Zwei-Faktor-Authentifizierung (2FA) erklärt: So schützt du deine Konten zusätzlich

Ein starkes Passwort ist wichtig, aber es reicht allein nicht aus. Passwörter werden bei Datenlecks gestohlen, durch Phishing abgegriffen oder schlicht erraten. Die Zwei-Faktor-Authentifizierung (kurz 2FA) sorgt dafür, dass ein gestohlenes Passwort allein noch nicht genügt, um in dein Konto zu gelangen. Hier erfährst du, wie das Prinzip funktioniert und wie du es sinnvoll einsetzt.

Was bedeutet „zwei Faktoren"?

Bei der Anmeldung kann man sich auf drei Arten ausweisen:

Wissen: etwas, das nur du weißt, zum Beispiel ein Passwort oder eine PIN.
Besitz: etwas, das nur du hast, etwa dein Smartphone oder einen Sicherheitsschlüssel.
Biometrie: etwas, das du bist, zum Beispiel ein Fingerabdruck oder dein Gesicht.

Bei 2FA werden zwei dieser Kategorien kombiniert. Ein Angreifer, der dein Passwort kennt, braucht dann zusätzlich noch Zugriff auf dein zweites Merkmal. Das erhöht den Aufwand erheblich.

Die gängigen Verfahren im Überblick

SMS-Code: Du erhältst einen Code per Textnachricht. Das ist bequem und besser als gar keine zweite Stufe. Der Nachteil: SMS können abgefangen werden, etwa durch den Missbrauch deiner Rufnummer (SIM-Swapping) oder durch Schadsoftware.

Authenticator-App: Apps wie Google Authenticator, Microsoft Authenticator oder Open-Source-Alternativen erzeugen alle 30 Sekunden einen neuen Code. Der Code wird lokal auf deinem Gerät berechnet und nicht über das Mobilfunknetz verschickt. Das gilt allgemein als deutlich sicherer als SMS.

Sicherheitsschlüssel (FIDO2/Passkeys): Ein kleiner USB- oder NFC-Schlüssel, oder ein Passkey auf deinem Gerät, bestätigt deine Identität kryptografisch. Diese Methode ist besonders resistent gegen Phishing, weil der Schlüssel nur mit der echten Webseite funktioniert.

Push-Bestätigung: Du bekommst eine Mitteilung und tippst auf „Genehmigen". Bequem, aber Vorsicht vor MFA-Fatigue: Wenn plötzlich unerwartete Anfragen eintreffen, lehne sie ab und ändere sofort dein Passwort.

Wo solltest du zuerst 2FA aktivieren?

Du musst nicht überall am selben Tag starten. Beginne mit den Konten, bei denen ein Missbrauch den größten Schaden anrichten würde:

E-Mail-Konto: Darüber lassen sich fast alle anderen Passwörter zurücksetzen. Es ist der wichtigste Schlüssel.
Online-Banking und Zahlungsdienste. Viele Banken schreiben ohnehin eine starke Kundenauthentifizierung vor.
Cloud-Speicher und Passwort-Manager. Hier liegen oft deine sensibelsten Daten.
Soziale Netzwerke und Shopping-Konten mit hinterlegten Zahlungsdaten.

So richtest du eine Authenticator-App ein

Öffne in den Sicherheitseinstellungen des Dienstes den Punkt „Zwei-Faktor-Authentifizierung" oder „Bestätigung in zwei Schritten".
Wähle „Authenticator-App". Der Dienst zeigt einen QR-Code an.
Scanne den QR-Code mit der App. Sie legt einen Eintrag an und zeigt sofort einen sechsstelligen Code.
Gib diesen Code zur Bestätigung beim Dienst ein.
Speichere die Backup-Codes, die dir der Dienst anzeigt (siehe unten).

Backup-Codes: der oft vergessene Schritt

Geht dein Smartphone verloren oder wird es zurückgesetzt, sperrt dich 2FA unter Umständen aus dem eigenen Konto aus. Deshalb stellen die meisten Dienste einmalig nutzbare Backup-Codes bereit. Bewahre sie getrennt vom Handy auf, zum Beispiel ausgedruckt an einem sicheren Ort oder verschlüsselt in deinem Passwort-Manager. Viele Authenticator-Apps bieten außerdem eine verschlüsselte Sicherung oder Übertragung auf ein neues Gerät an. Richte diese Funktion ein, bevor du sie brauchst.

Häufige Fehler vermeiden

Codes weitergeben: Kein seriöser Support fragt dich jemals nach einem Bestätigungscode. Wer danach fragt, will dein Konto übernehmen.
Nur SMS nutzen, obwohl eine App möglich ist. Wenn du die Wahl hast, nimm die App oder einen Sicherheitsschlüssel.
Keine Wiederherstellungsoptionen hinterlegen. Aktualisiere Ersatz-E-Mail-Adresse und Telefonnummer regelmäßig.
Auf Phishing hereinfallen. Auch 2FA-Codes können auf gefälschten Seiten in Echtzeit abgegriffen werden. Prüfe immer die Adresse in der Browserzeile, bevor du etwas eingibst.

2FA ersetzt kein gutes Passwort

Beides gehört zusammen: ein langes, einzigartiges Passwort pro Konto plus eine zweite Stufe. Wenn du dir für neue Konten schnell ein starkes Passwort erzeugen möchtest, hilft dir unser Passwort-Generator dabei, direkt im Browser zufällige Passwörter zu erstellen.

Schon zehn Minuten für die wichtigsten drei Konten machen dich deutlich schwerer angreifbar. Fang heute mit deinem E-Mail-Konto an.