Zwei-Faktor-Authentifizierung

Bei der Zwei-Faktor-Authentifizierung (2FA) brauchst du zum Anmelden zwei Nachweise aus verschiedenen Kategorien: etwas, das du weißt, wie dein Passwort, und etwas, das du besitzt, wie dein Smartphone oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr. Das BSI empfiehlt in seinen Hinweisen zur Zwei-Faktor-Authentisierung, sie zu nutzen, sobald ein Dienst sie anbietet. Bei vielen Diensten ist sie standardmäßig ausgeschaltet.

Die drei Arten von Faktoren

Das BSI unterscheidet drei Kategorien. Für echte Zwei-Faktor-Sicherheit müssen die beiden Nachweise aus verschiedenen Kategorien kommen.

• Wissen: Passwort oder PIN.
• Besitz: Smartphone mit Authenticator-App, Chipkarte, TAN-Generator oder Sicherheitsschlüssel.
• Biometrie: Fingerabdruck oder Gesicht. Das BSI weist darauf hin, dass eine Lebenderkennung wichtig ist, weil biometrische Merkmale nicht geheim sind.

Welche Konten zuerst?

Das BSI nennt die Konten, bei denen sich ein zweiter Faktor besonders lohnt: Online-Banking, Online-Shopping, E-Mail und soziale Netzwerke. Eine sinnvolle Reihenfolge:

1. dein wichtigstes E-Mail-Postfach, weil darüber andere Passwörter zurückgesetzt werden können,
2. dein Apple-, Google- oder Microsoft-Konto, an dem Smartphone, Fotos und Backups hängen,
3. Bank und Zahlungsdienste wie PayPal,
4. Shopping-Konten mit hinterlegter Zahlungsart,
5. soziale Netzwerke und dein Passwortmanager.

Welche Methode ist die richtige?

Bei SMS-Codes rät das BSI, sie nicht auf demselben Gerät zu empfangen, mit dem du dich anmeldest, weil sonst die beiden Faktoren nicht mehr ausreichend getrennt sind. Beim Smartphone als einzigem Gerät lässt sich das kaum vermeiden. Auch deshalb ist eine Authenticator-App oder ein Sicherheitsschlüssel die bessere Wahl.

Authenticator-Apps gibt es von Google, Microsoft und anderen. Manche Passwortmanager, etwa Apples App „Passwörter“, können die Codes ebenfalls erzeugen. Wenn Passwort und Code dann im selben Programm liegen, ist das bequem, aber beide Faktoren hängen am selben Tresor. Für E-Mail und Bank ist eine getrennte App oder ein Sicherheitsschlüssel die sauberere Lösung.

So richtest du 2FA ein

Die Schritte gleichen sich bei fast allen Diensten:

1. Sicherheitseinstellungen öffnen: meist unter „Konto“, „Sicherheit“ oder „Anmeldung und Sicherheit“.
2. 2FA einschalten: Der Punkt heißt je nach Dienst Zwei-Faktor-Authentifizierung, Bestätigung in zwei Schritten oder zweistufige Verifizierung.
3. Methode wählen: am besten Authenticator-App oder Sicherheitsschlüssel.
4. QR-Code scannen: Die App liest den Code ein und zeigt ab sofort Einmalcodes für dieses Konto.
5. Testcode eingeben: Damit bestätigst du, dass alles funktioniert.
6. Notfallweg anlegen: Backup-Codes herunterladen oder ausdrucken, zweites Gerät oder zweite Nummer hinterlegen.

Google

Öffne myaccount.google.com, dann „Sicherheit und Anmeldung“ und unter „So melden Sie sich in Google an“ den Punkt „2‑Faktor-Authentifizierung aktivieren“. Google bietet laut seiner Hilfeseite die Google-Aufforderung aufs Smartphone, Authenticator-Apps, SMS oder Anruf, Hardware-Sicherheitsschlüssel und Passkeys an. Dazu kommen achtstellige Backup-Codes zum Ausdrucken für den Notfall.

Apple

Auf dem iPhone: Einstellungen, dann dein Name, dann „Anmeldung & Sicherheit“, dort die Zwei-Faktor-Authentifizierung aktivieren. Bei neuen Anmeldungen zeigt Apple einen sechsstelligen Code auf deinen vertrauenswürdigen Geräten an oder schickt ihn an deine vertrauenswürdige Telefonnummer. Laut Apple setzen Dienste wie Apple Pay und „Mit Apple anmelden“ die Zwei-Faktor-Authentifizierung voraus. Wer sie gerade erst eingeschaltet hat, kann sie innerhalb von zwei Wochen wieder abschalten, danach nicht mehr.

Amazon

Unter „Mein Konto“ wählst du „Anmelden und Sicherheit“, dann bei der Zwei-Faktor-Authentifizierung (2SV) „Bearbeiten“ und „Erste Schritte“. Amazon bietet den Code per SMS oder per Authentifizierungs-App an.

PayPal

PayPal richtest du im Webbrowser ein, nicht in der App: Einstellungen öffnen, Reiter „Sicherheit“, bei „Zweistufige Verifizierung“ auf „Einrichten“ klicken und „Authentifizierungs-App verwenden“ wählen. PayPal nennt als Beispiele Google Authenticator und Microsoft Authenticator. Wichtig: PayPal fragt dich laut eigener Hilfe nie telefonisch, per E-Mail oder SMS nach diesem Code. Wer danach fragt, ist ein Betrüger. Mehr dazu unter Phishing erkennen.

Vorsorge für den Notfall

Geht der Besitzfaktor verloren oder kaputt, verlierst du laut BSI meist den Zugang zum Konto oder kannst nur noch eingeschränkt darauf zugreifen. So beugst du vor:

• Backup-Codes ausdrucken und getrennt vom Smartphone aufbewahren, etwa im Ordner mit wichtigen Unterlagen.
• Mehrere Faktoren hinterlegen, wie es das BSI empfiehlt: ein zweiter Sicherheitsschlüssel, eine weitere App oder eine zweite Telefonnummer.
• Beim Smartphone-Wechsel die Authenticator-Codes übertragen, bevor du das alte Gerät zurücksetzt.

Beispiel: Eine Selbstständige mit eigenem Online-Shop schützt ihr E-Mail-Postfach, PayPal und das Shop-Backend mit einer Authenticator-App. Die Backup-Codes aller drei Konten druckt sie aus und legt sie in den Aktenordner mit den Steuerunterlagen. Als ihr Smartphone ins Wasser fällt, meldet sie sich mit den Codes an, richtet die App auf dem neuen Gerät ein und erzeugt neue Backup-Codes.

Was 2FA nicht leistet

Das BSI weist darauf hin, dass es auf Umsetzung und Verwendung ankommt. Ein Einmalcode, den du auf einer gefälschten Seite eintippst, landet bei den Betrügern, und solange er gültig ist, können sie ihn zusammen mit deinem Passwort nutzen. Bestätige daher nie eine Push-Anfrage, die du nicht selbst ausgelöst hast, und gib Codes nur auf Seiten ein, die du selbst aufgerufen hast. Gegen solche Tricks sind Passkeys und Hardware-Schlüssel deutlich widerstandsfähiger.

Viele Dienste bieten an, sich ein Gerät zu merken, damit du den zweiten Faktor dort nicht jedes Mal eingeben musst. Das BSI weist darauf hin, dass dieses Überspringen auf vertrauenswürdigen Geräten die Sicherheit verringert. Nutze die Option nur auf deinen eigenen Geräten, nie auf fremden oder gemeinsam genutzten Rechnern.

Zwei-Faktor ersetzt auch kein gutes Passwort. Das BSI empfiehlt Hardware-Verfahren ausdrücklich ergänzend zu einem starken Passwort. Wie du eins erstellst, steht unter sicheres Passwort, verwalten kannst du alle mit einem Passwortmanager.