Zwei-Faktor-Authentifizierung (2FA): Arten und Einrichtung

Zwei-Faktor-Authentifizierung, kurz 2FA, bedeutet, dass Sie sich mit zwei verschiedenen Dingen ausweisen statt nur mit einem Passwort. Selbst wenn jemand Ihr Passwort durch ein Datenleck oder eine gefälschte Login-Seite erbeutet, braucht er den zweiten Faktor, um hineinzukommen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, sie überall zu nutzen, wo sie angeboten wird.

Die drei Arten von Faktoren

• Etwas, das Sie wissen: Passwort oder PIN.
• Etwas, das Sie besitzen: Ihr Smartphone, eine Authenticator-App darauf oder ein Sicherheitsschlüssel.
• Etwas, das Sie sind: Fingerabdruck oder Gesicht.

Echte Zwei-Faktor-Sicherheit kombiniert zwei verschiedene Arten. Zwei Passwörter oder ein Passwort plus Sicherheitsfrage sind keine zwei Faktoren, denn beides ist Wissen.

Die wichtigsten 2FA-Methoden im Vergleich

Methode	Funktionsweise	Stärken	Schwächen
SMS-Code	Ein Code kommt per Textnachricht	Funktioniert mit jedem Handy, keine App	Kann abgefangen oder umgeleitet werden, siehe SMS-Codes und ihre Risiken
E-Mail-Code	Ein Code kommt per E-Mail	Einfach	Nur so sicher wie das E-Mail-Konto
Authenticator-App (TOTP)	Eine App zeigt einen sechsstelligen Code, der alle 30 Sekunden wechselt	Funktioniert offline, keine Telefonnummer nötig	Der Code lässt sich weiterhin auf einer Fälschung eintippen, siehe Wie TOTP-Codes funktionieren
Push-Bestätigung	Sie tippen auf „Genehmigen“	Schnell	Anfällig für versehentliche Zustimmung, bei Phishing-Gefahr ungeeignet
Hardware-Sicherheitsschlüssel	Sie stecken einen physischen Schlüssel an oder halten ihn an	Am stärksten, phishing-resistent	Kostet Geld, ein Ersatz ist nötig, siehe Hardware-Sicherheitsschlüssel
Passkey	Ihr Gerät beweist den Besitz eines privaten Schlüssels	Stark und einfach, phishing-resistent	Noch nicht überall unterstützt, siehe Passkeys erklärt
Backup-Codes	Ausgedruckte Einmalcodes	Sicherheitsnetz	Müssen sicher verwahrt werden, siehe Backup-Codes

Das BSI nennt Authenticator-Apps und hardwaregestützte Verfahren als stärker als per Textnachricht verschickte Codes und hebt hervor, dass hardwaregestützte Verfahren ein besonders hohes Sicherheitsniveau bieten. Außerdem rät es davon ab, den SMS-Code auf demselben Gerät zu empfangen, mit dem Sie sich anmelden, da die Faktoren dann nicht ausreichend getrennt sind.

Welche Konten zuerst

Beginnen Sie dort, wo ein Einbruch am meisten schadet:

1. Ihr wichtigstes E-Mail-Konto. Es kann die Passwörter fast aller anderen Konten zurücksetzen.
2. Apple-, Google- oder Microsoft-Konto. Dort hängen Geräte, Dateien, Fotos und oft Ihre Passkeys.
3. Banking, Zahlungsdienste und Shops. Banken im EU-Raum verlangen für Zahlungen bereits starke Kundenauthentifizierung, doch auch Ihr eigener Login verdient einen starken Faktor.
4. Ihr Passwortmanager. Er ist der Schlüssel zu allem, sichern Sie ihn mit dem stärksten verfügbaren Faktor.
5. Soziale Netzwerke und Messenger. Übernahmen dort werden genutzt, um Ihre Kontakte zu betrügen.

So aktivieren Sie 2FA

1. Öffnen Sie die Sicherheits- oder Datenschutzeinstellungen des Kontos und suchen Sie „Zwei-Schritt-Verifizierung“, „Zwei-Faktor-Authentifizierung“ oder „Anmeldebestätigung“.
2. Wählen Sie die Methode. Steht eine Authenticator-App oder ein Sicherheitsschlüssel zur Wahl, bevorzugen Sie diese gegenüber SMS.
3. Bei einer Authenticator-App scannen Sie den QR-Code mit der App und geben zur Bestätigung den ersten Code ein. Unser Vergleich der Authenticator-Apps hilft bei der Auswahl.
4. Sichern Sie die Backup-Codes, die der Dienst anzeigt. Bewahren Sie sie offline auf, etwa im Passwortmanager oder ausgedruckt an einem sicheren Ort.
5. Testen Sie, indem Sie sich ab- und wieder anmelden.

Wie sich das im Alltag anfühlt

Sie geben Benutzernamen und Passwort wie gewohnt ein. Danach fragt der Dienst nach einem zweiten Nachweis: einem sechsstelligen Code aus Ihrer App, einer Berührung des Schlüssels oder einer Bestätigung auf dem Handy. Viele Dienste lassen Sie „Diesem Gerät vertrauen“ ankreuzen, sodass Sie auf Ihrem eigenen Computer nicht jedes Mal gefragt werden und der zusätzliche Schritt auf wenige Sekunden am Tag schrumpft. Mit einem Passkey verschmelzen beide Schritte: Sie geben den Passkey per Fingerabdruck oder Gesicht frei, und das zählt bereits als beide Faktoren.

Wenn Sie in der EU online bezahlen, kennen Sie eine Variante davon schon. Die Regeln für Karten- und Bankzahlungen verlangen starke Kundenauthentifizierung, weshalb Ihre Bank Sie bittet, eine Zahlung in der App oder mit einem Code zu bestätigen. Ihre eigenen Konto-Logins verdienen dieselbe Sorgfalt.

Typische Fehler vermeiden

• Ein Handy für alles ohne Backup. Hinterlegen Sie eine zweite Methode oder ein zweites Gerät.
• Wiederherstellung ignorieren. Ist Ihr einziger zweiter Faktor weg und fehlen Codes, kann die Wiederherstellung Tage dauern. Lesen Sie vorab die Konto-Wiederherstellung.
• Nicht angestoßene Anfragen genehmigen. Taucht unerwartet eine Bestätigungsanfrage auf, lehnen Sie ab und ändern Sie Ihr Passwort.
• Codes auf einer Seite eingeben, die Sie über einen Link in einer Nachricht erreicht haben. Tippen Sie die Adresse selbst ein oder nutzen Sie ein Lesezeichen.

Der nächste Schritt

Die normale 2FA stoppt bereits die meisten automatisierten Angriffe. Wollen Sie sich auch gegen die raffinierten schützen, bei denen eine Fälschung Passwort und Code in Echtzeit weiterreicht, steigen Sie auf phishing-resistente MFA um: Passkeys und Hardware-Sicherheitsschlüssel. Sie müssen kein Experte sein und nicht überall auf einmal umstellen. Ein starker zweiter Faktor bei den drei, vier wichtigsten Konten ist ein sehr guter Anfang.

Kurz zusammengefasst

1. Aktivieren Sie 2FA zuerst bei E-Mail, Plattformkonto, Banking und Passwortmanager.
2. Bevorzugen Sie Passkey oder Hardware-Schlüssel vor Authenticator-App, und diese vor SMS.
3. Sichern Sie Backup-Codes offline und prüfen Sie, dass Ihre Wiederherstellung funktioniert.
4. Genehmigen Sie nie Anfragen, die Sie nicht selbst ausgelöst haben.