Was ein zweiter Faktor leistet
Beim Login gibt es drei Arten, sich auszuweisen. Das BSI nennt sie Wissen (zum Beispiel Passwort oder PIN), Besitz (zum Beispiel Chipkarte oder TAN-Generator) und Biometrie (zum Beispiel Fingerabdruck). Von Zwei-Faktor-Authentisierung spricht man, wenn zwei Faktoren aus verschiedenen Kategorien zusammenkommen. Zwei Passwörter hintereinander zählen also nicht.
Der Nutzen ist schnell erklärt: Wer dein Passwort durch ein Datenleck oder eine Phishing-Mail erbeutet, steht danach noch vor einer zweiten Schranke. Genau deshalb empfiehlt das BSI, 2FA zu nutzen, sobald ein Dienst sie anbietet. Viele Dienste haben die Funktion laut BSI standardmäßig ausgeschaltet, bieten sie aber trotzdem an. Ein Blick in die Sicherheitseinstellungen lohnt sich also.
Zur Sprache: Das BSI unterscheidet zwischen „Authentisierung“ (du weist dich aus) und „Authentifizierung“ (das System prüft deine Angaben). Im Alltag werden beide Wörter meist gleichbedeutend benutzt. In diesem Artikel meint „2FA“ beides, und „Multi-Faktor“ ist der Oberbegriff, wenn es auch mehr als zwei Faktoren sein können.
Die Methoden im Vergleich
Nicht jeder zweite Faktor schützt gleich gut. Das BSI hat gängige Verfahren in einem eigenen Vergleich betrachtet, die US-Behörde CISA ordnet in einem Faktenblatt die Verfahren von stark bis schwach. Die Tabelle fasst zusammen, was beide Quellen übereinstimmend oder jeweils ausdrücklich sagen.
| Methode | Schutz vor Phishing | Alltagstauglichkeit | Typische Risiken |
|---|---|---|---|
| SMS-Code | Schützt nicht vor Phishing in Echtzeit | Einfach, kein App-Setup | Laut CISA anfällig für SIM-Swapping und SS7-Schwachstellen; CISA empfiehlt SMS nur als letzte Möglichkeit |
| Authenticator-App (TOTP) | Schützt nicht vor Phishing in Echtzeit | Laut BSI gut: Das Grundprinzip bleibt bei allen Diensten gleich | Schwäche, wenn der Dienst die hinterlegten Geheimnisse verliert; laut CISA nicht anfällig für SIM-Swap |
| Push-Bestätigung | Laut CISA anfällig für Phishing | Kein Code zum Abtippen; bei pushTAN-Apps laut BSI an ein bestimmtes Gerät gebunden | Push-Bombing (MFA-Fatigue); ein Zahlenabgleich („Number Matching“) mindert das Risiko laut CISA |
| Hardware-Schlüssel (FIDO2) | Resistent gegen übliche Phishing-Angriffe | Anschaffung nötig, jeden Dienst einzeln neu einrichten | Verlust des Schlüssels, daher einen zweiten bereithalten |
| Passkey (synchronisiert) | Resistent gegen übliche Phishing-Angriffe | Laut BSI mit funktionierendem Backup durchweg positiv | Sicherheit hängt am Synchronisationsdienst, den das BSI in seinem Vergleich ausdrücklich nicht bewertet |
Drei Einordnungen dazu:
- Echtzeit-Phishing: Das BSI weist darauf hin, dass E-Mail- und SMS-TANs sowie TOTP nicht vor Phishing-Angriffen schützen, die in Echtzeit stattfinden, weil ein Proxy des Angreifers den zweiten Faktor abfangen kann. Das heißt nicht, dass diese Methoden wertlos wären. Gegen die Masse der nicht in Echtzeit laufenden Angriffe helfen laut BSI alle untersuchten Verfahren.
- SIM-Swapping: Dabei überzeugen Kriminelle den Mobilfunkanbieter, die Rufnummer auf eine SIM-Karte unter ihrer Kontrolle zu übertragen, wie die CISA beschreibt. Dann landen SMS-Codes beim Angreifer.
- Push-Bombing: Hier wird ein Opfer so lange mit Bestätigungsanfragen überhäuft, bis es auf „Zulassen“ tippt. Die CISA nennt das auch „Push Fatigue“. Bestätige also nie eine Anfrage, die du nicht selbst gerade ausgelöst hast, und ändere danach dein Passwort.
Das BSI rät außerdem, den SMS-Code nicht auf demselben Gerät zu empfangen, auf dem du dich einloggst, weil dann die Trennung der Faktoren fehlt. Für kleine Unternehmen nennt die CISA App-basierte Codes und Push mit Number Matching als beste Optionen, wenn Phishing-resistente Verfahren noch nicht möglich sind.
Passkeys: Anmelden ohne Passwort
Ein Passkey ersetzt das Passwort. Die FIDO Alliance, hinter der der Standard steht, definiert ihn als Anmeldeinformation auf Basis von FIDO-Standards. Du richtest ihn einmal in den Sicherheitseinstellungen eines Dienstes ein. Danach bestätigst du den Login mit Fingerabdruck, Gesichtsscan oder Geräte-PIN. Laut BSI liegt dabei ein geheimer Schlüssel im Speicher deines Geräts, der passende öffentliche Schlüssel beim Dienst.
Warum Passkeys gegen Phishing helfen: Der geheime Schlüssel verlässt dein Gerät nicht. Landest du über eine Phishing-Mail auf einer gefälschten Seite, scheitert der Login, und die Täter erfahren nichts, so das BSI. Außerdem gilt jeder Passkey immer nur für genau ein Konto. Ein Passkey kann nicht zu kurz oder zu simpel sein und nicht vergessen werden.
Synchronisiert oder gerätegebunden: Die FIDO Alliance unterscheidet Passkeys, die zwischen deinen Geräten synchronisiert werden, von gerätegebundenen Passkeys. Gerätegebundene Passkeys in Hardware-Sicherheitsschlüsseln bieten laut FIDO die höchste Sicherheitsgarantie. Dafür sind sie unbequemer, wenn das Gerät verloren geht. Das BSI beschreibt in seinem Vergleich den gleichen Zielkonflikt: Synchronisierte Passkeys sind bequem, gerätebundene Schlüssel erfordern Hardware und eine Neueinrichtung bei jedem Dienst.
Wenn du dich am PC anmelden willst, der Passkey aber auf dem Smartphone liegt, kannst du laut BSI mit dem Smartphone einen QR-Code vom PC-Bildschirm scannen. Beide Geräte brauchen dafür Bluetooth. Dass du dein Gerät per Fingerabdruck entsperrst, heißt übrigens nicht, dass du schon Passkeys nutzt. Sie müssen pro Dienst eingerichtet werden.
Wo du zuerst anfangen solltest
Das BSI nennt Konten mit weitreichenden Möglichkeiten als Priorität, besonders E-Mail und Soziale Medien, dazu Online-Banking und Online-Shopping. Die CISA nennt als Schwerpunkte E-Mail, Dateiablage und Finanzkonten. Daraus ergibt sich diese Reihenfolge:
Checkliste 2FA in dieser Reihenfolge einschalten
- E-Mail-Konto: Das BSI zählt E-Mail ausdrücklich zu den Konten mit weitreichenden Rechten, und auch die CISA nennt E-Mail an erster Stelle.
- Passwortmanager: Das BSI fragt in seiner Checkliste zum Passwortmanager ausdrücklich, ob du für sensible Daten einen zweiten Faktor brauchst. Dazu kommt ein starkes Masterpasswort.
- Online-Banking: Die Bank gibt das Verfahren meist vor (zum Beispiel pushTAN oder chipTAN). Nutze es und gib die Freigabe nur für Aufträge, die du selbst ausgelöst hast.
- Cloud- und Social-Media-Konten: Hier bieten Dienste laut BSI Codes aus einer Authenticator-App, SMS-Codes oder FIDO-Token an.
Die genauen Menüpunkte unterscheiden sich je Dienst. Suche in den Kontoeinstellungen nach „Sicherheit“, „Anmeldung“ oder „Zwei-Faktor-Authentifizierung“ und folge der Anleitung des Anbieters.
Notfallzugang: Wenn das Handy weg ist
Der Preis jedes besitzbasierten Faktors: Fällt er aus, kommst du unter Umständen nicht mehr in dein Konto. Das BSI schreibt dazu, dass du in der Regel den Zugang zum Dienst verlierst oder seine Funktionen eingeschränkt werden. Plane deshalb den Ausfall von Anfang an:
- Backup-Codes sichern. Das BSI nennt sie ausdrücklich als Teil der Wiederherstellung, auf die du schon bei der Aktivierung achten sollst. Speichere sie nicht ausschließlich auf dem Gerät, dessen Verlust sie absichern sollen.
- Mehrere zweite Faktoren hinterlegen, wenn der Dienst das erlaubt: ein zweiter Token, eine weitere App oder eine zweite Telefonnummer.
- Bei Hardware-Schlüsseln einen zweiten anschaffen. Das BSI erklärt, dass sich FIDO2-Sticks nicht kopieren lassen und du deshalb für jeden Stick bei jedem Dienst einen eigenen Passkey erzeugen musst.
- Synchronisierte Passkeys und Backups prüfen. Gehen Geräte verloren, kannst du Passkeys laut BSI wiederherstellen, wenn du lokale Backups angelegt hast oder die Passkeys in einer Cloud synchronisiert werden.
Der Wiederherstellungsweg ist selbst ein Angriffspunkt. Das BSI warnt, dass einstufige Wiederherstellung ein starkes 2FA-Verfahren erheblich schwächen kann, weil Angreifer genau dort ansetzen. Wähle Dienste mit mehrstufiger Wiederherstellung, und gib deine Wiederherstellungs-E-Mail-Adresse und Telefonnummer aktuell an.
Hast du den Zugang trotzdem verloren, bleibt der Weg über den Support des Anbieters. Ist ein Konto bereits in fremder Hand, hilft dir der Artikel Konto gehackt: Was tun? weiter.
2FA deaktivieren: Besser nicht, aber es gibt Alternativen
Wer nach „Zwei-Faktor-Authentifizierung deaktivieren“ sucht, ist meist genervt vom zusätzlichen Schritt oder ausgesperrt. Eine Anleitung zum Abschalten gibt es hier bewusst nicht, denn das BSI rät „in jedem Fall“ davon ab. Gerade bei Online-Banking, Shopping, E-Mail und Social Media lohne sich das Mehr an Sicherheit.
Was stattdessen hilft:
- Der Login nervt: Das BSI bestätigt, dass 2FA den Anmeldevorgang geringfügig verlängert. Auf vertrauenswürdigen Geräten lässt sich der zweite Faktor oft überspringen, was die Sicherheit aber verringert. Besser ist der Wechsel auf eine bequemere und zugleich stärkere Methode, zum Beispiel einen Passkey.
- Dir kommen keine SMS-Codes an oder du hast die Nummer gewechselt: Hinterlege eine Authenticator-App oder einen zweiten Faktor und entferne erst dann die alte Nummer.
- Du bist ausgesperrt: Nutze die Backup-Codes oder den Wiederherstellungsprozess des Anbieters. Wende dich an den Support des Anbieters, wenn nichts davon funktioniert.
- Du richtest 2FA für ein Team ein: In Unternehmen ist die Einführung ein Organisationsthema. Die CISA empfiehlt, zuerst die Systeme und Personen mit den größten Rechten zu schützen, etwa E-Mail-Systeme und Administratorkonten.
Bei Verdacht auf Kontomissbrauch mit finanziellem Schaden informierst du deine Bank, bei Betrug zusätzlich die Polizei. Wie Phishing-Seiten aussehen, die dein Passwort und deinen Code zugleich abgreifen wollen, steht in Phishing erkennen: Die häufigsten Betrugsmethoden. Für Unternehmen ist 2FA zudem ein Baustein der Strategie, die in Was ist Zero Trust Security? beschrieben wird.