Zwei-Faktor-Authentifizierung (2FA) ergänzt dein Login um einen zweiten, unabhängigen Identitätsnachweis — etwas, das du besitzt oder bist, zusätzlich zu etwas, das du weißt. Der Effekt ist ungewöhnlich gut erforscht: Microsoft zufolge blockieren Konten mit zweitem Faktor über 99,9 % der automatisierten Übernahmeversuche. Dieser Leitfaden erklärt die Methoden und welche zu deiner Situation passt.
2FA basiert auf dem Prinzip der Multi-Faktor-Authentifizierung: etwas, das nur du weißt (Passwort), etwas, das du besitzt (Smartphone, Hardware-Token) oder etwas, das du selbst bist (Biometrie). Diese Kombination macht es praktisch unmöglich, dass Angreifer Zugang zu deinen Accounts erhalten, selbst wenn sie dein Passwort kennen.
Die Wirkung eines zweiten Faktors ist ungewöhnlich gut dokumentiert:
Microsoft: Ein zweiter Faktor blockiert über 99,9 % der automatisierten Angriffe auf Konten (Microsoft-Sicherheitsforschung, 2019)
Google/NYU/UCSD-Studie: Geräte-Prompts stoppten 100 % der automatisierten Bots und 99 % der massenhaften Phishing-Angriffe
Dieselbe Studie: Selbst SMS-Codes stoppten 96 % des Massen-Phishings — besser als nichts, aber schwächer als App oder Hardware-Key
Verizons DBIR zählt gestohlene Zugangsdaten Jahr für Jahr zu den häufigsten Einstiegswegen — genau der Angriff, den ein zweiter Faktor entschärft
Nicht alle 2FA-Methoden sind gleich sicher. Hier eine Bewertung der verschiedenen Ansätze:
SMS-Codes
NiedrigSMS-basierte 2FA ist besser als keine 2FA, aber anfällig für SIM-Swapping-Angriffe. Angreifer können deine Telefonnummer übernehmen und Codes abfangen.
Nur als letzte Option verwenden
TOTP (Time-based One-Time Passwords)
HochApps wie Google Authenticator oder Authy generieren zeitbasierte Codes. Diese sind offline und können nicht von Servern abgefangen werden.
Empfohlen für die meisten Nutzer
Push-Benachrichtigungen
HochDu erhältst eine Benachrichtigung und bestätigst den Login mit einem Tipp. Bequem und sicher, da es keine Codes gibt, die abgefangen werden können.
Sehr empfehlenswert
Hardware-Sicherheitsschlüssel
Sehr hochPhysische Geräte wie YubiKey oder Google Titan Key. Unknackbar gegen Phishing und die sicherste verfügbare Methode.
Für kritische Accounts unverzichtbar
Biometrie
HochFingerabdruck, Gesichtserkennung oder Iris-Scan. Sehr bequem, aber biometrische Daten können nicht geändert werden, wenn sie kompromittiert werden.
Gut als zusätzlicher Faktor
Mehr Sicherheit
Selbst wenn das Passwort gestohlen wird, bleibt das Konto geschützt.
Schutz vor Phishing
Hacker kommen mit gefälschten Login-Seiten nicht weiter, weil sie den zweiten Faktor nicht abfangen können.
Geringerer Schaden bei Datenlecks
Wenn deine Zugangsdaten bei einem anderen Dienst gestohlen werden, schützt 2FA deine wichtigen Konten trotzdem.
Einfach zu nutzen
Die meisten 2FA-Methoden (z. B. Apps oder SMS-Codes) sind unkompliziert und schnell einsetzbar.
Insgesamt ist 2FA ein einfacher, aber sehr wirksamer Schritt, um deine Online-Konten besser zu schützen.