Wenn Sie dieses Jahr nur eine Sache tun, um Ihre Konten zu sichern, dann machen Sie es zu 2FA. Die Zwei-Faktor-Authentifizierung fügt Ihren Anmeldungen ein zweites Schloss hinzu, sodass ein gestohlenes Passwort - die mit Abstand häufigste Art, wie Konten gekapert werden - nicht mehr ausreicht, um hineinzukommen. Dieser Leitfaden erklärt, was 2FA ist, die nach ihrer Sicherheit geordneten Typen und wie Sie sie einschalten.
Für die meisten ist der einfachste zweite Faktor eine Authentifizierungs-App, und 2FA ist nur die häufigste Form der breiteren Multi-Faktor-Authentifizierung. Bevorzugen Sie sie gegenüber SMS, dem schwächsten Faktor - auch wegen SIM-Swapping; und für die stärkste Option zum kleinen Preis vergleichen Sie Token2 vs YubiKey.
Die kurze Antwort
- 2FA = Ihre Identität mit zwei verschiedenen Faktoren nachweisen, nicht nur mit einem Passwort.
- Die Faktoren: etwas, das Sie wissen (Passwort) + etwas, das Sie besitzen (App-Code, Hardware-Schlüssel, Telefon) oder etwas, das Sie sind (Fingerabdruck/Gesicht).
- Es bedeutet, dass ein gestohlenes Passwort allein keine Anmeldung erlaubt - der wirkungsvollste Sicherheitsschritt für die meisten Menschen.
- Beste Methoden: Hardware-Schlüssel oder Authenticator-App; vermeiden Sie es, sich auf SMS zu verlassen, wo Sie können.
Was "zwei Faktoren" tatsächlich bedeutet
Authentifizierungsfaktoren gibt es in drei Kategorien, und 2FA kombiniert zwei verschiedene davon:
- Etwas, das Sie wissen - ein Passwort oder eine PIN.
- Etwas, das Sie besitzen - ein Code aus einer Authenticator-App, ein Hardware-Sicherheitsschlüssel oder Ihr Telefon.
- Etwas, das Sie sind - ein Fingerabdruck oder Gesichtsscan.
Zwei Passwörter sind keine 2FA (dieselbe Kategorie). Ein Passwort plus ein App-Code schon, weil ein Angreifer zwei unabhängige Dinge überwinden müsste. Das ist der gesamte Sicherheitsgewinn.
2FA, MFA, Zwei-Schritt-Verifizierung - dasselbe?
Die Begriffe überschneiden sich, und die Unterschiede sind wissenswert:
- 2FA (Zwei-Faktor-Authentifizierung) - genau zwei Faktoren aus zwei verschiedenen Kategorien.
- MFA (Multi-Faktor-Authentifizierung) - zwei oder mehr Faktoren; 2FA ist die häufigste Form der MFA.
- TOTP vs. HOTP: Wie Einmalpasswörter wirklich funktionieren (und welches Ihre 2FA nutzt)
- Zwei-Schritt-Verifizierung - ein marketingfreundlicher Begriff, den Dienste verwenden; er bedeutet meist 2FA, obwohl manche "Schritte" technisch dieselbe Kategorie nutzen (z. B. ein Passwort, dann ein per E-Mail gesendeter Code), was etwas schwächer ist als zwei wirklich unabhängige Faktoren.
Im Alltag können Sie sie als dasselbe Ziel betrachten: mehr als nur ein Passwort. Was weit mehr zählt als die Bezeichnung, ist welchen zweiten Faktor Sie wählen - das entscheidet, wie viel echten Schutz Sie erhalten.
Die Arten von 2FA, nach Sicherheit geordnet
- Hardware-Sicherheitsschlüssel (FIDO2 / Passkeys) - die stärkste. Kryptografisch phishing-resistent: Selbst eine perfekte gefälschte Seite kann keinen wiederverwendbaren Code erfassen. Siehe was ein Passkey ist und unseren Vergleich der besten Hardware-Sicherheitsschlüssel.
- Authenticator-Apps (TOTP) - ein 6-stelliger Code, der sich alle 30 Sekunden ändert, auf Ihrem Gerät ohne Netz erzeugt. Weit sicherer als SMS und der beste Standard für die meisten Konten.
- Push-Benachrichtigungen - tippen Sie auf Ihrem Telefon auf "genehmigen". Bequem, aber anfällig für "MFA-Müdigkeit" (Angreifer spammen Genehmigungen in der Hoffnung, dass Sie auf Ja tippen).
- SMS-Codes - besser als nichts, aber die schwächste: anfällig für SIM-Swapping und Abfangen.
Wie Angreifer versuchen, 2FA zu überwinden - und wie Sie einen Schritt voraus bleiben
2FA ist mächtig, nicht magisch. Wenn Sie die echten Angriffsmethoden kennen, wissen Sie, welchen Faktor Sie wählen sollten:
- Echtzeit-Phishing-(Relay-)Angriffe. Eine gefälschte Anmeldeseite leitet Ihr Passwort und den von Ihnen eingegebenen Code sofort an die echte Seite weiter. Das überwindet SMS, App-Codes und Push - aber nicht Hardware-Schlüssel/Passkeys, die an die Adresse der echten Seite gebunden sind und sich an der gefälschten schlicht nicht authentifizieren.
- MFA-Müdigkeit. Angreifer, die Ihr Passwort bereits haben, spammen Push-Genehmigungen, bis Sie aus Verärgerung auf "ja" tippen. Genehmigen Sie nie eine Aufforderung, die Sie nicht selbst gestartet haben; stellen Sie hochwertige Konten auf Codes oder Schlüssel um.
- SIM-Swapping. Ein Krimineller überzeugt Ihren Anbieter, Ihre Nummer auf seine SIM zu verschieben, und empfängt Ihre SMS-Codes. Das ist der Hauptgrund, SMS für E-Mail, Banking und Ihren Passwort-Manager zu meiden.
Der rote Faden: Phishing-resistente Faktoren (FIDO2-Hardware-Schlüssel und Passkeys) schlagen jeden der obigen Remote-Angriffe. Wenn ein Konto sie unterstützt, nutzen Sie sie; wenn nicht, ist eine Authenticator-App der starke Standard und SMS nur das letzte Mittel.
Wie Sie 2FA einschalten
Es dauert zwei Minuten pro Konto:
- Gehen Sie zu den Sicherheits- / Anmeldeeinstellungen des Kontos und suchen Sie "Zwei-Faktor" oder "Zwei-Schritt-Verifizierung".
- Wählen Sie Authenticator-App (oder einen Hardware-Schlüssel) gegenüber SMS, falls angeboten.
- Scannen Sie den QR-Code mit Ihrer Authenticator-App und geben Sie dann den angezeigten Code zur Bestätigung ein.
- Speichern Sie die Wiederherstellungscodes an einem sicheren Ort - idealerweise in Ihrem Passwort-Manager. Wo genau, ist eine bewusste Entscheidung wert: siehe was Backup-Codes sind und wohin sie gehören.
Priorisieren Sie zuerst Ihre E-Mail (sie kann alles andere zurücksetzen), dann Ihren Passwort-Manager, Banking und soziale Konten.
2FA-Codes & Wiederherstellungsschlüssel sicher speichern - BitwardenQuelloffener, auditierter Passwort-Manager mit integriertem TOTP und sicheren Notizen für Ihre Wiederherstellungscodes→Das Fazit
2FA bedeutet, sich mit zwei verschiedenen Nachweisen statt mit einem anzumelden, sodass ein gestohlenes Passwort Ihr Konto nicht von allein öffnen kann. Schalten Sie sie überall dort ein, wo es zählt, bevorzugen Sie eine Authenticator-App oder einen Hardware-Schlüssel gegenüber SMS und speichern Sie Ihre Wiederherstellungscodes, bevor Sie sie brauchen. Es ist die ertragreichste Sicherheitsgewohnheit überhaupt - beginnen Sie heute mit Ihrer E-Mail. Vergleichen Sie als Nächstes die besten Authenticator-Apps und erfahren Sie, wie Passkeys 2FA weiterbringen.
Weiterführende Lektüre: Kann MFA umgangen werden
Weiterführende Artikel
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Ein Manager mit integrierter 2FA & Passkeys → NordPassTOTP & Passkeys speichern · XChaCha20 · Gratis-Tarif→Häufig gestellte Fragen
Was ist 2FA einfach erklärt?
2FA (Zwei-Faktor-Authentifizierung) bedeutet, dass Sie mit zwei verschiedenen Dingen statt nur mit einem nachweisen, wer Sie sind. Der erste Faktor ist etwas, das Sie wissen - Ihr Passwort. Der zweite ist etwas, das Sie besitzen (ein Code aus einer App, ein Hardware-Schlüssel, ein Telefon) oder etwas, das Sie sind (ein Fingerabdruck oder Gesicht). Da ein Angreifer beides bräuchte, reicht ein gestohlenes oder erratenes Passwort allein nicht mehr aus, um sich anzumelden. Es ist der wirksamste einzelne Schritt, den die meisten Menschen zum Schutz ihrer Konten gehen können.
Welche Arten von 2FA gibt es, vom sichersten zum unsichersten?
Vom stärksten zum schwächsten: (1) Hardware-Sicherheitsschlüssel (FIDO2/Passkeys) - phishing-resistent, der Goldstandard; (2) Authenticator-Apps (TOTP) - Codes, die auf Ihrem Gerät erzeugt werden, kein Netz nötig, weit sicherer als SMS; (3) Push-Benachrichtigungen - bequem, aber anfällig für 'MFA-Müdigkeit' durch Bestätigungs-Spam; (4) SMS-Codes - besser als nichts, aber anfällig für SIM-Swapping und Abfangen. Nutzen Sie eine App oder einen Hardware-Schlüssel, wo Sie können, und behalten Sie SMS nur als letztes Mittel.
Ist 2FA wirklich nötig, wenn ich ein starkes Passwort habe?
Ja. Ein starkes, einzigartiges Passwort schützt vor Raten und Brute Force, aber es schützt Sie nicht, wenn dieses Passwort in einem Datenleck preisgegeben, durch Phishing abgefangen oder von Malware gestohlen wird - alles häufig. 2FA fügt eine zweite Barriere hinzu, die ein Angreifer in der Regel aus der Ferne nicht überwinden kann, sodass selbst ein vollständig kompromittiertes Passwort Ihr Konto nicht preisgibt. Starke Passwörter und 2FA wirken zusammen; keines ersetzt das andere.
Ist SMS-2FA sicher?
Sie ist viel besser als gar keine 2FA, aber sie ist die schwächste verbreitete Methode. SMS-Codes können abgefangen werden, und Angreifer nutzen SIM-Swapping (indem sie Ihren Anbieter dazu bringen, Ihre Nummer auf ihre SIM zu verschieben), um Ihre Codes zu empfangen. Für hochwertige Konten (E-Mail, Banking, Passwort-Manager) bevorzugen Sie eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel. Behalten Sie SMS nur für Dienste, die nichts anderes anbieten.
Was passiert, wenn ich mein 2FA-Gerät verliere?
Deshalb ist ein Backup wichtig. Wenn Sie 2FA aktivieren, geben Ihnen Dienste einmalige Wiederherstellungscodes - bewahren Sie sie an einem sicheren Ort auf (idealerweise in Ihrem Passwort-Manager). Authenticator-Apps bieten zunehmend verschlüsseltes Backup oder Multi-Geräte-Sync, damit ein verlorenes Telefon Sie nicht aussperrt. Bei Hardware-Schlüsseln registrieren Sie einen zweiten Schlüssel als Backup. Richten Sie die Wiederherstellung ein, bevor Sie sie brauchen; ohne sie kann der Verlust Ihres einzigen zweiten Faktors den Verlust des Kontozugangs bedeuten.
