Was ist 2FA? Zwei-Faktor-Authentifizierung
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: 2FA steht für Zwei-Faktor-Authentifizierung. Dabei bestätigst du deine Identität beim Anmelden mit zwei unterschiedlichen Arten von Sicherheitsnachweisen, etwa einem Passwort und einem Code aus einer App auf dem Smartphone. Ein gestohlenes Passwort allein reicht dadurch meist nicht aus, um auf das Konto zuzugreifen. Wenn der Dienst dir die Wahl lässt, bevorzuge einen Sicherheitsschlüssel oder eine Authentifizierungs-App gegenüber SMS und richte gleich eine Möglichkeit ein, den Zugriff wiederherzustellen.
Wie funktioniert 2FA und was sind die beiden Faktoren?
Bei der Authentifizierung wird geprüft, ob die Person, die sich anmelden möchte, tatsächlich diejenige ist, für die sie sich ausgibt. Ein Passwort bestätigt, dass sie ein Geheimnis kennt. Es kann jedoch durch Täuschung erbeutet, erraten oder bei einem Datenleck offengelegt werden. 2FA ergänzt einen zweiten, unabhängigen Nachweis.
Authentifizierungsfaktoren gehören zu drei grundlegenden Gruppen:
- Etwas, das du weißt — zum Beispiel ein Passwort oder eine PIN.
- Etwas, das du besitzt — zum Beispiel ein Sicherheitsschlüssel oder ein Smartphone mit einer App, die Codes erzeugt.
- Etwas, das du bist — zum Beispiel ein biometrisches Merkmal, das ein Fingerabdrucksensor prüft.
Ein Passwort und die Antwort auf die Frage nach dem Geburtsnamen der Mutter ergeben keine echte 2FA: Beide Nachweise beruhen auf Wissen. Auch zwei Schritte bei der Anmeldung bedeuten nicht automatisch, dass zwei unterschiedliche Faktoren verwendet werden. MFA steht für Multi-Faktor-Authentifizierung; 2FA ist eine Variante davon mit genau zwei Faktoren.
Ein Beispiel: Du meldest dich mit deinem Passwort beim E-Mail-Konto an und gibst anschließend einen Code aus der Authentifizierungs-App ein. Wer dein Passwort aus einem Datenleck bei einem anderen Dienst kennt, kann sich damit allein nicht anmelden. Dafür braucht diese Person zusätzlich den zweiten Faktor oder eine Möglichkeit, die Schutzmaßnahmen zu umgehen.
SMS, App oder Sicherheitsschlüssel?
2FA-Methoden unterscheiden sich in ihrer Benutzerfreundlichkeit und ihrer Widerstandsfähigkeit gegen Angriffe. Welche Optionen verfügbar sind, hängt vom Dienst ab. Prüfe deshalb vor der Einrichtung dessen aktuelle Sicherheitsdokumentation.
| Methode | So funktioniert sie | Wichtigste Einschränkung |
|---|---|---|
| SMS | Der Dienst sendet einen Code an deine Telefonnummer. | Wer die Nummer übernimmt, etwa durch die unberechtigte Ausstellung einer neuen SIM-Karte, kann möglicherweise die Codes empfangen. |
| App mit Codes | Die App erzeugt kurzzeitig gültige Codes, meist nach dem TOTP-Standard. | Der Code kann auf einer gefälschten Anmeldeseite abgefragt und gestohlen werden. |
| Benachrichtigung in der App | Du bestätigst eine Anmeldeanfrage auf deinem Smartphone. | Wenn du versehentlich den Anmeldeversuch einer anderen Person bestätigst, kann ein Angreifer Zugriff erhalten. |
| Sicherheitsschlüssel FIDO2/WebAuthn | Du bestätigst die Anmeldung mit einem physischen Gerät, etwa über USB oder NFC. | Für den Fall, dass du den Schlüssel verlierst, brauchst du eine alternative Anmeldemöglichkeit. |
TOTP ist ein Einmalcode, der anhand der aktuellen Zeit und eines bei der Einrichtung gespeicherten Geheimnisses erzeugt wird. Nachdem du das Konto hinzugefügt hast, kann die App solche Codes ohne Internetverbindung und ohne Mobilfunkempfang erzeugen. Die Uhrzeit auf dem Gerät muss allerdings korrekt eingestellt sein.
Sicherheitsschlüssel nach dem Standard FIDO2/WebAuthn binden die Authentifizierung an die richtige Domain des Dienstes. Das ist ein wesentlicher Vorteil gegenüber Codes: Eine typische gefälschte Website kann diese Bestätigung nicht nutzen, um sich beim echten Konto anzumelden. Für geschäftliche E-Mail-Konten, die Verwaltungsoberfläche eines Domainregistrars oder Administratorkonten ist das eine besonders gute Wahl.
Wenn der Dienst ausschließlich SMS anbietet, ist es meist besser, diese Methode zu aktivieren, als nur ein Passwort zu verwenden. Betrachte aber nicht alle Methoden als gleich sicher.
Wovor schützt 2FA und was kann es nicht verhindern?
2FA verringert das Risiko einer Kontoübernahme, wenn das Passwort bekannt geworden ist. Es hilft auch, wenn Kriminelle Passwörter aus Datenlecks automatisiert bei verschiedenen Diensten ausprobieren. Ein eigenes, nur für dieses Konto verwendetes Passwort ersetzt 2FA jedoch nicht.
Phishing bedeutet, sich als vertrauenswürdiger Dienst auszugeben, um Daten zu erbeuten. Dabei können auch 2FA-Codes gestohlen werden. Eine gefälschte Website kann nach dem Passwort und dem aktuellen Code fragen und beides anschließend an den echten Dienst weiterleiten. Gib Codes deshalb weder an Supportmitarbeiter noch in Nachrichten oder auf einer Website weiter, die du über einen verdächtigen Link geöffnet hast.
2FA schützt auch nicht vor allen Folgen einer Infektion des Geräts mit Schadsoftware. Wird eine aktive Sitzung gestohlen — also die Daten, anhand derer der Dienst einen angemeldeten Nutzer wiedererkennt —, lässt sich möglicherweise eine erneute Anmeldung umgehen. Systemaktualisierungen, Vorsicht beim Installieren von Erweiterungen und die Kontrolle der aktiven Sitzungen deines Kontos bleiben notwendig.
Bestätige keine Anmeldebenachrichtigung, wenn du die Anmeldung nicht selbst gestartet hast. Eine unerwartete Anfrage kann bedeuten, dass jemand dein Passwort kennt. Rufe die Kontoeinstellungen selbst auf und prüfe die Kontoaktivitäten.
Wie aktivierst du 2FA, ohne den Zugriff zu verlieren?
Beginne mit deinem wichtigsten E-Mail-Konto, weil es häufig zum Zurücksetzen der Passwörter anderer Dienste dient. Sichere anschließend deinen Passwortmanager, Konten für Finanzdienste und die Verwaltungsoberflächen für dein Unternehmen, deine Domain oder dein Hosting ab.
- Öffne die Sicherheitseinstellungen des Kontos. Suche nach Optionen wie „Zwei-Faktor-Authentifizierung“, „Bestätigung in zwei Schritten“ oder „MFA“.
- Füge die gewählte Methode hinzu. Bei einer App scannst du normalerweise einen QR-Code und gibst den erzeugten Bestätigungscode ein. Gib den QR-Code nicht weiter: Er enthält das Geheimnis, mit dem sich weitere Codes erzeugen lassen.
- Bewahre die Wiederherstellungscodes auf. Diese Notfallcodes ersetzen den zweiten Faktor und sind meist nur einmal verwendbar. Bewahre sie an einem sicheren Ort auf, den du auch nach dem Verlust deines Smartphones erreichen kannst, etwa als Ausdruck in einem verschlossenen Fach.
- Füge eine Ersatzmethode hinzu, wenn der Dienst dies erlaubt. Das kann ein zweiter Sicherheitsschlüssel sein. Bedenke, dass eine schwächere Notfallmethode den Schutz des gesamten Kontos schwächen kann.
- Teste die Anmeldung, bevor du die Einrichtung abschließt. Lass die bisherige Sitzung geöffnet und versuche, dich in einem separaten privaten Browserfenster anzumelden.
Lies vor einem Smartphonewechsel die offizielle Anleitung zum Übertragen der Konten in deiner App. Gehe nicht davon aus, dass die Codes zusammen mit der SIM-Karte übertragen werden. Entferne die Konfiguration auf dem alten Gerät erst, wenn du geprüft hast, dass du dich auf dem neuen Gerät bei allen wichtigen Diensten anmelden kannst.
Lesen Sie auch
