Die Zwei-Faktor-Authentifizierung (2FA) schützt ein Konto, indem sie bei der Anmeldung zwei verschiedene Dinge verlangt: etwas, das Sie wissen, etwa Ihr Passwort, und etwas, das Sie besitzen, etwa einen sechsstelligen Code aus einer Authenticator-App auf Ihrem Smartphone. Selbst wer Ihr Passwort stiehlt, kommt ohne den zweiten Faktor nicht hinein.
Sie gehört zu den wirksamsten Sicherheitsmaßnahmen, die ein ganz normaler Mensch ergreifen kann, und die Einrichtung dauert meist nur ein paar Minuten. Dieser Ratgeber erklärt, wie 2FA funktioniert, welche Methoden Sie wählen sollten und wie Sie sich nicht selbst aussperren.
Warum ein Passwort allein nicht reicht
Passwörter gelangen auf vielen Wegen in falsche Hände. Menschen nutzen dasselbe Passwort auf mehreren Seiten, Websites werden gehackt, und Phishing-Seiten bringen Menschen dazu, ihre Zugangsdaten in ein gefälschtes Formular einzutippen. Ist ein Passwort erst bekannt, kann jeder es bei Ihrem E-Mail-, Social-Media- oder Online-Shop-Konto ausprobieren.
2FA fügt ein zweites Schloss hinzu. Ein gestohlenes Passwort reicht allein nicht mehr, denn der Angreifer braucht zusätzlich den Code von Ihrem Gerät. Das erschwert viele gängige Kontoübernahmen erheblich, besonders solche, die auf wiederverwendeten oder geleakten Passwörtern beruhen.
Die wichtigsten Arten des zweiten Faktors
Nicht jeder zweite Faktor ist gleich stark. Die gängigsten Optionen:
- Authenticator-Apps. Apps wie Google Authenticator, Microsoft Authenticator und andere kompatible Apps erzeugen alle 30 Sekunden einen neuen sechsstelligen Code. Die Codes entstehen auf Ihrem Smartphone und laufen daher nicht über das Mobilfunknetz.
- SMS-Codes. Ein Code kommt per SMS. Viel besser als gar keine 2FA, doch SMS können abgefangen oder umgeleitet werden, etwa durch SIM-Swapping, bei dem ein Krimineller einen Mobilfunkanbieter dazu bringt, Ihre Nummer auf seine SIM-Karte zu übertragen.
- Push-Benachrichtigungen. Manche Dienste schicken eine Anfrage an eine App auf Ihrem Smartphone: „Sind Sie das?" Bequem, aber bestätigen Sie nie eine Anfrage, mit der Sie nicht gerechnet haben.
- Sicherheitsschlüssel und Passkeys. Physische Schlüssel oder auf dem Gerät gespeicherte Passkeys gehören zu den stärksten Optionen, weil sie gegen Phishing entwickelt wurden. Die Unterstützung ist von Dienst zu Dienst unterschiedlich.
Für die meisten Menschen ist eine Authenticator-App eine starke und praktische Wahl. Bietet ein Dienst nur SMS an, aktivieren Sie es trotzdem. Es ist immer noch eine große Verbesserung gegenüber einem Passwort allein.
So funktionieren Authenticator-Apps
Aktivieren Sie 2FA mit einer Authenticator-App, zeigt die Website Ihnen einen QR-Code. Dieser QR-Code enthält einen geheimen Schlüssel. Sie scannen ihn einmal mit Ihrer Authenticator-App, und von da an berechnen App und Website aus diesem gemeinsamen Geheimnis und der aktuellen Uhrzeit denselben sechsstelligen Code.
Da der Code alle 30 Sekunden wechselt, ist ein Code, den jemand über Ihre Schulter sieht, kurz darauf wertlos. Und weil die Codes auf Ihrem Smartphone berechnet werden, funktioniert die App auch ohne Internetverbindung.
Ein wichtiger Punkt: Der QR-Code bei der Einrichtung ist sensibel. Wer ihn scannt, kann Ihre Codes erzeugen. Machen Sie keinen Screenshot davon, teilen Sie ihn nicht und lassen Sie ihn nicht sichtbar auf dem Bildschirm.
2FA Schritt für Schritt einrichten
Die genauen Menüs unterscheiden sich je nach Dienst, der Ablauf ist aber meist gleich:
- Installieren Sie eine Authenticator-App auf Ihrem Smartphone.
- Melden Sie sich bei dem Konto an, das Sie schützen wollen, und öffnen Sie die Sicherheitseinstellungen.
- Suchen Sie nach „Zwei-Faktor-Authentifizierung", „Bestätigung in zwei Schritten" oder „Anmeldung in zwei Schritten" und wählen Sie die Option Authenticator-App.
- Scannen Sie den angezeigten QR-Code mit Ihrer Authenticator-App.
- Geben Sie den sechsstelligen Code aus der App ein, um zu bestätigen, dass alles funktioniert.
- Sichern Sie die Backup-Codes, die der Dienst Ihnen gibt (siehe nächster Abschnitt).
- Melden Sie sich ab und wieder an, um zu prüfen, dass alles klappt.
Beginnen Sie mit den wichtigsten Konten: Ihrer Haupt-E-Mail-Adresse (weil sich darüber andere Passwörter zurücksetzen lassen), Online-Banking, sozialen Medien, Cloud-Speicher und allen Konten mit hinterlegten Zahlungsdaten. Bei QR-TH aktivieren Sie die Anmeldung in zwei Schritten mit einer Authenticator-App in Ihren Kontoeinstellungen. So kann niemand sonst Ihre QR-Codes und Kurzlinks verändern.
Backup-Codes: Ihr Weg zurück ins Konto
Das häufigste 2FA-Problem ist kein Hackerangriff, sondern ein verlorenes Smartphone. Ist Ihr Handy verloren, gestohlen, kaputt oder ersetzt, brauchen Sie einen anderen Weg zur Anmeldung.
Genau dafür gibt es Backup-Codes. Die meisten Dienste geben Ihnen beim Aktivieren von 2FA eine Liste mit Einmalcodes. Jeder Code lässt sich einmal anstelle des App-Codes verwenden.
Bewahren Sie sie sicher auf:
- Drucken Sie sie aus und verwahren Sie das Papier an einem sicheren Ort zu Hause, oder
- speichern Sie sie in einem seriösen Passwort-Manager, und
- bewahren Sie sie nicht nur auf demselben Smartphone auf wie Ihre Authenticator-App.
Jeder Backup-Code funktioniert nur einmal. Haben Sie einen verwendet, streichen Sie ihn durch. Gehen sie zur Neige, können Sie bei den meisten Diensten einen neuen Satz erzeugen, der die alten ungültig macht.
Handy wechseln, ohne sich auszusperren
Bevor Sie ein altes Smartphone zurücksetzen, verkaufen oder in Zahlung geben, übertragen Sie Ihre Authenticator-Codes auf das neue. Manche Authenticator-Apps bieten eine Übertragungs- oder Cloud-Backup-Funktion, bei anderen müssen Sie 2FA für jedes Konto neu einrichten.
Ein sicheres Vorgehen:
- Lassen Sie das alte Smartphone funktionsfähig, bis jedes Konto auf dem neuen bestätigt ist.
- Bei Konten, die sich nicht übertragen lassen, melden Sie sich an, schalten 2FA aus und wieder ein und scannen den neuen QR-Code mit dem neuen Smartphone.
- Testen Sie jedes Konto, bevor Sie das alte Gerät löschen.
Häufige 2FA-Fehler, die Sie vermeiden sollten
- Codes weitergeben. Keine echte Bank, kein Shop und kein Support-Team bittet Sie, einen 2FA-Code vorzulesen. Wer danach fragt, ist sehr wahrscheinlich ein Betrüger.
- Unerwartete Anfragen bestätigen. Erhalten Sie eine Anmeldeanfrage, die Sie nicht ausgelöst haben, lehnen Sie sie ab und ändern Sie Ihr Passwort.
- Codes auf Seiten eingeben, die Sie über einen Link in einer Nachricht erreicht haben. Auch Phishing-Seiten fragen nach Ihrem Code. Rufen Sie die Website lieber direkt auf.
- Backup-Codes überspringen. Das Sichern dauert eine Minute und kann Ihnen tagelange Kontowiederherstellung ersparen.
Für mehr Schutz im Alltag lesen Sie unsere Sicherheitstipps fürs Smartphone und erfahren Sie, wie Sie QR-Code-Betrug erkennen, der auf Ihre Zugangsdaten abzielt.
FAQ
Ist Zwei-Faktor-Authentifizierung wirklich nötig?
Für wichtige Konten wie E-Mail, Online-Banking und soziale Medien: ja. Sie blockiert viele Angriffe, die auf gestohlenen oder wiederverwendeten Passwörtern beruhen.
Ist eine Authenticator-App sicherer als SMS?
In der Regel ja. Authenticator-Codes werden auf Ihrem Smartphone erzeugt, während SMS-Codes abgefangen oder per SIM-Swapping umgeleitet werden können. SMS ist trotzdem besser als gar keine 2FA.
Was passiert, wenn ich mein Handy verliere?
Melden Sie sich mit einem Ihrer gesicherten Backup-Codes an und richten Sie 2FA auf dem neuen Smartphone neu ein. Ohne Backup-Codes müssen Sie das Wiederherstellungsverfahren des Dienstes durchlaufen.
Kann jemand mein Konto hacken, wenn er meinen 2FA-Code hat?
Ein Code ist nur kurz gültig, aber ein Betrüger, der Sie in Echtzeit dazu bringt, ihn weiterzugeben, könnte ihn nutzen. Geben Sie Ihre Codes niemals an andere weiter.
Zwei-Faktor-Authentifizierung kostet ein paar Minuten und macht Ihre Konten viel schwerer angreifbar. Aktivieren Sie sie noch heute für E-Mail und Online-Banking und schützen Sie dann Ihr QR-TH-Konto mit der Anmeldung in zwei Schritten. Mehr dazu finden Sie in unseren häufigen Fragen (FAQ).