# Multi-Faktor-Authentifizierung (2FA) | password.es

> Erfahre, wie Multi-Faktor-Authentifizierung (2FA) funktioniert, warum SMS unsicher ist und welche Alternativen mit Apps, Push-Benachrichtigungen und Hardware-Keys es gibt.

password.es · Original: https://password.es/de/2fa/

---

# Multi-Faktor-Authentifizierung: ein zweiter Schutzschild für deine Konten

Mit 2FA brauchst du neben dem Passwort einen weiteren Faktor – zum Beispiel einen Code, ein Gerät oder eine biometrische Bestätigung. Selbst bei einem Passwort-Leak bleibt dein Konto geschützt.

## 1 Warum 2FA unverzichtbar ist

Password-Leaks, Phishing und Erraten von Passwörtern passieren täglich. Der zweite Faktor sorgt dafür, dass Angreifer nicht weiterkommen, auch wenn sie das Passwort kennen.

## 2 Typische 2FA-Methoden

### SMS (am wenigsten sicher)

Einfach zu nutzen, aber anfällig für SIM-Swapping, Netzangriffe und gefälschte Login-Seiten. Nutze SMS nur als Notlösung.

### Messenger (WhatsApp, Telegram)

Bieten etwas mehr Schutz als SMS, bleiben jedoch vom Telefonanschluss abhängig. Bei Verlust der Nummer bist du ausgesperrt.

### Authenticator-Apps (TOTP)

Generieren alle 30 Sekunden neue Codes offline. Empfehlenswert für fast alle Dienste. Beliebte Apps: Google Authenticator, Microsoft Authenticator, Authy, Aegis, 2FAS sowie die integrierten Lösungen von [1Password](https://www.kqzyfj.com/click-8979828-14366283) oder [Bitwarden](https://github.com/bitwarden).

### Push-basierte Verfahren

Dienste wie Duo, Okta oder Microsoft senden eine Freigabeanfrage. Sehr bequem – achte aber auf "Push Bombing", bei dem Angreifer massenhaft Anfragen senden.

### Hardware-Sicherheitsschlüssel

**YubiKey**, **Feitian** oder **SoloKeys** sind FIDO2/WebAuthn-Keys mit starker Phishing-Resistenz. Sie prüfen die Domain, bevor sie den Login signieren.

### Passkeys und Biometrie

Windows Hello, Face ID, Touch ID und Passkeys nutzen WebAuthn mit biometrischen oder PIN-basierten Faktoren. Sie sind schnell und sicher – noch nicht alle Dienste unterstützen sie, aber der Trend wächst.

## 3 Sicherheitsvergleich

- Methode
- Sicherheit
- Komfort
- Risiken
- SMS
- Niedrig
- Sehr hoch
- SIM-Swapping, Netzangriffe, Phishing
- Authenticator-App
- Hoch
- Mittel
- Geräteverlust, kein Backup
- Push
- Hoch
- Hoch
- Push-Fatigue, versehentliche Freigaben
- Hardware-Key
- Sehr hoch
- Mittel
- Beschaffung, physischer Verlust
- Passkeys/Biometrie
- Sehr hoch
- Sehr hoch
- Abhängig von Gerätesupport und Service

## 4 Best Practices

- Nutze TOTP-Apps oder Hardware-Keys statt SMS.
- Richte mehrere Faktoren ein (Backup-Key, zweite App, Recovery-Codes).
- Bewahre Notfallcodes offline und sicher auf.
- Erzwinge für Admin-Accounts hardwarebasierte Faktoren.
- Lehne verdächtige Push-Anfragen ab und melde sie sofort.

## FAQ

### Was mache ich bei Verlust meiner Hardware-Key?

Nutze den Zweitschlüssel oder Recovery-Codes. Registriere immer mehrere Keys, idealerweise an verschiedenen Orten.

### Wie ziehe ich Codes auf ein neues Smartphone um?

Viele Apps bieten Exportfunktionen oder Synchronisation (Authy, [1Password](https://www.kqzyfj.com/click-8979828-14366283), [Bitwarden](https://github.com/bitwarden)). Prüfe, ob du deine Codes zuvor gesichert hast.

### Können Angreifer TOTP-Codes abfangen?

Ja, mit real-time Phishing. Hardware-Keys und Passkeys schützen dagegen, weil sie die Domain validieren und keine Codes übertragen.

## 2FA-Checkliste

- Aktiviere 2FA bei E-Mail, Banking, Social Media und Unternehmens-Tools.
- Verwende einzigartige Passwörter aus password.es und speichere sie sicher.
- Implementiere hardwarebasierte Faktoren für kritische Rollen.
- Schule Mitarbeitende zu Social-Engineering-Maschen und Meldewegen.
- Aktualisiere Backup-Codes nach jedem Vorfall.

## Haftungsausschluss

password.es wird „wie gesehen“ bereitgestellt. Wir übernehmen keine Gewähr für Verfügbarkeit, Richtigkeit oder Sicherheit der generierten Passwörter. Nutzer müssen zusätzliche Schutzmaßnahmen ergreifen.