Zwei-Faktor-Authentisierung: Welche Verfahren sicher sind – und wie Sie 2FA einschalten

Bei der Zwei-Faktor-Authentisierung melden Sie sich mit einer Kombination aus zwei unterschiedlichen Faktoren an: Wissen (etwa Passwort oder PIN), Besitz (etwa Chipkarte, TAN-Generator oder Handy) oder Biometrie (etwa Fingerabdruck). Das BSI spricht von Authentisierung – Sie weisen sich aus; das System prüft und authentifiziert Sie. Apple und Microsoft nennen dasselbe „Zwei-Faktor-Authentifizierung“ bzw. „zweistufige Überprüfung“, Google „Bestätigung in zwei Schritten“.

Die Verfahren im Vergleich

• SMS-TAN und Code per E-Mail: am bekanntesten – in einer vzbv-Umfrage von April 2021 kannten 85 % die SMS-TAN und 76 % den Code per E-Mail. Vor Phishing in Echtzeit schützen sie laut BSI nicht, und die Verbraucherzentrale rät, sie nach Möglichkeit nicht als zweiten Faktor zu nutzen. Wer die SMS-TAN nutzt, sollte sie laut BSI nicht auf demselben Gerät empfangen, mit dem er sich anmeldet.
• Authenticator-Apps (TOTP): erzeugen die Codes auf dem Handy und sind an das Gerät gebunden, auf dem sie eingerichtet wurden. Auch sie schützen laut BSI nicht vor Echtzeit-Phishing.
• Passkeys – synchronisiert oder fest an ein Gerät gebunden, etwa als FIDO2-Stick: Laut BSI sind beide Varianten resistent gegen übliche Phishing-Angriffe. Einen Passkey richten Sie einmalig mit wenigen Klicks in den Sicherheitseinstellungen der Seite oder App ein. Wer einen FIDO2-Stick nutzt, schafft sich am besten einen zweiten als Notfalllösung an.

Wo Sie zuerst einschalten sollten

Die Verbraucherzentrale rät, zuerst E-Mail-Konten und soziale Netzwerke abzusichern – über das E-Mail-Konto lassen sich die Passwörter fast aller anderen Konten zurücksetzen. Nachträglich finden Sie die Funktion meist in den Benutzer- oder Sicherheitseinstellungen. Und das BSI rät in jedem Fall davon ab, eine einmal eingerichtete Zwei-Faktor-Authentisierung wieder abzuschalten.

So aktivieren Sie 2FA bei Apple, Google und Microsoft

• Apple Account: „Einstellungen“ › [Ihr Name] › „Anmeldung & Sicherheit“ › Zwei-Faktor-Authentifizierung. Im Web unter account.apple.com über „Accountsicherheit erhöhen“.
• Google-Konto: im Google-Konto unter „Sicherheit und Anmeldung“ im Bereich „So melden Sie sich in Google an“ die „2-Faktor-Authentifizierung aktivieren“. Google warnt, dass per SMS oder Anruf übermittelte Codes anfällig für telefonnummernbasierte Angriffe sein können.
• Microsoft-Konto: unter account.microsoft.com/security „Verwalten, wie ich mich anmelde“ › „Zusätzliche Sicherheit“ › „Überprüfung in zwei Schritten“ › „Aktivieren“. Microsoft empfiehlt, drei Sicherheitsinformationen zu hinterlegen – eine Wiederherstellung ohne sie kann bis zu 30 Tage dauern.

So sperren Sie sich nicht aus

• Registrieren Sie mehrere zweite Faktoren, wie das BSI empfiehlt – etwa eine App und einen Sicherheitsschlüssel.
• Prüfen Sie schon beim Einrichten, wie die Wiederherstellung funktioniert, und speichern Sie Backup-Codes an einem sicheren Ort.
• Geben Sie Codes niemals weiter. Echte Anbieter rufen nicht an, um nach einem Code zu fragen, den Sie gerade erhalten haben.

Ersetzt 2FA einen Passwort-Manager?

Nein – beides ergänzt sich. Ein Passwort-Manager sorgt für ein eigenes, starkes Passwort pro Konto, sodass ein Datenleck nicht gleich alle Konten öffnet; die Zwei-Faktor-Authentisierung sorgt dafür, dass ein gestohlenes Passwort allein nicht reicht. Einen Passwort-Manager bringt etwa schon die kostenlose Version von Avira mit.

Schalten Sie die Zwei-Faktor-Authentisierung heute für Ihr E-Mail-Konto ein. Es ist das Konto, mit dem sich alle anderen zurücksetzen lassen.