EinsteigerSicherheit und Anonymität
Zwei-Faktor-Authentifizierung einrichten
Was Zwei-Faktor-Authentifizierung ist, welche Verfahren wie gut schützen – SMS, Authenticator-App, Sicherheitsschlüssel, Passkeys – und wie du sie einrichtest.
Redaktion Darknet KompassAktualisiert am 3 Min. Lesezeit
Das Wichtigste in Kürze
- Bei der Zwei-Faktor-Authentifizierung brauchst du zum Anmelden neben dem Passwort einen zweiten Nachweis, etwa einen Code oder Sicherheitsschlüssel.
- Sie schützt dein Konto, auch wenn dein Passwort in einem Datenleck auftaucht.
- Gegen Echtzeit-Phishing schützen laut BSI nur Verfahren, die an die echte Website gebunden sind – etwa FIDO2-Sicherheitsschlüssel und Passkeys.
- SMS ist das schwächste Verfahren, aber immer noch besser als gar kein zweiter Faktor.
Inhalt
Bei der Zwei-Faktor-Authentifizierung (2FA) brauchst du zum Anmelden zwei unabhängige Nachweise: etwas, das du weißt (dein Passwort), und etwas, das du hast (dein Handy oder einen Sicherheitsschlüssel) oder bist (Fingerabdruck). Selbst wenn dein Passwort gestohlen wird, kommt ein Angreifer ohne den zweiten Faktor nicht in dein Konto.
Die Verfahren im Vergleich
Nicht jeder zweite Faktor schützt gleich gut. Entscheidend ist, ob er gegen Echtzeit-Phishing hilft: Dabei gibst du Passwort und Code auf einer gefälschten Seite ein, und der Angreifer leitet beides sofort an die echte Seite weiter.
| Verfahren | So funktioniert es | Schutz vor Echtzeit-Phishing (laut BSI-Bewertung) |
|---|---|---|
| SMS-Code | Code per SMS aufs Handy | Nein – am schwächsten |
| Authenticator-App (TOTP) | App erzeugt alle 30 Sekunden einen neuen Code | Nicht zuverlässig |
| FIDO2-Sicherheitsschlüssel | USB- oder NFC-Schlüssel, an die echte Website gebunden | Ja |
| Passkeys | Schlüsselpaar auf Gerät oder im Passwortmanager, an die echte Website gebunden | Ja |
Sicherheitsschlüssel und Passkeys funktionieren nur auf der Website, für die sie eingerichtet wurden. Auf einer Fälschung mit ähnlicher Adresse versagen sie automatisch – deshalb gelten sie als phishing-resistent.
Trotz der Unterschiede gilt: Jeder zweite Faktor ist besser als keiner. Auch SMS hält die meisten Angriffe mit gestohlenen Passwörtern auf.
So richtest du 2FA ein
- Wichtige Konten zuerst: E-Mail, Passwortmanager, Online-Banking, Cloud-Speicher und soziale Netzwerke. Über dein E-Mail-Konto lassen sich die Passwörter fast aller anderen Konten zurücksetzen – es verdient den besten Schutz.
- Sicherheitseinstellungen öffnen: Meist unter „Sicherheit“, „Anmeldung“ oder „Zwei-Schritt-Verifizierung“.
- Verfahren wählen: Passkey oder Sicherheitsschlüssel, wenn angeboten. Sonst eine Authenticator-App: QR-Code scannen, angezeigten Code zur Bestätigung eingeben.
- Wiederherstellungscodes sichern: Die meisten Dienste zeigen beim Einrichten einmalige Codes an. Speichere sie im Passwortmanager oder drucke sie aus und bewahre sie sicher auf – nicht auf dem Handy mit der Authenticator-App.
- Reserve einplanen: Bei Sicherheitsschlüsseln einen zweiten registrieren und getrennt aufbewahren.
Typische Fallen
- „Bitte nennen Sie uns den Code“: Kein seriöser Anbieter fragt am Telefon oder per Nachricht nach deinem 2FA-Code. Das ist immer ein Betrugsversuch. Mehr unter Social Engineering erkennen.
- Push-Müdigkeit: Angreifer mit deinem Passwort lösen wiederholt Bestätigungsanfragen aus, bis jemand genervt auf „Ja“ tippt. Bestätige nur Anmeldungen, die du selbst gerade durchführst.
- Alles auf einem Gerät: Wenn Passwortmanager und Authenticator-App auf demselben ungesicherten Handy liegen, schützt der zweite Faktor wenig. Sperre das Gerät mit einer sicheren PIN.
2FA für anonyme Konten
Für anonyme Identitäten ist SMS ungeeignet, weil eine Telefonnummer fast immer auf eine Person zurückführt. Nutze dort eine Authenticator-App oder einen Sicherheitsschlüssel, die du ausschließlich für diese Identität verwendest. Wie du Identitäten sauber trennst, erklärt OPSEC-Grundlagen.
Häufige Fragen
Was sind Passkeys?
Passkeys ersetzen das Passwort durch ein Schlüsselpaar, das auf deinem Gerät oder im Passwortmanager gespeichert ist. Du meldest dich per Fingerabdruck, Gesichtserkennung oder PIN an. Weil ein Passkey an die echte Website gebunden ist, funktioniert er auf einer Phishing-Seite nicht.
Was passiert, wenn ich mein Handy verliere?
Dafür gibt es Wiederherstellungscodes, die du beim Einrichten erhältst. Bewahre sie sicher und getrennt vom Handy auf. Bei Sicherheitsschlüsseln empfiehlt sich ein zweiter Schlüssel als Reserve.
Warum ist SMS unsicher?
SMS-Codes lassen sich auf gefälschten Anmeldeseiten in Echtzeit abfangen und weiterleiten. Außerdem können Kriminelle mitunter Telefonnummern auf eigene SIM-Karten übertragen lassen.
Quellen
- NotebookcheckPasswort allein reicht nicht – so sicherst du deine Konten wirklich (BSI-Bewertung der Verfahren) abgerufen am 20.10.2026
- MimikamaSichere Passwörter: Neue Passwort-Strategie des BSI abgerufen am 20.10.2026
- Electronic Frontier FoundationYour Security Plan (Surveillance Self-Defense) abgerufen am 20.10.2026
Redaktion
Die Redaktion recherchiert, schreibt und prüft alle Inhalte nach den veröffentlichten Redaktionsgrundsätzen. Jeder Artikel nennt seine Quellen.
Zuletzt aktualisiert am 20. Oktober 2026