Zwei-Faktor-Authentifizierung, der wichtigste Schutz nach dem Passwort

Ein Passwort ist etwas, das du weißt. Ein zweiter Faktor ist etwas, das du hast oder bist. Genau diese Trennung macht die Zwei-Faktor-Authentifizierung, kurz 2FA, so wirksam. Selbst wenn jemand dein Passwort kennt, fehlt ihm der zweite Faktor, den nur du in der Hand hältst.

Warum ein Passwort allein nicht mehr reicht

Passwörter geraten ständig in Umlauf, durch Datenlecks, Phishing oder nachlässige Anbieter. Ein zweiter Faktor entwertet ein gestohlenes Passwort weitgehend. Der Angreifer sitzt dann vor der Anmeldung, hat die richtige Kombination und kommt trotzdem nicht hinein, weil ihm der Code aus deiner App oder dein Sicherheitsschlüssel fehlt.

Für die meisten Menschen ist 2FA der Schritt mit dem besten Verhältnis von Aufwand zu Wirkung. Ein paar Minuten Einrichtung stehen einem enormen Zugewinn an Sicherheit gegenüber.

Nicht jeder zweite Faktor ist gleich gut

Es gibt drei gängige Varianten, und sie unterscheiden sich deutlich in ihrer Sicherheit.

SMS-Code. Der Dienst schickt dir eine Zahl per SMS. Das ist besser als nichts, aber angreifbar. Kriminelle können sich über einen sogenannten SIM-Swap deine Nummer auf eine eigene Karte übertragen lassen und die SMS abfangen. Nutze SMS nur, wenn ein Dienst nichts anderes anbietet.

Authenticator-App. Eine App auf deinem Handy erzeugt alle 30 Sekunden einen neuen sechsstelligen Code. Das funktioniert ohne Internet und ohne Mobilfunknetz, weil der Code lokal berechnet wird. Diese Variante ist für die allermeisten Konten die richtige Wahl.

Sicherheitsschlüssel oder Passkey. Ein kleines Hardware-Gerät oder ein kryptografischer Schlüssel auf deinem Telefon. Das ist die stärkste Variante und schützt zusätzlich vor Phishing, weil der Schlüssel nur auf der echten Website funktioniert. Für besonders wichtige Konten lohnt sich das.

So richtest du eine Authenticator-App ein

Installiere eine Authenticator-App deiner Wahl auf dem Handy.
Öffne bei dem Dienst, den du absichern willst, die Sicherheitseinstellungen und wähle die Zwei-Faktor-Authentifizierung per App.
Der Dienst zeigt einen QR-Code. Scanne ihn mit der App. Ab jetzt erzeugt die App den passenden Code.
Gib zur Bestätigung einmal den aktuellen Code ein. Fertig.

Von nun an fragt der Dienst nach der Anmeldung mit dem Passwort zusätzlich nach dem Code aus der App.

Der wichtigste Schritt, den fast alle vergessen: Wiederherstellungscodes

Wenn du 2FA aktivierst, zeigt dir der Dienst meist eine Liste von Wiederherstellungscodes, oft Backup-Codes genannt. Diese Codes sind dein Notausgang, falls dein Handy verloren geht oder kaputt ist. Ohne sie kann es passieren, dass du dich dauerhaft aus deinem eigenen Konto aussperrst.

Speichere die Codes an einem sicheren Ort, am besten im Passwort-Manager oder ausgedruckt bei deinen Dokumenten. Behandle sie so vertraulich wie das Passwort selbst.

Ein zusätzlicher Tipp: Viele Authenticator-Apps können ihre Einträge verschlüsselt sichern, sodass du bei einem neuen Handy nicht jeden Dienst neu einrichten musst. Prüfe, ob deine App das anbietet, und aktiviere es.

Womit du anfangen solltest

Sichere zuerst die Konten ab, über die im Ernstfall der größte Schaden entsteht:

deine E-Mail, weil über sie andere Passwörter zurückgesetzt werden
Online-Banking und Bezahldienste
deinen Passwort-Manager
soziale Netzwerke und Cloud-Speicher mit persönlichen Daten

Wenn diese Konten einen zweiten Faktor haben, ist die Wahrscheinlichkeit einer Übernahme drastisch gesunken. Der nächste Schritt in Richtung noch weniger Angriffsfläche sind Passkeys, die Passwort und zweiten Faktor in einem ersetzen.