Was ist Zwei-Faktor-Authentifizierung (2FA) und warum Sie sie benötigen?

Sie können das sicherste Passwort der Welt haben und trotzdem Ihr Konto verlieren – weil Passwörter bei Datenschutzverletzungen ständig verloren gehen. Die Zwei-Faktor-Authentifizierung (2FA) ist die einfache zweite Sperre, die verhindert, dass ein gestohlenes Passwort ausreicht, um Zugang zu erhalten. Wenn Sie diese Woche etwas für Ihre Online-Sicherheit tun, dann tun Sie es so.

Was 2FA eigentlich ist

Authentifizierungsfaktoren gibt es in drei Arten: etwas, das Sie wissen (ein Passwort), etwas, das Sie haben (Ihr Telefon oder ein Sicherheitsschlüssel) und etwas, das Sie sind (ein Fingerabdruck oder ein Gesicht). Für 2FA sind lediglich zwei davon statt einer erforderlich. Selbst wenn also ein Angreifer Ihr Passwort stiehlt, kann er sich ohne Ihren zweiten Faktor nicht anmelden.

Die Typen, vom schwächsten zum stärksten

• SMS-Codes: ein Text mit einem Einmalcode. Besser als nichts, aber anfällig für „SIM-Swap“-Angriffe, bei denen Kriminelle Ihre Telefonnummer kapern.
• Authenticator-Apps: Apps wie Google Authenticator oder Authy generieren rotierende Codes auf Ihrem Gerät. Viel sicherer als SMS und kostenlos.
• Hardware-Sicherheitsschlüssel: physische Geräte (wie ein YubiKey), die Sie anschließen oder darauf tippen. Der Goldstandard – praktisch Phishing-sicher.

Wo immer Sie können, wählen Sie statt SMS eine Authentifizierungs-App oder einen Hardwareschlüssel.

Warum es die meisten Angriffe stoppt

Die überwiegende Mehrheit der Kontoübernahmen beruht auf gestohlenen oder wiederverwendeten Passwörtern (weshalb Sie diese niemals wiederverwenden sollten – siehe unseren Leitfaden für sichere Passwörter). 2FA unterbindet diesen Angriff vollständig: Das Passwort allein ist nutzlos. Große Sicherheitsbehörden, darunter die US-amerikanische CISA, zählen die Aktivierung von MFA zu den effektivsten Dingen, die Einzelpersonen tun können.

Wo man es zuerst einschaltet

Beginnen Sie mit Ihrer E-Mail-Adresse – sie ist der Hauptschlüssel, denn dort findet das Zurücksetzen des Passworts für alles andere statt. Dann Ihre Bank, Ihr Passwort-Manager und Ihre wichtigsten sozialen und Cloud-Konten. Die meisten Dienste haben es unter Einstellungen → Sicherheit.

Backup-Codes nicht vergessen

Wenn Sie 2FA aktivieren, erhalten Sie normalerweise Backup-Codes. Speichern Sie sie an einem sicheren Ort (nicht am selben Ort wie Ihr Passwort). Sie sind Ihr Weg zurück, wenn Sie Ihr Telefon verlieren – ohne sie können Sie von Ihrem eigenen Konto ausgeschlossen werden.

Warum Authentifizierungs-Apps SMS schlagen

SMS-Codes sind beliebt, weil sie einfach sind, aber sie sind die schwächste häufige Form von 2FA. Bei einem „SIM-Swap“-Angriff überredet ein Krimineller Ihren Mobilfunkanbieter, Ihre Nummer auf seine SIM-Karte zu verschieben, und plötzlich landen Ihre Codes auf seinem Telefon. Auch SMS können abgefangen werden. Authentifizierungs-Apps generieren Codes auf Ihrem Gerät selbst, ohne dass ein Netzwerk beteiligt ist, sodass nichts abgefangen oder umgeleitet werden muss. Wenn ein Dienst App-basiertes 2FA anbietet, wählen Sie es jedes Mal gegenüber Textnachrichten.

Wie TOTP-Codes tatsächlich funktionieren

Diese sechsstelligen Codes, die alle 30 Sekunden aktualisiert werden, verwenden einen Standard namens TOTP (Time-based One-Time Password). Wenn Sie den Setup-QR-Code scannen, teilen Ihre App und der Server ein Geheimnis; Beide kombinieren dann dieses Geheimnis mit der aktuellen Zeit, um unabhängig voneinander denselben Code zu berechnen. Es wird nie ein Code über das Netzwerk gesendet – beide Seiten berechnen ihn lediglich. Das ist der Grund, warum eine Authentifizierungs-App auch im Flugzeugmodus funktioniert und warum es so schwierig ist, die Codes in großen Mengen zu fälschen.

Passkeys: der nächste Schritt über 2FA hinaus

Eine neuere Technologie, Passkeys, beginnt, Passwörter plus 2FA vollständig zu ersetzen. Ein Passkey nutzt die biometrischen Daten Ihres Geräts (Fingerabdruck oder Gesicht) und die Public-Key-Kryptografie, sodass kein Passwort zum Phishing oder Durchsickern vorhanden ist und nichts eingegeben werden muss. Wenn ein Dienst Passkeys anbietet, sind diese sicherer und bequemer als ein Passwort und ein Code. 2FA ist auch heute noch unverzichtbar, aber Passkeys sind der Schlüssel zur Kontosicherheit.

Fazit

2FA erfordert einen zweiten Identitätsnachweis, sodass ein durchgesickertes Passwort nicht ausreicht, um einzubrechen. Verwenden Sie eine Authentifizierungs-App oder einen Hardwareschlüssel anstelle von SMS, aktivieren Sie diese zuerst in Ihrer E-Mail und bewahren Sie Ihre Backup-Codes sicher auf. Das sind die wirkungsvollsten fünf Minuten, die Sie für Ihre Sicherheit aufwenden können.