Zwei-Faktor-Authentifizierung: Ein zweites Schloss für deine Konten

Kurzfassung: Zwei-Faktor-Authentifizierung (2FA) bedeutet, dass selbst wenn jemand dein Passwort stiehlt, er trotzdem nicht in dein Konto gelangen kann. Das Einrichten dauert etwa 30 Sekunden und ist eine der wirksamsten Maßnahmen, die du ergreifen kannst, um dich online zu schützen. Aktiviere es zuerst für deine E-Mail und deinen Passwort-Manager.

Was ist Zwei-Faktor-Authentifizierung?

Ein Passwort ist etwas, das du weißt. Zwei-Faktor-Authentifizierung fügt eine zweite Prüfung hinzu — etwas, das du hast — bevor du eingelassen wirst.

Stell es dir wie ein Bankschließfach vor. Die Bank hat einen Schlüssel und du hast einen. Keiner der beiden Schlüssel funktioniert allein — ihr müsst beide anwesend sein. Selbst wenn jemand deinen Schlüssel stiehlt, kann er das Fach nicht ohne den Schlüssel der Bank öffnen.

Wenn 2FA aktiviert ist, erfordert das Einloggen:

1. Dein Passwort (etwas, das du weißt)
2. Eine zweite Bestätigung — meistens ein Code von deinem Handy (etwas, das du hast)

Selbst wenn ein Hacker dein Passwort durch eine Datenpanne stiehlt, kommt er nicht weiter. Er hat dein Handy nicht.

Warum das so wichtig ist

Passwörter werden ständig gestohlen — nicht weil du etwas falsch gemacht hast, sondern weil Websites gehackt werden. Wenn das passiert, landen deine E-Mail-Adresse und dein Passwort auf Listen, die Kriminelle kaufen und automatisch auf anderen Websites ausprobieren.

🔍 Die E-Mail-Adresse der meisten Menschen ist in mindestens einem Datenleck aufgetaucht. Du kannst das in Sekunden unter Have I Been Pwned prüfen oder unseren Leitfaden lesen über welche Informationen über dich bereits im Umlauf sind. Egal ob du nachgeschaut hast oder nicht — es ist die richtige Gewohnheit, so zu handeln, als wäre dein Passwort bereits geleakt, und 2FA zu nutzen.

2FA durchbricht diese Kette vollständig. Das gestohlene Passwort allein ist nutzlos.

Dein E-Mail-Konto ist dabei besonders wichtig — es ist der Hauptschlüssel zu allem anderen im Internet. Wenn jemand in deine E-Mail gelangt, kann er über „Passwort vergessen" jedes andere Konto zurücksetzen, das er möchte. Das E-Mail-Konto mit 2FA zu schützen ist das Wirkungsvollste, was die meisten Menschen tun können.

💡 Wenn du nach dieser Seite nur eine Sache tust, aktiviere 2FA für dein E-Mail-Konto. Alles andere folgt daraus.

Die Arten von 2FA (von schwächsten bis stärksten)

Nicht alle 2FA-Methoden sind gleich. Hier siehst du, wie die gängigen Methoden im Vergleich abschneiden:

📱 SMS-Nachricht — Praktisch, aber am schwächsten

Wenn du dich einloggst, wird ein 6-stelliger Code per SMS an dein Handy gesendet.

Vorteile:

• Funktioniert sofort mit deiner bestehenden Handynummer — nichts zu installieren
• Weit verbreitet und unterstützt

Nachteile:

• SIM-Swapping-Angriffe: Ein Krimineller kann deinen Mobilfunkanbieter anrufen, sich als dich ausgeben und deine Nummer auf sein Handy übertragen lassen — und dann deine Codes empfangen
• Funktioniert nicht, wenn du kein Signal hast oder ohne deine SIM-Karte unterwegs bist
• Per SMS gesendete Codes können in schlecht gesicherten Netzwerken abgefangen werden

Fazit: Viel besser als gar nichts — aber wenn eine Website eine bessere Option bietet, nimm diese stattdessen.

🔑 Authenticator-App — Die empfohlene Methode

Eine Authenticator-App auf deinem Handy erzeugt alle 30 Sekunden einen neuen 6-stelligen Code — völlig offline, ohne SMS. Der Code wird mathematisch aus einem geheimen Schlüssel berechnet, der bei der Einrichtung geteilt wurde.

Vorteile:

• Nicht anfällig für SIM-Swapping
• Funktioniert offline — kein Signal nötig
• Wird von fast jeder großen Website und jedem Dienst unterstützt
• Kostenlos

Nachteile:

• Erfordert die Installation einer App
• Wenn du dein Handy ohne Backup verlierst, ist die Wiederherstellung etwas aufwändiger

Fazit: Das ist die goldene Mitte — starke Sicherheit, einfach im Alltag und kostenlos.

🔐 Passkeys — Die Zukunft (und bereits hier)

Ein Passkey ersetzt dein Passwort und 2FA in einem Schritt. Dein Gerät (Handy oder Laptop) speichert einen geheimen Schlüssel, der einzigartig für dich ist, und du bestätigst ihn mit deinem Gesicht oder Fingerabdruck. Es gibt nichts einzutippen, nichts zu stehlen und nichts, das bei einer Datenpanne geleakt werden kann.

Vorteile:

• Die sicherste verfügbare Option
• Keine Codes einzutippen — nur dein Gesicht oder Fingerabdruck
• Unmöglich zu phishen (du kannst nicht dazu gebracht werden, es auf einer gefälschten Website einzugeben)
• Bereits unterstützt von Google, Apple, Microsoft, Amazon, PayPal, GitHub und mehr

Nachteile:

• Relativ neu — noch nicht überall unterstützt
• Erfordert ein Gerät mit biometrischer Erkennung (die meisten modernen Handys und Laptops haben das)

Fazit: Nutze Passkeys, wo immer sie verfügbar sind — sie sind das Beste aller Welten. Sowohl Apple Keychain als auch 1Password unterstützen sie bereits.

🗝️ Hardware-Sicherheitsschlüssel — Für besonders wichtige Konten

Ein physischer USB- oder NFC-Schlüssel (wie ein YubiKey), den du einsteckst oder antippst, um eine Anmeldung zu bestätigen.

Vorteile:

• Praktisch unmöglich, aus der Ferne anzugreifen
• Konstruktionsbedingt phishing-resistent

Nachteile:

• Kostet Geld (~25–50 €)
• Für die meisten alltäglichen Nutzer übertrieben
• Du brauchst einen Ersatzschlüssel, falls du ihn verlierst

Fazit: Für die meisten Menschen nicht notwendig — Passkeys und Authenticator-Apps decken den Alltag gut ab.

Empfohlene Authenticator-Apps

Diese Apps erzeugen die sicheren Codes für deine Konten. Installiere eine auf deinem Handy und sie übernimmt alles.

⭐ Empfohlen: Eingebaut in deinen Passwort-Manager

Wenn du 1Password verwendest, kann es deine Authenticator-Codes neben deinen Passwörtern speichern — wenn du dich also auf einer Website einloggst, füllt es automatisch sowohl das Passwort als auch den 2FA-Code aus. Das ist das nahtloseste Erlebnis.

Gleiches gilt für Bitwarden Premium (erfordert einen kostenpflichtigen Plan, ca. 10 €/Jahr).

Wenn du bereits einen dieser Dienste nutzt, brauchst du möglicherweise gar keine separate App.

📲 Aegis (Android) — Beste eigenständige App

Kostenlos, quelloffen und speichert deine Codes sicher mit Verschlüsselung. Du kannst ein Backup exportieren, damit du beim Handywechsel nichts verlierst.

Am besten für: Android-Nutzer, die eine eigenständige, vertrauenswürdige App möchten.

📲 Raivo (iPhone/iPad) — Die beste Wahl für iOS

Ein übersichtlicher, kostenloser, quelloffener Authenticator für Apple-Geräte. Synchronisiert mit iCloud als Backup, sodass ein Handywechsel problemlos ist.

Am besten für: iPhone- und iPad-Nutzer, die eine eigenständige App möchten.

📲 Google Authenticator

Kostenlos und weit verbreitet unterstützt. Einfach einzurichten, hatte früher keine Backup-Optionen (was sich verbessert hat). Funktioniert gut, wenn du bereits stark im Google-Ökosystem bist.

Am besten für: Alle, die Google bereits intensiv nutzen und die einfachste Einrichtung möchten.

⚠️ Vermeiden: Authy

Authy wurde einmal empfohlen, hat aber kürzlich angekündigt, dass es eingestellt wird. Wenn du es derzeit verwendest, wechsle zu einer der oben genannten Alternativen.

Wo du es zuerst aktivieren solltest

Versuche nicht, alles auf einmal zu erledigen. Fange mit diesen Konten an — sie sind die wichtigsten:

Priorität	Konto	Warum
🔴 Zuerst	Deine E-Mail (Gmail, Outlook, iCloud)	Es ist der Hauptschlüssel zu allen anderen Konten
🔴 Zuerst	Dein Passwort-Manager (1Password, Bitwarden)	Er schützt alle deine anderen Passwörter
🟠 Bald	Deine Apple ID / Dein Google-Konto	Steuert dein Handy und verknüpfte Käufe
🟠 Bald	Deine Bank- und Finanzkonten	Direkter Zugriff auf Geld
🟡 Wenn du kannst	Soziale Medien (Facebook, Instagram)	Verhindert Identitätsmissbrauch und Kontostahl
🟡 Wenn du kannst	Shopping-Konten (Amazon usw.)	Gespeicherte Zahlungsdetails gefährdet

„Was passiert, wenn ich mein Handy verliere?"

Das ist die häufigste Sorge — und sie ist berechtigt. So kannst du dich vorbereiten:

• Sichere deine Authenticator-Codes. Sowohl Aegis als auch Raivo unterstützen verschlüsselte Backups. Mache das, wenn du sie einrichtest.
• Speichere deine Wiederherstellungscodes. Wenn du 2FA für eine Website aktivierst, bietet sie in der Regel eine Reihe von einmaligen Backup-Codes an. Speichere diese an einem sicheren Ort — dein Passwort-Manager ist ein guter Platz.
• Wenn du 1Password als Authenticator verwendest, sind deine Codes als Teil deines 1Password-Kontos gesichert — nichts Weiteres nötig.
• Wenn du dein Handy trotzdem verlierst, haben die meisten Dienste einen Kontowiederherstellungsprozess, weshalb es so wichtig ist, deine E-Mail sicher zu halten (mit 2FA) — es ist oft der Wiederherstellungsweg.

So aktivierst du es

Jede Website ist etwas anders, aber das Muster ist fast immer dasselbe:

1. Gehe zu den Einstellungen deines Kontos (oder Sicherheitseinstellungen).
2. Suche nach Zwei-Faktor-Authentifizierung, 2-Schritt-Verifizierung oder Anmeldesicherheit.
3. Wähle Authenticator-App (bevorzugt gegenüber SMS, wenn du die Wahl hast).
4. Öffne deine Authenticator-App, tippe auf die Schaltfläche + und scanne den auf dem Bildschirm angezeigten QR-Code.
5. Gib den 6-stelligen Code ein, um zu bestätigen, dass alles funktioniert.
6. Speichere alle Backup-Codes, die dir gegeben werden — bewahre sie in deinem Passwort-Manager auf.

Fertig.

Nächste Schritte

Sobald deine E-Mail und dein Passwort-Manager geschützt sind, bist du bereits in einer viel besseren Position als die meisten Menschen online. Von dort aus arbeitest du die Prioritätsliste in deinem eigenen Tempo durch.

👉 Siehe auch: Passwort-Manager: Hör auf, dir alles merken zu müssen