausgegeben.
  • Nutzung privater Geräte: Sie können auch einen eigenen, privat beschafften YubiKey nutzen. Dieser muss vor der ersten Verwendung am IT-Servicedesk initialisiert und für Ihren Account freigeschaltet werden.
  • Funktionsweise: Nach Eingabe von Benutzername und Passwort stecken Sie den Stick in den Rechner und berühren kurz die Sensortaste (mit dem „Y“). Der Stick tippt daraufhin automatisch ein 44-stelliges, kryptografisch verschlüsseltes Einmalpasswort (Yubico OTP) ein. Alternativ kann er per NFC an kompatiblen Smartphones genutzt werden.

Beachten Sie bitte: Beim YubiKey handelt es sich um ein Arbeitsmittel, wie ein Schlüssel oder Schließ-Transponder, im Wert von 50 €. Denken Sie daher unbedingt daran, ihn bei Vertragsende ebenfalls zurückzugeben.

2FA per Transaktionsnummer (TAN-Token) (Nur noch als Backup-Token)

Eine TAN ist ein klassisches Einmalpasswort (OTP), das nach einmaliger Eingabe sofort verfällt. Die Umstellung ist abgeschlossen: TAN-Listen dienen ab sofort ausschließlich als Notfall-Absicherung für das 2FA-Portal.

  • Ausschließlich Notfallzugang: TAN-Codes können nicht mehr für den regulären Login an IT-Diensten (Webmail, VPN etc.) verwendet werden. Sie dienen einzig dazu, sich am 2FA-Portal anzumelden, falls Sie Ihr Smartphone verloren haben oder Ihr primärer Token defekt ist.
  • Selbsterstellung im Portal (max. 2 Listen): Sie können sich im 2FA-Portal weiterhin selbst bis zu zwei Backup-Token mit jeweils 12 achtstelligen Codes (SHA512) herunterladen und ausdrucken.
  • Keine Ausgabe über den Support: Der Servicedesk stellt keine TAN-Listen mehr aus, versendet diese nicht per Post und Antragsformulare wurden deaktiviert.

Abschaltung alter Listen (Januar 2027)

Ältere TAN-Listen mit mehr als 12 Codes bzw. älterem Hash-Format werden im Januar 2027 endgültig deaktiviert. Betroffene Personen werden vorab individuell per E-Mail informiert, sobald für ihren Token ein verbindliches Ablaufdatum gesetzt wird

Weitere Alternativen am IT-Servicedesk

  • Geräte-Token (HOTP): Ein kompakter Hardware-Generator mit Display für Personen, die aus gesundheitlichen Gründen keine App nutzen können. Erzeugt auf Knopfdruck einen 8-stelligen Code (kann alternativ auch in der Uni-App hinterlegt werden; Ausgabe nur persönlich am Servicedesk).
  • Paper-Token: Eine ausgedruckte Liste von 150 Codes als Ausnahmelösung für Studierende, die keine andere technische Möglichkeit haben und sich selten an Diensten anmelden (Ausgabe nur persönlich am Servicedesk).

Ein Wort zum Abschluss: Doppelt hält besser

Sichere Passwörter in Verbindung mit einem zusätzlichen, zweiten Sicherheitsmerkmal schützen sehr wirksam vor Missbrauch durch Kriminelle. Selbst wenn Sie auf einen Phishing-Angriff hereinfallen und ihr Passwort offenbaren, können Fremde nicht auf den geschützten Onlinedienst zugreifen, weil ihnen der notwendige zweite Faktor für einen erfolgreichen Login fehlt.