Randomizer Box

Konten zusätzlich schützen · 2FA verstehen

Wie funktioniert Zwei-Faktor-Authentifizierung?

Bei der Zwei-Faktor-Authentifizierung reicht dein Passwort allein nicht mehr für die Anmeldung. Erst ein zweiter, davon unabhängiger Nachweis gibt den Zugang frei und erschwert es Angreifern, ein gestohlenes Passwort zu verwenden.

Laptop und Smartphone zeigen eine abstrakte Anmeldebestätigung; daneben liegen ein Sicherheitsschlüssel und eine Ersatzkarte

Zwei-Faktor-Authentifizierung verbindet zwei unterschiedliche Arten von Nachweisen.

Meist ist das etwas, das du kennst, etwa dein Passwort, zusammen mit etwas, das du besitzt, etwa dein Smartphone oder einen Sicherheitsschlüssel. Zwei Passwörter wären dagegen nur zwei Schritte derselben Art. Bei wichtigen Konten findest du die Einrichtung gewöhnlich in den Sicherheitseinstellungen unter „Zwei-Faktor“, „2FA“ oder „Mehrstufige Anmeldung“.

Die Schutzwirkung

Warum schützt 2FA auch bei einem gestohlenen Passwort?

Selbst wenn ein Angreifer dein Passwort kennt, fehlt ihm noch der zweite Faktor. Wie zuverlässig diese zusätzliche Hürde schützt, hängt allerdings von der gewählten Methode ab.

Das Passwort reicht nicht
Der Dienst fordert zusätzlich einen Code, eine bestätigte Anfrage oder einen kryptografischen Schlüssel an.
Phishing bleibt möglich
Eine gefälschte Seite kann manuell eingegebene Codes weiterleiten, und eine unerwartete Push-Anfrage kann dich zu einer falschen Bestätigung verleiten.
Das Passwort bleibt wichtig
2FA gleicht ein schwaches oder mehrfach verwendetes Passwort nicht aus, weshalb weiterhin jedes Konto ein eigenes Passwort braucht.

Da die Methoden unterschiedlich gut gegen Phishing, Geräteverlust und Fehlbedienung schützen, lohnt sich vor der Auswahl ein direkter Vergleich.

Die Auswahlhilfe

Wie unterscheiden sich die 2FA-Methoden?

Achte nicht nur darauf, wie bequem eine Methode ist, sondern auch darauf, wo ihre Grenzen liegen und welchen Ersatzweg du vor der Aktivierung vorbereiten kannst.

Vorteile, Grenzen und notwendige Vorbereitung von fünf 2FA-Methoden
Methode Vorteil Grenze Vorbereitung
Authenticator-App mit TOTP Erzeugt Codes nach der Einrichtung auch ohne Internet und wird von vielen Diensten angeboten. Ein eingegebener Code kann durch Phishing abgefangen werden. Der Gerätewechsel muss vorbereitet sein. Backup oder Export prüfen und Recovery-Code getrennt speichern.
Push-Freigabe Eine Anmeldung lässt sich bequem in einer App bestätigen. Viele Anfragen können zu einer unbedachten Freigabe verleiten. Nummernabgleich nutzen, sofern angeboten, und unbekannte Anfragen ablehnen.
SMS-Code Ist oft verfügbar und erhöht den Schutz gegenüber nur einem Passwort. Rufnummern können übernommen und Nachrichten umgeleitet werden. Empfang und Roaming können ausfallen. Nummer aktuell halten und eine stärkere angebotene Methode bevorzugen.
Sicherheitsschlüssel Geeignete FIDO/WebAuthn-Schlüssel schützen gegen typische gefälschte Anmeldeseiten. Du brauchst den physischen Schlüssel und musst seinen Verlust einplanen. Einen zweiten Schlüssel oder einen unabhängigen Ersatzweg registrieren.
Recovery-Code Ermöglicht den Notfallzugang, wenn der reguläre zweite Faktor fehlt. Wer den Code findet, kann ihn möglicherweise sofort verwenden. Geschützt und getrennt vom primären Gerät aufbewahren.

Wenn du eine Authenticator-App wählst, solltest du vor dem ersten Scan ihre Backup- und Umzugslogik prüfen. Bei einer anderen Methode kannst du direkt zum Recovery-Plan springen.

Vertiefung für App-Codes

Was solltest du bei einer Authenticator-App beachten?

Eine pauschale Rangfolge der Apps wäre ohne aktuelle Produktprüfung nicht verlässlich. Unabhängig vom Anbieter solltest du jedoch diese vier Fragen beantworten können.

Ist es die offizielle App?

Installiere die App aus dem offiziellen Store und prüfe dort auch den angegebenen Hersteller, denn Name und Symbol allein lassen sich leicht nachahmen.

Wie funktioniert das Backup?

Ob die App synchronisiert, ein verschlüsseltes Backup anbietet oder ausschließlich auf diesem Gerät speichert, beeinflusst sowohl den Schutz als auch die spätere Wiederherstellung.

Wie gelingt der Umzug?

Informiere dich vor einem Gerätewechsel über Export oder Übertragung und teste den neuen Zugang vollständig, bevor du das alte Smartphone zurücksetzt.

Was bleibt geheim?

Der QR-Code und das zugrunde liegende Einrichtungsgeheimnis können neue Einmalcodes erzeugen. Teile oder fotografiere sie nicht außerhalb des vorgesehenen Einrichtungsprozesses.

Unabhängig von der gewählten Methode brauchst du einen Ersatzweg, der auch dann noch funktioniert, wenn dein wichtigstes Gerät verloren geht.

Recovery vor Aktivierung

Was musst du vor der Aktivierung vorbereiten?

Prüfe diese drei Punkte, bevor du 2FA aktivierst, und berücksichtige dabei, dass nicht jeder Dienst alle genannten Ersatzwege unterstützt.

1 · Ersatzmethode

Gibt es einen zweiten Zugangsweg?

Prüfe, ob der Dienst eine alternative Methode erlaubt und ob du darauf unabhängig vom primären Handy zugreifen kannst.

2 · Recovery-Code

Ist der Notfallcode geschützt?

Speichere den Code geschützt und getrennt vom Gerät, das du normalerweise für die Anmeldung verwendest.

3 · Weiteres Gerät

Ist ein unabhängiger Ersatz verfügbar?

Registriere ein zweites Gerät oder einen zweiten Sicherheitsschlüssel, sofern Methode und Dienst dies unterstützen.

Sobald die verfügbaren Notfallwege vorbereitet sind, kannst du 2FA aktivieren und testen. Alte Geräte oder Nummern entfernst du erst, wenn der neue Zugang zuverlässig funktioniert.

Jetzt umsetzen

Wie richtest du 2FA sicher ein?

Nutze für die Einrichtung ausschließlich die offizielle Website oder App des Dienstes und beende den Vorgang erst nach einer erfolgreichen Testanmeldung.

  1. Öffne dein Konto auf offiziellem Weg

    Rufe die Website selbst auf oder nutze die offizielle App. Folge keinem unerwarteten Link aus einer Nachricht.

  2. Wähle die vorbereitete Methode

    Öffne die Sicherheitseinstellungen und wähle die Methode, deren Grenze und Ersatzweg du geprüft hast.

  3. Verbinde den zweiten Faktor

    Scanne einen QR-Code nur innerhalb dieses Einrichtungsprozesses oder registriere das vorgesehene Gerät beziehungsweise den Sicherheitsschlüssel.

  4. Führe eine Testanmeldung durch

    Melde dich in einem privaten Browserfenster oder auf einem zweiten eigenen Gerät an. So bleibt die bestehende Sitzung für eine Korrektur geöffnet.

  5. Sichere die ausgegebenen Recovery-Codes

    Kontrolliere, ob der Dienst Notfallcodes bereitstellt, und lege sie am vorbereiteten geschützten Ort ab.

  6. Registriere deinen Ersatzweg

    Füge die vorbereitete Ersatzmethode oder einen zweiten Sicherheitsschlüssel hinzu, sofern der Dienst dies erlaubt.

  7. Entferne veraltete Geräte und Nummern

    Lösche alte Einträge erst, wenn die neue Methode und der Ersatzweg erfolgreich getestet wurden.

Besondere Aufmerksamkeit braucht später der Gerätewechsel, denn ein geplanter Umzug lässt sich anders vorbereiten als der Zugang nach einem bereits eingetretenen Verlust.

Zugang behalten

Was tun bei Verlust oder Wechsel des Handys?

Bei einem geplanten Wechsel überträgst und testest du den zweiten Faktor, solange das alte Gerät noch erreichbar ist. Nach einem Verlust beginnst du dagegen mit dem besten noch verfügbaren Ersatzweg.

Geplanter Wechsel

Das alte Handy ist noch verfügbar

  • Prüfe Export, Synchronisierung oder die erneute Registrierung auf dem neuen Gerät.
  • Teste eine Anmeldung mit der neuen Methode.
  • Entferne das alte Gerät erst nach dem erfolgreichen Test.

Handy verloren

Der bisherige Faktor ist nicht erreichbar

  • Nutze ein angemeldetes Gerät, einen Recovery-Code oder den Ersatzschlüssel.
  • Falls nichts davon funktioniert, nutze nur den offiziellen Wiederherstellungsweg.
  • Registriere den neuen Faktor und entferne anschließend das verlorene Gerät.

Ob ein Dienst seine Anmeldung als 2FA oder MFA bezeichnet, ändert an diesem Vorgehen wenig. Entscheidend ist, wie viele unabhängige Faktoren tatsächlich verlangt werden.

Begriffe einordnen

Was bedeuten 2FA und MFA?

Die Begriffe beziehen sich auf die Anzahl unabhängiger Faktorarten und nicht darauf, wie viele Bildschirmseiten du während der Anmeldung siehst.

2FA

Zwei-Faktor-Authentifizierung verwendet genau zwei unabhängige Faktorarten.

MFA

Multi-Faktor-Authentifizierung ist der Oberbegriff für eine Anmeldung mit mehreren unabhängigen Faktoren.

Häufige Fragen zu 2FA

Hier findest du kurze Antworten zu SMS, App-Codes, Recovery und Phishing. Die ausführlichen Schritte stehen in den Abschnitten darüber.

Ist SMS-2FA besser als gar keine 2FA?

Ja. Wenn ein Dienst nur SMS anbietet, schützt diese zusätzliche Hürde in der Regel besser als ein Passwort allein. Da eine Rufnummer jedoch übernommen oder eine Nachricht umgeleitet werden kann, solltest du eine stärkere Methode wählen, sobald der Dienst sie anbietet.

Funktioniert eine Authenticator-App ohne Internet?

Eine TOTP-App kann nach der Einrichtung auch ohne Internetverbindung zeitbasierte Codes erzeugen, solange die Uhr des Geräts richtig eingestellt ist. Push-Freigaben und einige andere App-Verfahren benötigen dagegen eine Verbindung.

Was ist ein Recovery-Code?

Ein Recovery-Code ist ein Notfallgeheimnis, mit dem du dich anmelden kannst, wenn dein normaler zweiter Faktor nicht verfügbar ist. Bewahre ihn deshalb geschützt und getrennt von deinem primären Gerät auf und gib ihn niemals auf Anfrage an andere weiter.

Was passiert beim Handyverlust?

Versuche zunächst, über ein bereits angemeldetes Gerät, einen Recovery-Code, einen Ersatzschlüssel oder den offiziellen Wiederherstellungsweg des Dienstes in dein Konto zu gelangen. Sobald der Zugang wiederhergestellt ist, richtest du einen neuen zweiten Faktor ein und entfernst das verlorene Gerät aus dem Konto.

Ist ein Passkey dasselbe wie 2FA?

Nein. Ein Passkey ist ein konkreter Anmeldeweg, während 2FA die Verbindung von zwei unabhängigen Faktoren beschreibt. Der Passkey kann das Passwort ersetzen; ob zusätzlich noch eine weitere Bestätigung nötig ist, entscheidet der jeweilige Dienst.

Können Angreifer 2FA umgehen?

Ja. Eine gefälschte Anmeldeseite kann sowohl dein Passwort als auch einen manuell eingegebenen Code abfangen, und auch unbedachte Push-Freigaben oder gestohlene Sitzungen können den Schutz umgehen. Passkeys und geeignete Sicherheitsschlüssel schützen besser gegen solche Phishing-Angriffe.

Als Nächstes

Was möchtest du als Nächstes absichern?

Hier findest du passende Hilfe, wenn du deine Zugangsdaten verwalten, ohne Passwort einsteigen oder auf konkrete Warnzeichen reagieren möchtest.