Zwei-Faktor-Authentifizierung: SMS, App oder Hardware-Key?
Welche 2FA-Methode wirklich schützt und warum SMS-Codes die schwächste Wahl sind.
Selbst ein perfekt zufälliges, langes Passwort schützt nicht mehr, sobald es durch Phishing, ein Datenleck bei einem Drittanbieter oder Malware in falsche Hände gerät. Zwei-Faktor-Authentifizierung (2FA) fügt genau hier eine zweite, unabhängige Hürde hinzu - doch nicht alle 2FA-Methoden bieten denselben Schutz.
Was ist 2FA und warum reicht ein Passwort nicht mehr aus?
2FA verlangt beim Login zusätzlich zum Passwort (Faktor "Wissen") einen zweiten, unabhängigen Nachweis - meist etwas, das man besitzt (Smartphone, Hardware-Key) oder ist (Fingerabdruck). Ein gestohlenes Passwort allein reicht einem Angreifer damit nicht mehr aus, um sich anzumelden.
SMS-basierte 2FA: bequem, aber angreifbar
Codes per SMS sind einfach einzurichten, gelten unter Sicherheitsexperten inzwischen aber als schwächste 2FA-Variante. Beim sogenannten SIM-Swapping überzeugen Angreifer den Mobilfunkanbieter, die Telefonnummer des Opfers auf eine eigene SIM-Karte zu übertragen, und fangen damit alle SMS-Codes ab. Zusätzlich lassen sich SMS grundsätzlich abfangen, da das zugrunde liegende Mobilfunknetzwerk nicht für diesen Zweck konzipiert wurde.
Authenticator-Apps (TOTP): der gute Mittelweg
Apps wie Aegis, Google Authenticator oder Ente Auth erzeugen zeitbasierte Einmalcodes (TOTP) direkt auf dem Gerät, ganz ohne Netzwerkverbindung - ein SIM-Swap-Angriff läuft damit ins Leere. Der Code wird aus einem geheimen Schlüssel berechnet, der beim Einrichten einmalig zwischen Dienst und App ausgetauscht wird und danach lokal auf dem Gerät verbleibt.
Hardware-Sicherheitsschlüssel (FIDO2/U2F): der Goldstandard
Physische Schlüssel wie ein YubiKey nutzen kryptografische Signaturen statt Codes und sind gegen Phishing praktisch immun, da der Schlüssel die Identität der aufgerufenen Website prüft, bevor er überhaupt reagiert - ein gefälschtes Login-Formular kann ihn nicht täuschen. Für besonders schützenswerte Konten wie E-Mail oder Passwort-Manager ist das aktuell die sicherste verfügbare Option.
Backup-Codes nicht vergessen
Bei der Einrichtung von 2FA generieren die meisten Dienste einmalige Backup-Codes für den Fall, dass Smartphone oder Hardware-Key verloren gehen. Bewahre diese Codes ausgedruckt oder in einem Passwort-Manager auf - ohne sie kann der Verlust des zweiten Faktors dazu führen, dass du dauerhaft aus dem eigenen Konto ausgesperrt bist.
Wo du 2FA zuerst aktivieren solltest
Priorisiere Konten, über die sich andere Konten zurücksetzen lassen: dein E-Mail-Postfach zuerst, danach dein Passwort-Manager, gefolgt von Bank- und Cloud-Konten. Ein kompromittiertes E-Mail-Konto öffnet Angreifern potenziell die Tür zu allen anderen Diensten, die über "Passwort vergessen" mit dieser Adresse verknüpft sind.