Zwei-Faktor-Authentifizierung: warum sie wichtig ist und wie man sie aktiviert
Ein Passwort ist nur eine Schutzebene für ein Konto, und Passwort-Lecks passieren regelmäßig. Zwei-Faktor-Authentifizierung fügt eine zweite Barriere hinzu, die den Zugriff auf ein fremdes Konto drastisch erschwert — selbst wenn das Passwort bereits bekannt ist.
Was Zwei-Faktor-Authentifizierung ist
Zwei-Faktor-Authentifizierung (2FA) bestätigt die Anmeldung anhand zweier unterschiedlicher Merkmale: etwas, das Sie wissen (ein Passwort), und etwas, das Sie besitzen oder das Sie sind (ein Code aus einer App, ein physischer Schlüssel, ein Fingerabdruck). Ist ein Faktor kompromittiert — etwa weil das Passwort in einem weiteren Datenbank-Leck auftaucht —, schützt der zweite Faktor die Anmeldung trotzdem noch.
Warum ein Passwort allein nicht reicht
Passwörter werden über Phishing gestohlen, aus geleakten Datenbanken erraten und über mehrere Dienste hinweg wiederverwendet — stimmt das Passwort einer Website mit dem der E-Mail überein, zieht der Einbruch in ein Konto die übrigen gleich mit. Selbst ein starkes, einzigartiges Passwort aus einem Passwort-Manager schützt nicht davor, dass es auf einer gefälschten Seite eingegeben wird. Deshalb weisen aktuelle Empfehlungen zur digitalen Identität (NIST SP 800-63B) ausdrücklich darauf hin: Ein Passwort allein ist nicht phishing-resistent, und wichtige Konten brauchen einen zusätzlichen Faktor — idealerweise einen, der sich nur schwer aus der Ferne abfangen lässt.
Welche Arten von 2FA es gibt
- SMS-Code — die einfachste Variante, aber anfällig für SIM-Swap-Angriffe und Social Engineering beim Mobilfunkanbieter.
- Authenticator-App (TOTP) — erzeugt alle 30 Sekunden einen Einmalcode aus einem gemeinsamen geheimen Schlüssel, ganz ohne Netzverbindung (Google Authenticator, Aegis, Microsoft Authenticator und ähnliche). Funktioniert auch ohne Internetverbindung des Telefons.
- Push-Bestätigung — der Dienst sendet eine Meldung "Sind Sie das, der sich anmeldet?" an ein bereits verknüpftes Gerät.
- Hardware-Schlüssel oder Passkey — die phishing-resistenteste Variante: Der Schlüssel prüft, dass Sie tatsächlich auf der echten Seite des Dienstes sind und nicht auf einer Fälschung.
Wie viel das wirklich bringt
Eigenen Untersuchungen von Google und Microsoft zufolge blockiert das Aktivieren eines beliebigen zweiten Faktors — selbst eines einfachen — die überwältigende Mehrheit automatisierter Angriffe und massenhaften Phishings: Ein Bot hat schlicht nichts, womit er auf die Code-Abfrage antworten könnte. Gegen gezielte Angriffe fällt der Effekt etwas geringer aus, dennoch ist eine Authenticator-App oder ein Hardware-Schlüssel zuverlässiger als eine einzelne SMS.
2FA aktivieren: Schritt für Schritt
- Öffnen Sie die Sicherheitseinstellungen des Kontos (meist unter "Sicherheit" oder "Anmeldung und Wiederherstellung") in E-Mail, Messenger oder Banking-App.
- Wählen Sie eine Bestätigungsmethode. Falls möglich, bevorzugen Sie eine Authenticator-App oder einen Passkey gegenüber SMS.
- Scannen Sie den QR-Code mit der Authenticator-App oder bestätigen Sie die Geräteverknüpfung.
- Speichern Sie die Wiederherstellungscodes an einem sicheren Ort — nicht in den Notizen des Telefons, das zusammen mit den Codes verloren gehen kann.
- Testen Sie die Anmeldung auf einem anderen Gerät oder Browser, um sicherzugehen, dass der zweite Faktor tatsächlich abgefragt wird.
Da die Codes jetzt praktisch an Ihr Telefon gebunden sind, lohnt sich zusätzlich ein Blick auf dessen allgemeinen Schutz — dafür gibt es unsere separate Android-Sicherheitscheckliste.
Checkliste nach der Aktivierung
- Wiederherstellungscodes sind offline gespeichert (Papier oder Passwort-Manager) — nicht nur in einem Screenshot-Ordner.
- Mindestens eine alternative Anmeldemethode ist für den Fall eines verlorenen Telefons eingerichtet.
- Das Kontopasswort bleibt trotzdem einzigartig und stark — 2FA ergänzt das Passwort, ersetzt es aber nicht; die Auswahl eines Tools zur Passwortverwaltung haben wir im Artikel über Passwort-Manager behandelt.
- Prüfen Sie alle paar Monate die Liste der aktiven Sitzungen und verbundenen Geräte in den Diensteinstellungen.
Muss ein Code oder eine Push-Bestätigung über öffentliches WLAN empfangen werden — im Café, Hotel oder am Flughafen —, lohnt es sich, diesen Abschnitt der Verbindung zusätzlich zu verschlüsseln: mehr dazu im Artikel über den Schutz von Daten in öffentlichen Netzen. HamikVPN ist ein praktisches Werkzeug für genau diese Verschlüsselung auf Telefon und Computer — die Android-App steht auf der Download-Seite bereit.