Zwei-Faktor-Authentifizierung: Warum jedes Konto sie braucht

Ein Passwort allein ist ein einzelner Schwachpunkt. Wird es erraten, auf einer Seite wiederverwendet, die später von einem Datenleck betroffen ist, oder in eine täuschend echte gefälschte Anmeldeseite getippt, kann sich jeder, der es kennt, als Sie anmelden. Die Zwei-Faktor-Authentifizierung fügt eine zweite Prüfung hinzu, die nichts mit dem zu tun hat, was Sie wissen: etwas, das Sie besitzen, etwa Ihr Telefon oder einen physischen Schlüssel, oder etwas, das Sie sind, etwa ein Fingerabdruck.

Dadurch reicht ein gestohlenes Passwort nicht mehr aus. Ein Angreifer, der Ihr Passwort kennt, braucht immer noch den Code aus Ihrer Authenticator-App, das Antippen Ihres Sicherheitsschlüssels oder die Bestätigung auf Ihrem vertrauenswürdigen Gerät. Viele Angriffe auf gewöhnliche Konten laufen automatisiert und nach Gelegenheit ab; dieser zusätzliche Schritt holt Sie deshalb aus der Gruppe der leichten Ziele und macht eine Übernahme deutlich schwerer.

Die Zwei-Faktor-Authentifizierung ersetzt kein gutes Passwort. Am besten wirkt sie zusätzlich zu einem einzigartigen, langen Passwort aus einem Passwortmanager. Zusammen gleichen sie die Schwächen des jeweils anderen aus: Das einzigartige Passwort begrenzt den Schaden durch Datenlecks anderswo, und der zweite Faktor schützt Sie, wenn das Passwort trotzdem in falsche Hände gerät.

Authenticator-Apps erzeugen einen frischen kurzen Code, meist sechsstellig und meist alle dreißig Sekunden, aus einem Geheimnis, das der Dienst beim Scannen eines QR-Codes mit der App teilt. Sie funktionieren offline, sind meist kostenlos und werden von den meisten großen Plattformen unterstützt, was sie für die meisten Menschen zu einer sinnvollen Standardwahl macht.

Hardware-Sicherheitsschlüssel sind kleine USB-, NFC- oder Bluetooth-Geräte, die Sie bei der Anmeldung antippen oder einstecken. Passkeys funktionieren nach einem ähnlichen Prinzip, liegen aber auf Ihrem Telefon oder Computer und werden mit Fingerabdruck, Gesicht oder Geräte-PIN entsperrt. Beide sind an die echte Website-Adresse gebunden und reagieren deshalb nicht auf eine täuschend ähnliche Phishing-Seite. Damit sind sie die stärksten Optionen, die normalen Nutzern zur Verfügung stehen.

Push-Abfragen bitten Sie, eine Anmeldung auf einem bereits angemeldeten Gerät zu bestätigen. SMS- und Sprachcodes senden einen Einmalcode an Ihre Telefonnummer. Backup-Codes sind eine Liste von Einmalcodes für Notfälle, wenn Ihre übliche Methode nicht verfügbar ist. Die meisten Dienste erlauben mehr als eine Methode, und das sollten Sie nutzen: eine Hauptmethode plus mindestens eine Ausweichmethode.

Codes per SMS sind weit besser als kein zweiter Faktor, hängen aber von Ihrer Telefonnummer ab, und die haben Sie nicht vollständig unter Kontrolle. Bei einem SIM-Swap überredet oder besticht ein Krimineller jemanden bei einem Mobilfunkanbieter, Ihre Nummer auf eine SIM-Karte zu übertragen, die er besitzt. Ab diesem Moment landet jeder Code, der für Sie bestimmt ist, auf seinem Telefon.

SMS-Codes lassen sich außerdem genauso phishen wie Passwörter: Eine gefälschte Anmeldeseite fragt nach dem Code, und der Angreifer reicht ihn binnen Sekunden an die echte Seite weiter. Auch aus banaleren Gründen können Sie den Zugriff verlieren, etwa wenn Sie ohne Roaming reisen, den Anbieter wechseln oder eine Prepaid-Nummer verfallen lassen und sie später jemand anderem zugewiesen wird.

Bietet ein Dienst eine Authenticator-App, einen Sicherheitsschlüssel oder einen Passkey an, wechseln Sie zu einer dieser Möglichkeiten und behalten SMS nur als Ausweichmethode oder entfernen sie ganz, wenn der Dienst das zulässt. Ist SMS die einzige Option, schützen Sie die Nummer selbst: Viele Anbieter erlauben eine Konto-PIN oder eine Übertragungssperre, die unbefugte Nummernübertragungen erschwert.

Beginnen Sie mit den Konten, die alles andere freischalten. Zuerst kommt Ihre Haupt-E-Mail-Adresse, weil sie Links zum Zurücksetzen von Passwörtern erhält, dann Ihr Apple-, Google- oder Microsoft-Konto, Ihr Passwortmanager und jedes Konto, das Geld oder wertvolle Daten enthält. Sind diese geschützt, arbeiten Sie sich durch soziale Netzwerke, Messenger wie Telegram und Discord und den Rest.

Die Option finden Sie meist in den Sicherheitseinstellungen des Kontos unter einem Namen wie Zwei-Schritt-Verifizierung, Zwei-Faktor-Authentifizierung oder Anmeldebestätigung. Wählen Sie die Variante mit Authenticator-App oder Sicherheitsschlüssel, scannen Sie den QR-Code mit Ihrer App und geben Sie den angezeigten Code ein, um zu bestätigen, dass alles funktioniert. Unterstützt der Dienst Passkeys, gibt Ihnen ein Passkey auf Telefon und Computer eine Anmeldemethode, die bequem und zugleich widerstandsfähig gegen Phishing ist.

Bevor Sie die Einstellungsseite schließen, speichern Sie die Backup-Codes, fügen Sie wenn möglich eine zweite Methode hinzu und prüfen Sie, ob E-Mail-Adresse und Telefonnummer für die Wiederherstellung aktuell sind und Ihnen gehören. Melden Sie sich dann einmal ab und wieder an, damit Sie wissen, wie die Abfrage aussieht, bevor Sie sich wirklich darauf verlassen.

Backup-Codes sind Ihr Weg zurück ins Konto, wenn Ihr Telefon verloren, defekt oder zurückgesetzt ist. Jeder Code funktioniert nur einmal, und bei vielen Diensten macht das Erzeugen eines neuen Satzes den alten ungültig. Behandeln Sie sie wie einen Zweitschlüssel fürs Haus: unentbehrlich, wenn Sie ihn brauchen, nutzlos, wenn Sie ihn nicht finden, und gefährlich, wenn ein Fremder ihn findet.

Gute Aufbewahrungsorte sind ein Ausdruck bei Ihren wichtigen Unterlagen oder eine verschlüsselte Notiz in einem Passwortmanager, die Sie ohne das Telefon mit Ihrer Authenticator-App öffnen können. Schlechte Orte sind Ihr E-Mail-Postfach, eine ungesperrte Notiz-App, ein Screenshot in der Fotogalerie oder eine Datei auf demselben Gerät, das Ihre Codes erzeugt, denn der Verlust dieses einen Geräts würde Sie dann vollständig aussperren.

Streichen Sie jeden Code durch, sobald Sie ihn verwendet haben, und erzeugen Sie einen neuen Satz, wenn nur noch wenige übrig sind. Vermuten Sie, dass jemand Ihre Codes gesehen hat, erzeugen Sie sie umgehend neu, damit die alte Liste nicht mehr funktioniert.

Haben Sie ein Konto von jemand anderem erhalten, sei es die Übergabe eines Projektkontos durch eine Kollegin oder einen Kollegen oder ein Kauf auf einem Marktplatz für digitale Güter, gehen Sie davon aus, dass der frühere Inhaber noch Zugriff haben könnte. Ziel ist, dass nur noch Sie sich anmelden können. Nutzen Sie das Konto immer im Einklang mit den Nutzungsbedingungen der Marke.

Gehen Sie in dieser Reihenfolge vor: Ändern Sie das Passwort in ein neues, einzigartiges, aktualisieren Sie Wiederherstellungs-E-Mail und Telefonnummer auf solche, die Sie kontrollieren, entfernen Sie jede Authenticator-App, jeden Sicherheitsschlüssel und jedes vertrauenswürdige Gerät, das Sie nicht selbst hinzugefügt haben, aktivieren Sie dann die Zwei-Faktor-Authentifizierung mit Ihrer eigenen App und erzeugen Sie neue Backup-Codes. Prüfen Sie zum Schluss die aktiven Sitzungen und melden Sie jedes Gerät außer Ihrem eigenen ab.

Auf rStock erscheint der gelieferte Inhalt auf Ihrer Bestellseite als Lieferprotokoll, das mit der Bestellung verknüpft ist, sodass Sie die Angaben von dort direkt in Ihren Passwortmanager kopieren können. Ihr Geld wird zurückgehalten und nicht direkt an den Shop freigegeben, und wenn das gelieferte Konto nicht wie beschrieben funktioniert, können Sie innerhalb eines begrenzten Zeitfensters nach der Lieferung einen Streitfall eröffnen. Der Shop antwortet zuerst, und ein Moderator kann hinzugezogen werden, wenn Sie sich nicht einigen. Wenn Sie das Konto zeitnah sichern und prüfen, können Sie ein Problem leichter bemerken, solange das Zeitfenster noch offen ist. rStock steht in keiner Verbindung zu einer der in diesem Artikel genannten Marken.

Eine Push-Abfrage zu bestätigen, die Sie nicht selbst ausgelöst haben, ist ein bekannter Weg, wie die Zwei-Faktor-Authentifizierung scheitert. Erscheint eine Anfrage, während Sie sich nicht anmelden, lehnen Sie sie ab und ändern Sie Ihr Passwort, denn jemand kennt es bereits. Dasselbe gilt für alle, die anrufen oder schreiben und Sie bitten, einen Code vorzulesen: Seriöse Dienste sind nicht darauf angewiesen, dass Sie einen Einmalcode mit irgendjemandem teilen.

Ein weiterer Fehler ist, ein Konto mit Zwei-Faktor-Authentifizierung zu schützen, aber einen alten, schwachen Wiederherstellungsweg offen zu lassen, etwa eine aufgegebene E-Mail-Adresse oder eine Telefonnummer, die Sie nicht mehr nutzen. Angreifer umgehen die stärkste Tür, wenn eine schwächere unverschlossen ist; prüfen Sie Ihre Wiederherstellungsoptionen daher jedes Mal, wenn Sie das Telefon oder den E-Mail-Anbieter wechseln.

Warten Sie schließlich nicht, bis ein neues Telefon ankommt, um Ihren Umzug zu planen. Bevor Sie ein Gerät austauschen oder zurücksetzen, übertragen Sie Ihre Authenticator-Codes, bestätigen Sie, dass sie auf dem neuen Gerät funktionieren, und löschen Sie erst dann das alte. Ein paar Minuten Vorbereitung können Stunden der Kontowiederherstellung sparen.