Warum 2FA unverzichtbar ist
Password-Leaks, Phishing und Erraten von Passwörtern passieren täglich. Der zweite Faktor sorgt dafür, dass Angreifer nicht weiterkommen, auch wenn sie das Passwort kennen.
Typische 2FA-Methoden
SMS (am wenigsten sicher)
Einfach zu nutzen, aber anfällig für SIM-Swapping, Netzangriffe und gefälschte Login-Seiten. Nutze SMS nur als Notlösung.
Messenger (WhatsApp, Telegram)
Bieten etwas mehr Schutz als SMS, bleiben jedoch vom Telefonanschluss abhängig. Bei Verlust der Nummer bist du ausgesperrt.
Authenticator-Apps (TOTP)
Generieren alle 30 Sekunden neue Codes offline. Empfehlenswert für fast alle Dienste. Beliebte Apps: Google Authenticator, Microsoft Authenticator, Authy, Aegis, 2FAS sowie die integrierten Lösungen von 1Password oder Bitwarden.
Push-basierte Verfahren
Dienste wie Duo, Okta oder Microsoft senden eine Freigabeanfrage. Sehr bequem – achte aber auf “Push Bombing”, bei dem Angreifer massenhaft Anfragen senden.
Hardware-Sicherheitsschlüssel
YubiKey, Feitian oder SoloKeys sind FIDO2/WebAuthn-Keys mit starker Phishing-Resistenz. Sie prüfen die Domain, bevor sie den Login signieren.
Passkeys und Biometrie
Windows Hello, Face ID, Touch ID und Passkeys nutzen WebAuthn mit biometrischen oder PIN-basierten Faktoren. Sie sind schnell und sicher – noch nicht alle Dienste unterstützen sie, aber der Trend wächst.
Sicherheitsvergleich
| Methode | Sicherheit | Komfort | Risiken |
|---|---|---|---|
| SMS | Niedrig | Sehr hoch | SIM-Swapping, Netzangriffe, Phishing |
| Authenticator-App | Hoch | Mittel | Geräteverlust, kein Backup |
| Push | Hoch | Hoch | Push-Fatigue, versehentliche Freigaben |
| Hardware-Key | Sehr hoch | Mittel | Beschaffung, physischer Verlust |
| Passkeys/Biometrie | Sehr hoch | Sehr hoch | Abhängig von Gerätesupport und Service |
Best Practices
- Nutze TOTP-Apps oder Hardware-Keys statt SMS.
- Richte mehrere Faktoren ein (Backup-Key, zweite App, Recovery-Codes).
- Bewahre Notfallcodes offline und sicher auf.
- Erzwinge für Admin-Accounts hardwarebasierte Faktoren.
- Lehne verdächtige Push-Anfragen ab und melde sie sofort.
FAQ
Was mache ich bei Verlust meiner Hardware-Key?
Nutze den Zweitschlüssel oder Recovery-Codes. Registriere immer mehrere Keys, idealerweise an verschiedenen Orten.
Wie ziehe ich Codes auf ein neues Smartphone um?
Viele Apps bieten Exportfunktionen oder Synchronisation (Authy, 1Password, Bitwarden). Prüfe, ob du deine Codes zuvor gesichert hast.
Können Angreifer TOTP-Codes abfangen?
Ja, mit real-time Phishing. Hardware-Keys und Passkeys schützen dagegen, weil sie die Domain validieren und keine Codes übertragen.
2FA-Checkliste
- Aktiviere 2FA bei E-Mail, Banking, Social Media und Unternehmens-Tools.
- Verwende einzigartige Passwörter aus password.es und speichere sie sicher.
- Implementiere hardwarebasierte Faktoren für kritische Rollen.
- Schule Mitarbeitende zu Social-Engineering-Maschen und Meldewegen.
- Aktualisiere Backup-Codes nach jedem Vorfall.
Haftungsausschluss
password.es wird „wie gesehen“ bereitgestellt. Wir übernehmen keine Gewähr für Verfügbarkeit, Richtigkeit oder Sicherheit der generierten Passwörter. Nutzer müssen zusätzliche Schutzmaßnahmen ergreifen.