Zwei-Faktor-Authentifizierung (2FA) im Casino
Zwei-Faktor-Authentifizierung (2FA) ist ein Anmeldeverfahren, bei dem Sie Ihre Identität mit zwei voneinander unabhängigen Merkmalen bestätigen, meist mit Passwort und einem einmaligen Code auf dem Handy. Wer nur Ihr Passwort kennt, kommt damit allein nicht ins Konto.
Im Online Casino schützt 2FA vor allem den Kassenbereich, weil dort hinterlegte Zahlungsdaten und das Guthaben liegen. Ob der zweite Faktor verpflichtend ist oder bloß angeboten wird, legt jeder Betreiber selbst fest; einen einheitlichen Standard dafür gibt es nicht.
Wie der Einmalcode berechnet wird
Die beiden Faktoren müssen aus unterschiedlichen Kategorien stammen: Wissen wie Passwort oder PIN, Besitz wie das Smartphone, Inhärenz wie der Fingerabdruck. Zwei Passwörter hintereinander sind deshalb keine 2FA.
Authenticator-Apps erzeugen den Code meist nach dem offenen Standard TOTP, beschrieben in RFC 6238. App und Server teilen beim Einrichten per QR-Code einen geheimen Schlüssel und berechnen danach unabhängig voneinander aus diesem Schlüssel und der aktuellen Uhrzeit denselben Wert. Der Standard empfiehlt ein Zeitfenster von 30 Sekunden, angezeigt werden üblicherweise 6 Ziffern, seltener 8.
Geht die Uhr am Handy deutlich falsch, lehnt der Server jeden Code ab.
Wo Ihnen 2FA im Casino begegnet
Typisch ist die Abfrage beim Login von einem neuen Gerät und vor allem dann, wenn Sie Auszahlungsdaten wie die IBAN ändern wollen.
Manche Betreiber schicken den Code per SMS oder E-Mail, andere setzen auf eine Authenticator-App. Ein SMS-Code ist besser als keiner, gilt aber als schwächer, weil sich Telefonnummern auf eine fremde SIM-Karte umleiten lassen. Haben Sie die Wahl, nehmen Sie die App und notieren Sie die Wiederherstellungscodes offline. Im Kleingedruckten heißen diese Codes gern „optional“, bis das Handy weg ist.
Lässt sich 2FA ohne weitere Bestätigung wieder abschalten, ist der Schutz nur halb so viel wert.
Abgrenzung zu KYC und SCA
2FA wird oft mit der KYC-Prüfung verwechselt, beantwortet aber eine ganz andere Frage.
KYC klärt einmal, wer Sie sind, meist per Ausweis und Adressnachweis vor der ersten Auszahlung. 2FA prüft bei jeder Anmeldung, ob tatsächlich der Kontoinhaber vor dem Bildschirm sitzt. Ein verifiziertes Konto ohne 2FA bleibt daher angreifbar.
Die starke Kundenauthentifizierung (SCA) nach der EU-Zahlungsdiensterichtlinie PSD2 folgt demselben Prinzip mit zwei von drei Kategorien, betrifft aber Ihre Bank oder Ihren Kartenanbieter. Die Freigabe einer Einzahlung in der Banking-App ist also SCA der Bank und ersetzt kein 2FA am Casino-Konto. Schneller wird eine Auszahlung durch beides übrigens nicht, auch wenn ein Banner „Sofortauszahlung“ verspricht.
