Zwei-Faktor-Authentisierung einfach erklärt: Der zweite Schlüssel für deine Konten

Stell dir vor, jemand hat dein Passwort herausgefunden, durch ein Datenleck, eine gefälschte Website oder einfach durch Raten. Ohne weiteren Schutz kann er sich jetzt in dein Konto einloggen, deine E-Mails lesen, in deinem Namen bestellen oder Geld überweisen. Mit Zwei-Faktor-Authentisierung (oft 2FA genannt) reicht das Passwort allein nicht. Der Angreifer bräuchte zusätzlich etwas, das nur du hast, meistens dein Smartphone. Diese Anleitung erklärt, wie das funktioniert, welche Methoden es gibt, welche am sichersten ist und wie du sie einrichtest, ohne dich im Ernstfall selbst auszusperren.

Das Prinzip: Wissen plus Besitz

Bei der Anmeldung mit zwei Faktoren musst du zwei verschiedene Arten von Nachweisen erbringen:

1. Etwas, das du weißt: dein Passwort oder deine PIN.
2. Etwas, das du besitzt: dein Smartphone, ein Sicherheitsschlüssel oder eine Bankkarte.

Manchmal kommt als Alternative etwas, das du bist hinzu: dein Fingerabdruck oder dein Gesicht, mit dem du das Smartphone entsperrst.

Vom Online-Banking kennst du das Prinzip schon lange: Für eine Überweisung brauchst du deine Zugangsdaten und zusätzlich eine TAN aus der App oder von einem Gerät. Seit einigen Jahren ist das für Zahlungen in der EU sogar gesetzlich vorgeschrieben. Für E-Mail, soziale Netzwerke und Online-Shops musst du den zweiten Faktor meist selbst einschalten.

Warum sich der zusätzliche Schritt lohnt

Die zweite Bestätigung kostet dich bei der Anmeldung ein paar Sekunden. Dafür verhindert sie die meisten Kontoübernahmen. Selbst wenn ein Angreifer dein Passwort kennt, scheitert er am zweiten Faktor. Viele Dienste merken sich außerdem vertrauenswürdige Geräte, sodass du den Code auf deinem eigenen Laptop oder Smartphone nur selten eingeben musst.

Besonders wichtig ist Zwei-Faktor für:

• dein E-Mail-Postfach, weil darüber Passwörter anderer Dienste zurückgesetzt werden,
• dein Apple-, Google- oder Microsoft-Konto,
• Bezahldienste wie PayPal,
• soziale Netzwerke und Messenger, über die Betrüger sich gern als du ausgeben,
• deinen Passwortmanager,
• Online-Shops mit hinterlegten Zahlungsdaten,
• Konten bei Behörden und Krankenkassen, soweit sie es anbieten.

Die verschiedenen Methoden

Nicht jeder zweite Faktor ist gleich sicher. Hier die gängigen Methoden, von weniger zu sehr sicher.

Code per SMS

Du bekommst bei der Anmeldung eine SMS mit einem Code. Das ist einfach und besser als gar kein zweiter Faktor. Es hat aber Schwächen: SMS können abgefangen werden, und Kriminelle versuchen manchmal, sich beim Mobilfunkanbieter eine neue SIM-Karte mit deiner Nummer ausstellen zu lassen. Außerdem fallen viele Menschen auf Betrüger herein, die am Telefon nach dem „Bestätigungscode“ fragen.

Einschätzung: Gut als Einstieg, aber wenn möglich durch eine App ersetzen.

Code per E-Mail

Manche Dienste schicken einen Code an deine E-Mail-Adresse. Das schützt nur, wenn dein E-Mail-Postfach selbst gut gesichert ist.

Authentifizierungs-App

Apps wie Google Authenticator, Microsoft Authenticator, Aegis (Android), 2FAS oder die Code-Funktion in Passwortmanagern erzeugen alle 30 Sekunden einen neuen sechsstelligen Code. Der Code wird auf deinem Gerät berechnet, ohne SMS und ohne Internetverbindung. Fachleute nennen das TOTP (zeitbasierte Einmalpasswörter).

Einschätzung: Deutlich sicherer als SMS und für die meisten Menschen der beste Standard.

Bestätigung per Push-Nachricht

Manche Dienste, etwa Google, Microsoft oder viele Banken, schicken eine Nachricht an deine App: „Versuchst du dich anzumelden?“ Du tippst auf „Ja“ oder bestätigst mit Fingerabdruck. Das ist bequem.

Wichtig: Bestätige nie eine Anmeldung, die du nicht selbst gestartet hast. Angreifer, die dein Passwort kennen, versuchen manchmal, dich mit vielen Anfragen hintereinander zu zermürben, bis du aus Versehen bestätigst. Bei unerwarteten Anfragen: ablehnen und das Passwort ändern.

Hardware-Sicherheitsschlüssel

Ein Sicherheitsschlüssel ist ein kleines Gerät im Format eines USB-Sticks, etwa von YubiKey, Nitrokey oder Google Titan. Du steckst ihn bei der Anmeldung ein oder hältst ihn ans Smartphone (NFC) und tippst darauf. Sicherheitsschlüssel nach dem Standard FIDO2 sind phishing-sicher: Sie funktionieren nur auf der echten Website.

Einschätzung: Sehr sicher, ideal für Menschen mit besonders schützenswerten Konten, etwa Journalisten, Vereinsvorstände oder Selbstständige. Kaufe am besten zwei Schlüssel, einen für den Alltag und einen als Reserve.

Passkeys

Passkeys sind die neueste Form und verbinden Passwort und zweiten Faktor in einem Schritt. Du meldest dich mit Fingerabdruck, Gesicht oder Geräte-PIN an, und das Gerät beweist kryptografisch, dass du es bist. Passkeys sind ebenfalls phishing-sicher. Mehr dazu in unserer Anleitung zu sicheren Passwörtern.

Zwei-Faktor einrichten: So geht es meistens

Der Ablauf ist bei fast allen Diensten ähnlich:

1. Melde dich beim Dienst an und öffne die Sicherheitseinstellungen. Sie heißen oft „Sicherheit“, „Anmeldung und Sicherheit“ oder „Konto schützen“.
2. Wähle Zwei-Faktor-Authentisierung, Bestätigung in zwei Schritten oder Anmeldung in zwei Schritten.
3. Wähle als Methode Authentifizierungs-App.
4. Der Dienst zeigt einen QR-Code. Öffne deine Authentifizierungs-App, tippe auf „Hinzufügen“ und scanne den Code.
5. Gib den sechsstelligen Code aus der App ein, um die Einrichtung zu bestätigen.
6. Speichere die Wiederherstellungscodes, die der Dienst dir anzeigt. Dazu gleich mehr.

Wo du die Einstellung bei bekannten Diensten findest

• Google: myaccount.google.com > Sicherheit > Bestätigung in zwei Schritten. Google empfiehlt Passkeys und Push-Bestätigungen auf dem Smartphone.
• Apple-ID: Auf neueren Konten ist die Zwei-Faktor-Authentisierung automatisch aktiv. Prüfen unter Einstellungen > [dein Name] > Anmelden & Sicherheit.
• Microsoft: account.microsoft.com > Sicherheit > Erweiterte Sicherheitsoptionen.
• WhatsApp: Einstellungen > Account > Verifizierung in zwei Schritten. Hier legst du eine sechsstellige PIN fest, die beim Einrichten auf einem neuen Gerät abgefragt wird. Das schützt vor Betrügern, die dein Konto per SMS-Code übernehmen wollen.
• Amazon: Konto > Anmelden und Sicherheit > Bestätigung in zwei Schritten.
• PayPal: Einstellungen > Sicherheit > Bestätigung in zwei Schritten.
• Instagram und Facebook: in der Kontenübersicht von Meta unter Passwort und Sicherheit > Zweistufige Authentifizierung.

Wiederherstellungscodes: dein Notausgang

Was passiert, wenn dein Smartphone verloren geht oder kaputt ist? Dann hast du keinen Zugriff mehr auf die Authentifizierungs-App und könntest dich aus deinen Konten aussperren. Dafür gibt es Wiederherstellungscodes (auch Backup-Codes): eine Liste von Einmalcodes, die du bei der Einrichtung bekommst.

So gehst du richtig damit um:

• Drucke die Codes aus oder schreibe sie ab und bewahre sie an einem sicheren Ort zu Hause auf, etwa im Ordner mit wichtigen Dokumenten.
• Zusätzlich kannst du sie in deinem Passwortmanager speichern.
• Speichere sie nicht als Bildschirmfoto auf dem Smartphone, das du gerade absicherst.
• Jeder Code funktioniert nur einmal. Wenn du einen benutzt hast, streiche ihn durch und lass dir bei Bedarf neue erzeugen.

Viele Dienste erlauben außerdem eine zweite Methode als Reserve, etwa eine Telefonnummer, einen zweiten Sicherheitsschlüssel oder einen Wiederherstellungskontakt. Richte mindestens eine Reserve ein.

Umzug auf ein neues Smartphone

Der heikelste Moment ist der Wechsel des Smartphones. Codes aus einer Authentifizierungs-App ziehen nicht immer automatisch mit um.

• Google Authenticator kann Codes mit deinem Google-Konto synchronisieren oder über „Konten übertragen“ per QR-Code exportieren.
• Microsoft Authenticator sichert die Konten in der Cloud, wenn du die Sicherung in den Einstellungen aktiviert hast.
• Passwortmanager mit Code-Funktion synchronisieren automatisch.
• Aegis und 2FAS bieten verschlüsselte Exporte.

Faustregel: Setze das alte Smartphone erst zurück, wenn du dich auf dem neuen bei allen wichtigen Konten erfolgreich angemeldet hast.

Betrugsmaschen rund um Zwei-Faktor

Kriminelle haben sich auf den zweiten Faktor eingestellt. Die häufigsten Maschen:

• Der falsche Support-Anruf: Jemand gibt sich als Bank, Paketdienst oder Microsoft aus und bittet dich, einen Code vorzulesen, „zur Verifizierung“. Gib niemals einen Code am Telefon, per SMS oder im Chat weiter. Echte Unternehmen fragen nicht danach.
• Der WhatsApp-Code von „Freunden“: Ein Kontakt schreibt: „Ich habe dir aus Versehen einen Code geschickt, kannst du ihn mir weiterleiten?“ Dahinter steckt fast immer jemand, der dein WhatsApp-Konto übernehmen will.
• Gefälschte Anmeldeseiten: Manche Phishing-Seiten fragen nach Passwort und Code und nutzen beides sofort. Dagegen helfen Passkeys und Sicherheitsschlüssel, weil sie nur auf der echten Seite funktionieren.
• Push-Bombardement: viele Anmeldeanfragen hintereinander. Nie bestätigen, wenn du dich nicht selbst gerade anmeldest.

Zwei-Faktor für ältere Angehörige einrichten

Gerade für ältere Menschen kann der zweite Faktor zunächst verwirrend sein. Trotzdem lohnt er sich besonders, weil sie häufig Ziel von Betrügern sind. Ein paar Tipps für die Einrichtung:

• Wähle die einfachste sichere Methode. Für viele ist eine Push-Bestätigung auf dem eigenen Smartphone verständlicher als sechsstellige Codes. Passkeys mit Fingerabdruck sind noch einfacher.
• Erkläre die wichtigste Regel in einem Satz: „Wenn du dich nicht gerade selbst anmeldest, bestätigst du nichts, und Codes gibst du niemandem.“
• Bewahre die Wiederherstellungscodes gemeinsam auf, zum Beispiel in einem Umschlag im Ordner mit den wichtigen Unterlagen.
• Richte dich als Wiederherstellungskontakt ein, wenn der Dienst das anbietet, etwa bei der Apple-ID. Dann kannst du im Notfall helfen, ohne das Passwort zu kennen.
• Übt einmal gemeinsam, wie eine Anmeldung mit zweitem Faktor abläuft, damit sie im Alltag keine Unsicherheit auslöst.

Häufige Fragen

Was, wenn ich ins Ausland reise und keine SMS bekomme? Eine Authentifizierungs-App funktioniert ohne Mobilfunknetz und Internet. Das ist ein weiterer Grund, sie der SMS vorzuziehen.

Muss ich den Code bei jeder Anmeldung eingeben? Meist nicht. Auf vertrauenswürdigen Geräten kannst du ein Häkchen bei „Dieses Gerät merken“ setzen.

Kann ich eine Authentifizierungs-App für alle Konten nutzen? Ja, eine App kann Codes für beliebig viele Dienste erzeugen.

Fazit

Zwei-Faktor-Authentisierung ist eine der wirksamsten Maßnahmen gegen gestohlene Konten. Schalte sie zuerst für E-Mail, dein Apple-, Google- oder Microsoft-Konto, Bezahldienste und Messenger ein. Nutze wenn möglich eine Authentifizierungs-App, Passkeys oder einen Sicherheitsschlüssel statt SMS, und bewahre die Wiederherstellungscodes auf Papier sicher auf. Vor allem aber: Gib niemals einen Code an jemanden weiter, der dich darum bittet.