Zwei-Faktor-Authentifizierung: So schützen Sie Ihre Konten besser

Ein Passwort allein reicht heute oft nicht mehr aus, um ein Online-Konto zuverlässig zu schützen. Deshalb bieten immer mehr Dienste eine Zwei-Faktor-Authentifizierung, kurz 2FA, an. Sie kennen das vielleicht bereits: Nach der Eingabe Ihres Passworts müssen Sie zusätzlich einen Code eingeben oder eine Anmeldung auf Ihrem Smartphone bestätigen. Doch weshalb ist dieser zusätzliche Schritt sinnvoll und wie funktioniert er genau?

Was bedeutet Zwei-Faktor-Authentifizierung?

Bei der Zwei-Faktor-Authentifizierung sichern Sie ein Online-Konto mit zwei unterschiedlichen Nachweisen ab. Neben Ihrem Passwort ist also eine zusätzliche Bestätigung erforderlich.

Das kann zum Beispiel ein einmaliger Code sein, den Sie auf Ihrem Smartphone erhalten oder in einer Authenticator-App sehen. Auch eine Bestätigung direkt auf dem Smartphone oder ein Sicherheitsschlüssel kann als zweiter Nachweis dienen.

Der Vorteil ist einfach: Selbst wenn jemand Ihr Passwort kennt, reicht dieses allein nicht aus, um sich in Ihr Konto einzuloggen. Die zusätzliche Hürde macht es deutlich schwieriger, unbefugt auf Ihre Daten zuzugreifen.

Warum reicht ein Passwort nicht immer aus?

Passwörter können auf unterschiedliche Weise in falsche Hände geraten. Sie können beispielsweise durch ein Datenleck bei einem Online-Dienst bekannt werden, durch Phishing abgefangen oder erraten werden. Verwenden Sie dasselbe Passwort bei mehreren Diensten, kann ein einziges gestohlenes Passwort sogar mehrere Konten gefährden.

Genau hier setzt die Zwei-Faktor-Authentifizierung an. Kennt jemand Ihr Passwort, fehlt im Idealfall immer noch der zweite Faktor. Wer beispielsweise versucht, sich mit Ihren Zugangsdaten von einem fremden Computer aus anzumelden, kann ohne den zusätzlichen Bestätigungscode oder Ihr Smartphone nicht einfach auf das Konto zugreifen.

Die Zwei-Faktor-Authentifizierung ersetzt ein gutes Passwort deshalb nicht. Sie bildet vielmehr eine zusätzliche Schutzschicht.

Wie funktioniert 2FA im Alltag?

Am einfachsten lässt sich das an einem Beispiel erklären. Sie möchten sich bei einem Online-Konto anmelden und geben zunächst Ihre E-Mail-Adresse und Ihr Passwort ein. Der Dienst erkennt, dass die Zugangsdaten korrekt sind, verlangt aber noch einen zweiten Nachweis.

Je nach Anbieter kann das beispielsweise so aussehen:

Code per SMS: Sie erhalten einen Zahlencode auf Ihr Mobiltelefon und geben diesen beim Login ein.

Code aus einer Authenticator-App: Eine spezielle App auf Ihrem Smartphone erzeugt regelmässig neue Codes. Sie geben den aktuell angezeigten Code beim Login ein.

Bestätigung auf dem Smartphone: Auf Ihrem Handy erscheint eine Meldung, die Sie bestätigen können. Je nach Dienst müssen Sie beispielsweise zusätzlich Ihre Geräte-PIN, Ihren Fingerabdruck oder die Gesichtserkennung verwenden.

Sicherheitsschlüssel: Ein spezielles kleines Gerät wird für die Anmeldung verwendet. Diese Variante ist vor allem für Menschen interessant, die besonders hohe Anforderungen an die Sicherheit haben.

Für den Alltag ist vor allem wichtig, dass Sie den zweiten Faktor nicht als lästige Zusatzhürde betrachten. Er soll verhindern, dass jemand allein mit einem gestohlenen Passwort Zugang zu Ihrem Konto erhält.

Ist ein Code per SMS sicher genug?

Nicht jede Form der Zwei-Faktor-Authentifizierung bietet den gleichen Schutz. Ein per SMS zugestellter Code ist grundsätzlich besser als ein Konto, das ausschliesslich durch ein Passwort geschützt wird. Allerdings gelten SMS-Codes als weniger sicher als moderne Verfahren, weil SMS unter bestimmten Umständen abgefangen oder die Mobilfunknummer missbraucht werden kann.

Wenn ein Dienst eine Authenticator-App oder eine Bestätigung direkt über das Gerät anbietet, kann dies deshalb die bessere Wahl sein. Besonders sicher sind zudem sogenannte Sicherheitsschlüssel und moderne Anmeldeverfahren wie Passkeys.

Für Sie bedeutet das nicht, dass Sie jede technische Möglichkeit kennen müssen. Wenn ein Online-Dienst mehrere Varianten anbietet, können Sie sich in der Regel für eine Lösung entscheiden, die Sie zuverlässig bedienen können und die einen guten Schutz bietet.

Was passiert, wenn Sie Ihr Smartphone verlieren?

Das ist eine wichtige Frage, denn das Smartphone wird bei 2FA häufig zum zweiten Schlüssel für Ihre Konten.

Seriöse Dienste bieten deshalb normalerweise Möglichkeiten zur Wiederherstellung des Zugangs. Dazu können beispielsweise Wiederherstellungscodes, ein alternatives Gerät oder eine hinterlegte weitere Anmeldemöglichkeit gehören.

Wenn Sie bei der Einrichtung sogenannte Notfall- oder Wiederherstellungscodes erhalten, sollten Sie diese nicht einfach ignorieren. Sie können Ihnen helfen, wieder auf Ihr Konto zuzugreifen, wenn Ihr Smartphone verloren geht oder nicht mehr funktioniert.

Diese Codes gehören allerdings genauso sorgfältig aufbewahrt wie ein Passwort. Sie sollten sie nicht ungeschützt in einer E-Mail oder einem frei zugänglichen Dokument speichern.

Vorsicht bei unerwarteten Bestätigungsanfragen

Eine Zwei-Faktor-Authentifizierung schützt nicht automatisch vor jeder Form von Betrug. Das zeigt sich besonders bei sogenannten "Push"-Bestätigungen. Dabei erscheint auf Ihrem Smartphone eine Anfrage, mit der Sie eine Anmeldung bestätigen sollen.

Wenn Sie sich gerade selbst anmelden, ist das normalerweise nachvollziehbar. Erhalten Sie hingegen plötzlich eine solche Anfrage, obwohl Sie gar keinen Login gestartet haben, sollten Sie nicht einfach auf "Bestätigen" tippen. Möglicherweise versucht jemand, sich mit Ihrem Passwort anzumelden und hofft darauf, dass Sie die zusätzliche Abfrage versehentlich freigeben. 

Auch können Betrügerinnen und Betrüger Sie telefonisch oder per Nachricht dazu auffordern, einen Code weiterzugeben oder eine Anmeldung zu bestätigen.

Eine wichtige Grundregel lautet deshalb: Bestätigen Sie eine Anmeldung nur dann, wenn Sie sie selbst gerade gestartet haben. Einen erhaltenen Sicherheitscode sollten Sie niemals an andere Personen weitergeben – auch dann nicht, wenn diese behaupten, vom Support eines Unternehmens zu stammen.

Wo sollten Sie 2FA unbedingt aktivieren?

Sie müssen nicht zwangsläufig bei jedem Online-Konto mit der gleichen Dringlichkeit beginnen. Besonders sinnvoll ist die zusätzliche Absicherung dort, wo ein gestohlener Zugang besonders weitreichende Folgen haben könnte.

Dazu gehören beispielsweise:

• Ihr E-Mail-Konto

• Online-Banking und andere Finanzdienste

• wichtige Cloud- oder Speicherdienste

• soziale Netzwerke

• Konten, über die Sie persönliche oder andere sensible Daten verwalten

Gerade das E-Mail-Konto verdient besondere Aufmerksamkeit. Wer Zugriff darauf erhält, kann unter Umständen auch die Passwörter anderer Dienste zurücksetzen lassen. Die Absicherung Ihrer E-Mail-Adresse kann deshalb einen besonders wichtigen ersten Schritt darstellen.

Ist die Zwei-Faktor-Authentifizierung kompliziert?

Der Begriff klingt technischer, als die Sache im Alltag tatsächlich sein muss. Die Einrichtung erfolgt normalerweise direkt in den Sicherheits- oder Kontoeinstellungen des jeweiligen Dienstes. Dort können Sie auswählen, welche Methode Sie verwenden möchten, und werden anschliessend Schritt für Schritt durch die Einrichtung geführt.

Am Anfang kann es ungewohnt sein, zusätzlich zum Passwort noch einen Code einzugeben oder eine Anmeldung auf dem Smartphone zu bestätigen. Nach kurzer Zeit wird dieser zusätzliche Schritt jedoch meist zur Routine.

Wenn Sie bereits einen Passwort-Manager verwenden, lässt sich die Zwei-Faktor-Authentifizierung häufig gut damit kombinieren. Der Passwort-Manager kümmert sich um Ihre unterschiedlichen Passwörter, während der zweite Faktor eine zusätzliche Schutzschicht bildet.