Zwei-Faktor-Authentifizierung, der wichtigste Schutz für deine Konten

Ist mein Passwort schon in einem Datenleck aufgetaucht?Mit dem Passwort-Check kostenlos prüfen

Passwörter werden geklaut: bei Datenlecks großer Dienste, über gefälschte Anmeldeseiten oder durch Schadsoftware. Ob eines deiner Passwörter schon in einem Datenleck aufgetaucht ist, zeigt dir der Passwort-Check. Die Zwei-Faktor-Authentifizierung (2FA) sorgt dafür, dass ein gestohlenes Passwort allein nicht reicht, um in dein Konto zu kommen.

Wie das funktioniert

Beim Anmelden brauchst du zwei Dinge aus verschiedenen Kategorien:

1. Etwas, das du weißt: dein Passwort.
2. Etwas, das du besitzt: dein Handy oder einen Sicherheitsschlüssel.

Ein Angreifer, der dein Passwort kennt, hat nicht auch dein Handy in der Hand. Damit scheitern die allermeisten Angriffe.

Die verschiedenen zweiten Faktoren

Authenticator-App (empfohlen)

Apps wie Google Authenticator, Microsoft Authenticator, Aegis oder die in vielen Passwort-Managern eingebaute Funktion erzeugen alle 30 Sekunden einen neuen sechsstelligen Code. Das funktioniert auch ohne Internetverbindung. Für die meisten Konten ist das die beste Wahl.

Passkeys und Sicherheitsschlüssel (am sichersten)

Passkeys ersetzen das Passwort ganz und sind an dein Gerät gebunden. Die Anmeldung bestätigst du mit Fingerabdruck, Gesichtserkennung oder PIN. Hardware-Schlüssel wie YubiKey funktionieren ähnlich als kleiner USB- oder NFC-Stick. Beide sind gegen Phishing immun, weil sie nur auf der echten Website funktionieren.

Bestätigung per App

Manche Dienste schicken eine Anfrage an ihre App, die du nur bestätigen musst. Das ist bequem. Achtung bei unerwarteten Anfragen: Bestätige nie eine Anmeldung, die du nicht selbst ausgelöst hast. Angreifer schicken manchmal so lange Anfragen, bis jemand genervt zustimmt.

Code per SMS (besser als nichts)

SMS-Codes sind der schwächste zweite Faktor. Sie können abgefangen oder über eine erschlichene Ersatz-SIM-Karte umgeleitet werden. Trotzdem sind sie viel besser als gar kein zweiter Faktor.

Welche Konten zuerst?

Fang mit den Konten an, über die man an alle anderen kommt:

1. E-Mail-Postfach. Wer dein Postfach kontrolliert, kann bei fast jedem Dienst „Passwort vergessen“ klicken.
2. Passwort-Manager. Er enthält alle anderen Zugänge.
3. Online-Banking und Zahlungsdienste wie PayPal.
4. Domain-Anbieter und Hosting. Wer hier hineinkommt, übernimmt deine Website und deine E-Mail-Adressen.
5. Website-Login, etwa der WordPress-Admin.
6. Soziale Netzwerke, besonders wenn du sie geschäftlich nutzt.
7. Cloud-Speicher wie Google Drive, OneDrive oder iCloud.

So richtest du 2FA ein

1. Installiere eine Authenticator-App auf deinem Handy oder nutze die Funktion deines Passwort-Managers.
2. Suche in den Sicherheitseinstellungen des Dienstes nach „Zwei-Faktor-Authentifizierung“, „Bestätigung in zwei Schritten“ oder „Anmeldung in zwei Schritten“.
3. Scanne den angezeigten QR-Code mit der App.
4. Gib zur Bestätigung den Code aus der App ein.
5. Speichere die Wiederherstellungscodes. Fast jeder Dienst zeigt dir einmalig eine Liste von Notfall-Codes an. Druck sie aus oder speichere sie im Passwort-Manager. Sie sind dein Weg zurück ins Konto, wenn das Handy verloren geht.

Was, wenn das Handy weg ist?

Mit den Wiederherstellungscodes kommst du wieder ins Konto und kannst 2FA auf einem neuen Gerät einrichten. Viele Authenticator-Apps bieten außerdem eine verschlüsselte Sicherung oder lassen sich auf ein neues Handy übertragen. Richte das gleich mit ein, solange du noch beide Geräte hast.

Für Firmen: 2FA für alle

In einer Firma ist jedes Konto ohne 2FA ein mögliches Einfallstor. Die meisten Dienste wie Microsoft 365 und Google Workspace erlauben es, 2FA für alle Mitarbeiter verpflichtend zu machen. Das ist eine der wirksamsten Sicherheitsmaßnahmen überhaupt, und sie kostet nichts.

Weitere Schritte findest du in der Sicherheits-Checkliste für Kleinunternehmen.