Angreifer umgehen SMS-2FA: warum Apps sicherer sind

Ein zweiter Faktor ist einer der besten Schutzmaßnahmen für deine Konten. Doch nicht jeder zweite Faktor ist gleich gut. Sicherheitsforscher weisen seit Langem darauf hin, dass ausgerechnet die verbreitetste Variante, der Code per SMS, angreifbar ist. Das heißt nicht, dass SMS-2FA nutzlos ist, aber es gibt bessere Wege.

Wo die Schwachstelle liegt

SMS-Codes lassen sich auf mehreren Wegen abfangen. Der bekannteste ist das sogenannte SIM-Swapping: Angreifer bringen einen Mobilfunkanbieter mit erschlichenen Angaben dazu, deine Rufnummer auf eine neue SIM-Karte zu übertragen. Ab diesem Moment landen deine SMS, und damit auch die Anmeldecodes, bei den Angreifern. Hinzu kommen technische Schwächen in den Netzen, über die Nachrichten unter Umständen umgeleitet werden können.

Das Ergebnis ist in allen Fällen dasselbe: Der Code, der eigentlich nur bei dir ankommen sollte, ist plötzlich in fremder Hand.

Warum eine App die bessere Wahl ist

Eine Authenticator-App erzeugt den Code direkt auf deinem Gerät, ohne dass er über das Mobilfunknetz verschickt wird. Es gibt also keine SMS, die sich abfangen oder umleiten ließe. Der Code wird lokal berechnet und funktioniert sogar ohne Internet und ohne Empfang. Für die allermeisten Konten ist das die richtige Wahl.

Noch stärker sind Sicherheitsschlüssel und Passkeys, die zusätzlich vor Phishing schützen.

Was du jetzt tun solltest

1. Stelle wichtige Konten von SMS auf eine Authenticator-App um, wo der Dienst das anbietet. Die Schritte stehen in Zwei-Faktor-Authentifizierung.
2. Behalte SMS nur dort, wo ein Dienst nichts anderes anbietet. Sie ist immer noch besser als gar kein zweiter Faktor.
3. Schütze deine Mobilnummer selbst vor Übernahme. Wie das geht, erklärt SIM-Swapping nimmt zu.

Ein zweiter Faktor bleibt einer der wirksamsten Schritte für deine Sicherheit. Mit einer App statt SMS holst du das Beste daraus, ohne nennenswerten Mehraufwand.