Das Wichtigste in Kürze
- Die Zwei-Faktor-Anmeldung verlangt neben dem Passwort einen zweiten, unabhängigen Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel.
- Sie ist eine technische Maßnahme im Sinne von Art. 32 DSGVO, die das Risiko unbefugter Zugriffe auf Mandatsdaten erheblich senkt.
- Mandanten nehmen das Verfahren eher an, wenn Sie den Nutzen in einfachen Worten erklären und eine kurze Anleitung mitgeben.
Dieser Beitrag gehört zum Ratgeber Mandantenportal und digitale Mandantenkommunikation. Verwandte Themen: Mandantenportal: Nutzen für Kanzlei und Mandanten und Dokumente sicher mit Mandanten austauschen.
Wie Zwei-Faktor-Anmeldung funktioniert
Bei der Zwei-Faktor-Anmeldung müssen Nutzer zwei voneinander unabhängige Nachweise erbringen, bevor sie Zugang erhalten: typischerweise etwas, das sie wissen, nämlich das Passwort, und etwas, das sie besitzen, etwa ein Smartphone oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.
Der Ablauf ist meist gleich. Nach Eingabe von Benutzername und Passwort fordert das System einen zweiten Nachweis an, etwa einen Zahlencode, eine Bestätigung auf dem Smartphone oder das Berühren eines Sicherheitsschlüssels. Erst danach ist die Anmeldung abgeschlossen. Viele Systeme erlauben, ein vertrautes Gerät für eine gewisse Zeit zu merken.
Für Kanzleien ist eine starke Anmeldung besonders wichtig, weil Mandantenportale vertrauliche Mandatsdaten enthalten (§ 43a Abs. 2 BRAO). Art. 32 DSGVO verlangt risikogerechte Sicherheitsmaßnahmen. Das BSI empfiehlt die Aktivierung von Zwei-Faktor-Authentisierung überall dort, wo sie angeboten wird; für den Zugriff auf besonders vertrauliche Kanzleidokumente ist ein zweiter Faktor daher regelmäßig eine sachgerechte Schutzmaßnahme. Ein geeignetes Wiederherstellungsverfahren muss mitgeplant werden.
Welche Verfahren es gibt
Verbreitet sind vier Verfahren: Einmalcodes aus einer Authenticator-App, Codes per SMS, Push-Bestätigungen auf dem Smartphone und Sicherheitsschlüssel oder Passkeys nach dem FIDO2-Standard. Sie unterscheiden sich in Sicherheit und Bedienkomfort.
Authenticator-Apps erzeugen nach dem offenen TOTP-Verfahren in kurzen Abständen neue Codes und funktionieren ohne Mobilfunkempfang. SMS-Codes sind einfach, gelten aber als schwächer, weil Nachrichten abgefangen oder Rufnummern auf fremde SIM-Karten übertragen werden können. Push-Bestätigungen sind bequem, bergen aber das Risiko, dass Nutzer eine Anfrage aus Gewohnheit bestätigen.
Passkeys und FIDO2-Sicherheitsschlüssel sind im Vergleich zu Passwort und Einmalcode besonders widerstandsfähig gegen typische Phishingangriffe, weil das Anmeldeverfahren kryptografisch an den Dienst gebunden ist. Das BSI nennt Passkeys als sichere Alternative zu Passwörtern mit Einmalcodes. Sie erfordern jedoch kompatible Geräte sowie geregelte Wiederherstellungswege; eine Mandantenportal-Lösung sollte mehrere geeignete Anmeldeverfahren unterstützen.
- Authenticator-App mit Einmalcodes
- Code per SMS
- Push-Bestätigung auf dem Smartphone
- Sicherheitsschlüssel oder Passkey
- Wiederherstellungscodes für den Notfall
So erklären Sie es Mandanten
Erklären Sie Mandanten die Zwei-Faktor-Anmeldung über den Nutzen: Sie schützt ihre vertraulichen Unterlagen auch dann, wenn jemand ihr Passwort kennt. Der Vergleich mit dem Onlinebanking, bei dem Überweisungen zusätzlich bestätigt werden müssen, ist den meisten vertraut.
Geben Sie eine kurze schriftliche Anleitung mit Bildschirmfotos mit und nennen Sie eine Ansprechperson für Probleme. Weisen Sie ausdrücklich darauf hin, dass die Kanzlei niemals per Telefon oder E-Mail nach einem Code fragt. Dieser Hinweis schützt vor Betrugsversuchen, bei denen sich Angreifer als Kanzlei ausgeben.
Planen Sie den Fall, dass ein Mandant sein Smartphone verliert. Wiederherstellungscodes oder ein festgelegtes Verfahren zum Zurücksetzen gehören zur Einrichtung. Das Zurücksetzen darf nur nach sicherer Identifizierung erfolgen, etwa durch Rückruf unter einer bekannten Nummer, sonst wird es selbst zur Schwachstelle.
- Authenticator-App installieren
- QR-Code im Portal scannen
- angezeigten Code zur Bestätigung eingeben
- Wiederherstellungscodes sicher aufbewahren
- bei Problemen die benannte Ansprechperson kontaktieren
Häufige Fragen kurz beantwortet
Wie funktioniert die Zwei-Faktor-Anmeldung?
Bei der Zwei-Faktor-Anmeldung müssen Nutzer zwei voneinander unabhängige Nachweise erbringen, bevor sie Zugang erhalten: typischerweise etwas, das sie wissen, nämlich das Passwort, und etwas, das sie besitzen, etwa ein Smartphone oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.
Welche Verfahren der Zwei-Faktor-Anmeldung gibt es?
Verbreitet sind vier Verfahren: Einmalcodes aus einer Authenticator-App, Codes per SMS, Push-Bestätigungen auf dem Smartphone und Sicherheitsschlüssel oder Passkeys nach dem FIDO2-Standard. Sie unterscheiden sich in Sicherheit und Bedienkomfort.
Wie erkläre ich Mandanten die Zwei-Faktor-Anmeldung?
Erklären Sie Mandanten die Zwei-Faktor-Anmeldung über den Nutzen: Sie schützt ihre vertraulichen Unterlagen auch dann, wenn jemand ihr Passwort kennt. Der Vergleich mit dem Onlinebanking, bei dem Überweisungen zusätzlich bestätigt werden müssen, ist den meisten vertraut.
Rechtsgrundlagen und Quellen
- Art. 32 DSGVO – Sicherheit der Verarbeitung
- Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten
- § 43a BRAO – Grundpflichten, Verschwiegenheit
- § 2 BORA – Verschwiegenheit
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.