Zwei-Faktor-Authentifizierung einfach erklärt

Frau Berger hat ihr E-Mail-Passwort seit Jahren nicht geändert. Es steht auf einem Zettel neben dem Computer, gut zu merken, praktisch im Alltag. Als sie kürzlich in der Zeitung von gestohlenen Passwörtern las, wurde ihr mulmig. Was, wenn genau ihr Passwort irgendwo in einer solchen Liste auftaucht?

Genau für solche Fälle gibt es die Zwei-Faktor-Authentifizierung, kurz oft 2FA genannt. Der Begriff klingt sperrig, das Prinzip dahinter ist aber einfach zu verstehen. Neben dem Passwort braucht man einen zweiten Nachweis, etwa einen Code auf dem Smartphone. Selbst wenn jemand das Passwort kennt, kommt er ohne diesen zweiten Schritt nicht in das Konto hinein.

In diesem Beitrag erfahren Sie, was hinter dem Begriff steckt, welche Varianten es gibt und worauf Sie beim Handywechsel achten sollten. Am Ende wissen Sie genau, wie Sie Ihre wichtigsten Konten mit einem zweiten Sicherheits-Schritt absichern.

Warum ein Passwort allein oft nicht reicht

Ein Passwort ist im Grunde nur ein einziges Geheimnis. Wer es kennt, kommt hinein, ganz gleich ob es der rechtmäßige Besitzer ist oder jemand, der es gestohlen hat. Und Passwörter werden leider häufiger gestohlen, als man denkt: durch gehackte Firmen-Datenbanken, durch Phishing-Mails oder durch Schadsoftware auf dem Computer.

Das Problem dabei ist, dass viele Menschen ähnliche oder sogar identische Passwörter für mehrere Dienste verwenden. Wird ein Passwort bei einem Anbieter gestohlen, probieren Kriminelle es oft automatisch bei anderen Diensten aus, etwa bei der E-Mail oder beim Online-Banking. Man nennt das Credential Stuffing, ein Begriff, den Sie sich nicht merken müssen. Wichtig ist nur die Folge: Ein einziges gestohlenes Passwort kann plötzlich mehrere Konten gefährden.

Hier setzt die Zwei-Faktor-Authentifizierung an. Selbst wenn das Passwort in falsche Hände gerät, fehlt den Kriminellen der zweite Baustein. Ohne ihn bleibt die Tür verschlossen, auch wenn der Schlüssel bereits kopiert wurde.

Mehr Hintergrund zum Thema sichere Zugangsdaten finden Sie auch in unserem Beitrag sichere Passwörter erstellen. Wer viele verschiedene Passwörter im Kopf behalten will, stößt schnell an Grenzen. Ein Passwortmanager kann diese Arbeit abnehmen und ergänzt die Zwei-Faktor-Authentifizierung sinnvoll.

Was bedeutet Zwei-Faktor-Authentifizierung?

Zwei-Faktor-Authentifizierung bedeutet, dass Sie sich mit zwei unterschiedlichen Nachweisen anmelden, nicht nur mit einem. Der erste Faktor ist meist etwas, das Sie wissen, also Ihr Passwort. Der zweite Faktor ist etwas, das Sie besitzen, zum Beispiel Ihr Smartphone, oder manchmal etwas, das nur Sie sind, wie ein Fingerabdruck.

Beide Faktoren zusammen ergeben ein deutlich höheres Schutzniveau als ein Passwort allein. Ein Angreifer müsste dann nämlich nicht nur Ihr Passwort kennen, sondern gleichzeitig auch Zugriff auf Ihr Smartphone oder Ihren Sicherheitsschlüssel haben. Das ist für die meisten Kriminellen ein deutlich höherer Aufwand, den sie in der Regel scheuen.

Herr Wagner erzählte kürzlich, dass er anfangs skeptisch war. Ihm kam der zusätzliche Schritt beim Einloggen umständlich vor. Nach ein paar Wochen war es für ihn Routine, kaum noch der Rede wert. Der kurze Griff zum Smartphone dauert wenige Sekunden, der Gewinn an Sicherheit bleibt bestehen.

Ein einfaches Beispiel: Türschlüssel plus Code

Stellen Sie sich Ihre Haustür vor. Ein normales Schloss öffnet sich mit einem einzigen Schlüssel. Wer diesen Schlüssel besitzt oder kopiert hat, kommt hinein, ohne weitere Hürde. Genau das ist die Situation bei einem Konto, das nur mit einem Passwort geschützt ist.

Bei der Zwei-Faktor-Authentifizierung ist es ähnlich: Der Schlüssel entspricht dem Passwort, der Zahlencode entspricht dem zweiten Faktor. Beide zusammen ergeben erst den vollständigen Zugang. Fehlt einer der beiden Teile, bleibt die Tür zu.

Welche zweiten Faktoren gibt es?

Es gibt verschiedene Wege, wie ein Dienst den zweiten Nachweis abfragt. Nicht jeder eignet sich gleich gut für jeden Alltag, deshalb lohnt ein genauerer Blick auf die vier gebräuchlichsten Varianten.

SMS-Code

Beim SMS-Code schickt Ihnen der Anbieter nach der Passworteingabe eine Textnachricht mit einer mehrstelligen Zahl aufs Handy. Diese Zahl geben Sie zusätzlich ein, dann sind Sie angemeldet. Der Vorteil liegt auf der Hand: Man braucht keine zusätzliche App, jedes Mobiltelefon kann SMS empfangen. Der Nachteil ist, dass SMS grundsätzlich etwas leichter abgefangen werden können als andere Verfahren. Für die meisten privaten Konten ist ein SMS-Code trotzdem ein deutlicher Gewinn gegenüber gar keinem zweiten Schritt.

Authenticator-App

Eine Authenticator-App erzeugt auf Ihrem Smartphone alle 30 Sekunden einen neuen, mehrstelligen Code, unabhängig vom Mobilfunknetz. Sie richten die App einmalig ein, meist über das Scannen eines QR-Codes, und geben danach bei jeder Anmeldung den gerade aktuellen Code ein. Diese Variante gilt als besonders sicher, weil kein Netzempfang nötig ist und der Code nicht abgefangen werden kann wie eine SMS.

Freigabe per App

Manche Dienste, etwa große E-Mail-Anbieter, schicken bei der Anmeldung eine Meldung direkt auf eine zugehörige App. Dort müssen Sie die Anmeldung nur noch mit einem Fingertipp bestätigen, oft lässt sich sogar sehen, von welchem Ort und Gerät aus die Anmeldung erfolgt. Das ist besonders bequem, weil kein Code abgetippt werden muss.

Sicherheitsschlüssel

Ein Sicherheitsschlüssel ist ein kleines physisches Gerät, das an den Computer angeschlossen oder per Funk verbunden wird. Man steckt ihn ein und bestätigt die Anmeldung mit einem Knopfdruck. Diese Variante gilt als besonders sicher, ist für Einsteiger aber meist zu speziell und mit zusätzlichen Kosten verbunden. Wer bereits sicher mit SMS-Code oder Authenticator-App umgeht, kann später über einen Sicherheitsschlüssel nachdenken.

Zwei-Faktor-Authentifizierung beim Online-Banking

Beim Online-Banking ist der zweite Sicherheits-Schritt schon seit einiger Zeit fast überall Pflicht, auch wenn er dort oft anders heißt, etwa TAN-Verfahren oder App-Freigabe. Loggen Sie sich ein, geben Sie Kontonummer und Passwort ein, wird für eine Überweisung meist eine zusätzliche Bestätigung verlangt, entweder per TAN-App auf dem Smartphone oder per separatem TAN-Generator.

Diese zusätzliche Hürde fühlt sich anfangs manchmal lästig an, gerade wenn man es eilig hat. Sie schafft aber genau die Sicherheit, die beim Umgang mit Geld unverzichtbar ist. Prangert eine Bank eine verdächtige Überweisung an oder verlangt eine zusätzliche Bestätigung, sollten Sie diese immer sorgfältig lesen, bevor Sie zustimmen. Kriminelle versuchen gelegentlich, Nutzer zur schnellen, unbedachten Bestätigung zu verleiten.

Mehr rund um den sicheren Umgang mit dem eigenen Konto finden Sie in unserem Beitrag Online-Banking sicher nutzen. Ähnliche Tricks nutzen Betrüger auch bei anderen Diensten, etwa mit gefälschten Nachrichten, die angeblich von PayPal oder Amazon stammen, um genau an Passwörter und Bestätigungscodes zu gelangen.

Handywechsel und Notfallcodes

Ein Punkt wird beim Einrichten der Zwei-Faktor-Authentifizierung häufig vergessen: Was passiert, wenn das Smartphone verloren geht, gestohlen wird oder einfach kaputt ist? Ohne den zweiten Faktor kommen Sie sonst selbst mit korrektem Passwort nicht mehr in Ihr eigenes Konto hinein.

Deshalb bieten fast alle Dienste beim Einrichten sogenannte Wiederherstellungscodes an, manchmal auch Notfallcodes genannt. Das sind einmalige Ersatzcodes, mit denen Sie sich auch ohne Ihr gewohntes Gerät noch anmelden können. Schreiben Sie diese Codes am besten von Hand auf und bewahren Sie sie an einem sicheren Ort auf, etwa in einer verschlossenen Schublade, keinesfalls offen sichtbar am Bildschirm.

Wenn Sie ein neues Smartphone bekommen, denken Sie frühzeitig an die Authenticator-Apps. Bei den meisten Apps müssen Sie die Konten auf dem neuen Gerät erneut einrichten, am besten bevor Sie das alte Handy endgültig zurücksetzen. Wer das vergisst, steht schnell ohne Zugang zu wichtigen Konten da und muss sich mühsam über den Support des jeweiligen Anbieters wieder Zugang verschaffen.

Häufige Fehler vermeiden

Häufig gestellte Fragen