Zwei-Faktor-Authentifizierung: die Absicherung, die auch dann greift, wenn Ihr Passwort gestohlen wird

Die Zwei-Faktor-Authentifizierung ist ein zusätzlicher zweiter Schritt neben dem Passwort – meist ein Code aus einer App oder per SMS. Dank ihr kommt niemand an Ihr Konto heran, selbst wenn er Ihr Passwort kennt. Sie ist einer der wirksamsten und zugleich einfachsten Schutzmechanismen, die Sie einrichten können, und das Aktivieren dauert nur ein paar Minuten. In diesem Artikel zeigen wir Ihnen, wie Sie dabei ohne Sorgen vorgehen – einschließlich dessen, was zu tun ist, wenn Sie Ihr Handy verlieren.

Warum ein Passwort allein nicht reicht

Auch das beste Passwort hat eine Schwachstelle: Es genügt, dass es in falsche Hände gerät – und schon ist es nutzlos. Und das kann auf zwei Arten passieren, für die Sie nichts können. Entweder geben Sie es versehentlich auf einer betrügerischen Seite ein, die wie die echte aussieht, oder es gelangt aus einem gehackten Dienst, bei dem Sie es verwendet haben, nach außen.

Ein starkes und einzigartiges Passwort ist nach wie vor die Grundlage – wie Sie eines erstellen, beschreiben wir im Artikel über sichere Passwörter. Aber auch ein perfektes Passwort löst nur die eine Hälfte des Problems. Die andere Hälfte löst eben die Zwei-Faktor-Authentifizierung. Sie ist kein Ersatz für ein gutes Passwort – sie ist eine zweite Schicht, die genau dann greift, wenn die erste versagt.

Der Kern ist einfach: Das Passwort ist etwas, das Sie wissen, und der zweite Schritt ist etwas, das Sie haben – Ihr Handy oder ein Schlüssel. Ein Angreifer am anderen Ende der Welt kann Ihr Passwort kennen, aber Ihr Handy in Ihrer Tasche hat er nicht. Und ohne das Handy kann er sich nicht anmelden.

Was passiert, wenn das Passwort doch geleakt wird

Stellen wir uns den schlimmsten Fall vor: Ihr Passwort ist nach außen gelangt. Ohne zweiten Schritt hätte der Angreifer gewonnen – er würde sich anmelden und wäre drin. Mit der Zwei-Faktor-Authentifizierung aber scheitert er gleich beim ersten Schritt nach der Eingabe des Passworts:

Genau das passiert in der Praxis. Wenn Sie plötzlich einen Bestätigungscode bekommen, obwohl Sie sich gerade nicht anmelden, ist das meist ein Zeichen, dass jemand Ihr Passwort ausprobiert – und dass ihn der zweite Schritt gestoppt hat. Geben Sie einen solchen Code nirgendwo ein und ändern Sie bei nächster Gelegenheit lieber Ihr Passwort.

Drei Möglichkeiten für den zweiten Schritt

Den zweiten Schritt können Sie auf drei Arten einrichten. Sie unterscheiden sich in Sicherheit und Komfort – aber alle drei sind deutlich besser als gar keiner. Lassen Sie sich nicht davon abschrecken, dass eine davon nicht „perfekt“ ist.

SMS-Code

Die gängigste Methode: Nach Eingabe des Passworts kommt eine SMS mit einem Code, den Sie abtippen. Sie ist am leichtesten zu verstehen, aber auch am schwächsten – in Ausnahmefällen lässt sie sich umgehen, wenn jemand den Mobilfunkanbieter dazu bringt, Ihre Nummer auf eine andere SIM-Karte zu übertragen (das nennt man SIM-Swapping). Trotzdem lohnt sich SMS: Wer gar nichts aktiviert, weil „SMS schwach ist“, ist schlechter dran als jemand, der wenigstens SMS nutzt.

Authenticator-App auf dem Handy

Eine App auf Ihrem Handy erzeugt einen kurzen Code, der sich alle paar Augenblicke ändert. Der Code wird nirgendwohin gesendet – er entsteht direkt im Gerät, sodass er unterwegs nicht abgefangen werden kann, und das funktioniert auch ohne Empfang. Das ist ein vernünftiges Verhältnis von Sicherheit und Komfort, und deshalb empfehlen wir die App als Standardwahl. Es gibt mehrere Authenticator-Apps, und sie funktionieren dienstübergreifend – eine einzige App können Sie also gleichzeitig für E-Mail, Bank und soziale Netzwerke nutzen.

Hardware-Schlüssel oder Anmeldung per Fingerabdruck oder Gesicht

Die sicherste Variante. Ein Hardware-Schlüssel ist ein kleines Gerät, das Sie an den Computer anschließen oder an das Handy halten; die Anmeldung per Fingerabdruck oder Gesicht funktioniert ähnlich. Diese Methode lässt sich praktisch nicht aus der Ferne missbrauchen. Sie eignet sich für alle, die das Maximum wollen – typischerweise beim E-Mail-Konto und bei der Bank.

Wo Sie sie zuerst aktivieren sollten

Sie müssen sie nicht überall auf einmal aktivieren. Gehen Sie nach Wichtigkeit vor, nicht nach dem Alphabet – und fangen Sie mit der E-Mail an. Warum gerade damit? Weil über die E-Mail die Passwörter für alles andere zurückgesetzt werden. Wer Ihre E-Mail kontrolliert, gelangt nach und nach auch anderswohin.

Nach der E-Mail sind Bank und Zahlungen an der Reihe, dann soziale Netzwerke (wo es um Ihre Identität geht) und schließlich Onlineshops mit gespeicherter Karte. In ein paar Abenden haben Sie das Wesentliche erledigt. Sie müssen sich nicht beeilen – wichtig ist, bei E-Mail und Bank anzufangen, den Rest ergänzen Sie nach und nach, wie Ihnen die einzelnen Dienste gerade unterkommen.

Wie Sie die Zwei-Faktor-Authentifizierung aktivieren

Das genaue Vorgehen unterscheidet sich bei jedem Dienst ein wenig, und die Menüs ändern sich von Zeit zu Zeit, deshalb geben wir Ihnen hier keine Klick-Anleitung, die in einem Jahr nicht mehr stimmen würde. Grundsätzlich funktioniert es aber überall gleich – und es genügt zu wissen, worauf Sie achten müssen:

• Suchen Sie im Konto den Bereich Sicherheit, Anmeldung oder Datenschutz.
• Suchen Sie einen Eintrag wie Zwei-Faktor-Authentifizierung, Bestätigung in zwei Schritten oder englisch two-factor / 2FA.
• Wählen Sie die Methode (App oder SMS) und folgen Sie den Anweisungen – bei der App scannen Sie meist einen QR-Code.
• Zum Schluss speichern Sie die Backup-Codes, die Ihnen der Dienst anbietet. Überspringen Sie diesen Schritt nicht.

Wenn Sie bei einem bestimmten Dienst unsicher sind, suchen Sie in dessen Hilfe nach „Zwei-Faktor-Authentifizierung“ – die offizielle Anleitung ist immer die zuverlässigste.

Was, wenn ich mein Handy verliere

Das ist der häufigste Grund, warum Menschen die Zwei-Faktor-Authentifizierung nicht aktivieren – sie fürchten, sich selbst auszusperren. Das passiert nicht, wenn Sie vorab eine Absicherung vorbereiten. Sie haben drei Wege zurück:

Die häufigsten Einwände (und warum sie nicht stichhaltig sind)

„Das hält nur auf.“

In Wirklichkeit nur minimal. Dienste merken sich das Gerät, dem Sie vertrauen, und verlangen den zweiten Schritt vor allem bei der Anmeldung von einem neuen Ort. Ein paar Sekunden ab und zu im Tausch gegen Ihre Ruhe sind ein gutes Geschäft.

„Mich bemerkt doch niemand.“

Angriffe auf Passwörter zielen nicht auf bestimmte Personen – sie laufen massenhaft und automatisiert. Geleakte Passwörter werden an Tausenden Konten gleichzeitig ausprobiert. Es geht nicht darum, ob Sie interessant sind, sondern ob Sie eine Schwachstelle haben.

„Ich habe kein Smartphone.“

Kein Problem. Verwenden Sie einen SMS-Code auf einem gewöhnlichen Handy oder bei den wichtigsten Konten einen Hardware-Schlüssel. Die Zwei-Faktor-Authentifizierung ist nicht nur für Menschen mit dem neuesten Handy.

Weiterlesen

• Wie Sie ein sicheres Passwort erstellen – die Grundlage, auf der die Zwei-Faktor-Authentifizierung aufbaut.
• Wie Sie eine Betrugsnachricht erkennen – der häufigste Weg, auf dem ein Passwort in falsche Hände gerät.
• Die zehn Gebote der Sicherheit – eine kurze Zusammenfassung der Grundregeln.
• Was Ihnen im Internet droht – ein Überblick über die Bedrohungen.

Häufige Fragen