Kurz gesagt
Die Zwei-Faktor-Authentifizierung (2FA) verlangt nach dem Passwort einen zweiten Identitätsnachweis [4]. Jede 2FA ist weit besser als keine: Eine Studie von Microsoft ergab, dass sie das Risiko einer Kontoübernahme um 99,22% senkte [8]. Die sichersten Methoden sind FIDO-Sicherheitsschlüssel und Passkeys, die Phishing widerstehen [1][2]. SMS-Codes sind die schwächste Option [1].
Das Wichtigste
- 2FA, auch Bestätigung in zwei Schritten (2SV) oder Mehr-Faktor-Authentifizierung (MFA) genannt, ergänzt eine zweite Prüfung, die nur Sie bestehen können [4].
- Eine Studie von Microsoft Research ergab, dass MFA das Risiko einer Kompromittierung insgesamt um 99,22% und bei Konten mit geleakten Zugangsdaten um 98,56% senkte [8].
- Die CISA ordnet MFA von der stärksten zur schwächsten Methode: FIDO/WebAuthn und PKI, dann App-Codes oder Push mit Zahlenabgleich, dann Push ohne Zahlenabgleich, dann SMS oder Sprachanruf [1].
- Nur FIDO-basierte Methoden wie Sicherheitsschlüssel und Passkeys sind phishingresistent; Codes aus Authenticator-Apps lassen sich weiterhin per Phishing abgreifen [2].
- SMS-Codes können durch SIM-Swapping oder Schwachstellen im SS7-Netz gestohlen werden [1]; das FBI erhielt 2021 1.611 Beschwerden wegen SIM-Swapping mit Schäden von mehr als 68 Millionen $ [6].
- Speichern Sie Backup-Codes und richten Sie eine zweite Methode ein, damit Sie bei Verlust Ihres Smartphones nicht ausgesperrt sind [4].
Auf dieser Seite 12 Abschnitte
- Was ist Zwei-Faktor-Authentifizierung?
- Welche 2FA-Methode ist am sichersten?
- Wie schneiden die wichtigsten 2FA-Methoden im Vergleich ab?
- Warum gelten SMS-Codes als schwach?
- Wie funktionieren Authenticator-Apps und Push-Anfragen?
- Welche Rolle spielen Sicherheitsschlüssel und Passkeys?
- Wie richten Sie 2FA sicher ein?
- Was ändert sich bei 2FA?
- Häufige Fehler
- Häufige Fragen
- Glossar
- Quellen
Was ist Zwei-Faktor-Authentifizierung?
Die Zwei-Faktor-Authentifizierung (2FA) ist eine zweite Prüfung nach dem Passwort, die belegt, dass wirklich Sie sich anmelden [4]. Das britische National Cyber Security Centre (NCSC) weist darauf hin, dass sie auch Bestätigung in zwei Schritten (2SV) oder Mehr-Faktor-Authentifizierung (MFA) genannt wird [4]. Der zweite Schritt nutzt etwas, worauf nur Sie Zugriff haben, etwa Ihr Smartphone oder einen Sicherheitsschlüssel [4].
MFA kombiniert zwei oder mehr verschiedene Arten von Faktoren: etwas, das Sie wissen (ein Passwort oder eine PIN), etwas, das Sie besitzen (ein Smartphone oder einen Schlüssel), oder etwas, das Sie sind (Fingerabdruck oder Gesicht) [1]. Stiehlt ein Krimineller Ihr Passwort, kommt er ohne den zweiten Faktor trotzdem nicht hinein [1].
Funktioniert 2FA tatsächlich?
Ja. Eine Studie von Microsoft Research aus dem Jahr 2023 zu Azure-Active-Directory-Konten mit verdächtigen Aktivitäten ergab, dass MFA das Risiko einer Kompromittierung über die gesamte Population um 99,22% senkte. Bei Konten, deren Zugangsdaten bereits geleakt waren, betrug die Senkung 98,56% [8]. Mehr als 99,99% der Konten mit aktivierter MFA blieben im Untersuchungszeitraum sicher [8]. Laut NCSC ist jede 2SV besser als keine, selbst per SMS [4].
Das Ausmaß der Passwortangriffe erklärt, warum. Microsoft berichtete, 2024 etwa 7.000 Passwortangriffe pro Sekunde beobachtet zu haben, mehr als doppelt so viele wie 2023 [11].
Welche 2FA-Methode ist am sichersten?
Nicht jede 2FA ist gleich stark. Die US-Cybersicherheitsbehörde CISA ordnet die Methoden von der stärksten zur schwächsten danach, wie gut sie gängigen Angriffen widerstehen [1]:
- Phishingresistente MFA: FIDO/WebAuthn (Sicherheitsschlüssel und Passkeys) und PKI-basierte Smartcards. Die CISA nennt dies den Goldstandard [1].
- App-Codes oder Push mit Zahlenabgleich: Einmalcodes aus einer Authenticator-App oder einem Hardware-Token oder Push-Anfragen, bei denen Sie eine auf dem Anmeldebildschirm angezeigte Zahl eintippen [1].
- Push ohne Zahlenabgleich: eine einfache Anfrage „Genehmigen?“, die für Push-Bombing anfällig ist [1].
- SMS- oder Sprachcodes: Laut CISA sollten sie nur als letzter Ausweg genutzt werden [1].
Die CISA erklärt, dass FIDO/WebAuthn die einzige breit verfügbare phishingresistente Authentifizierung ist [1]. Ihre Mobilsicherheits-Empfehlung von 2025 wiederholt das: Authenticator-Codes sind besser als SMS, aber weiterhin für Phishing anfällig, und nur FIDO-Authentifizierung ist phishingresistent [2]. Das NCSC kam im April 2026 zum selben Schluss. Es bewertete alle herkömmlichen MFA-Methoden, darunter SMS-Codes, E-Mail-Codes, App-Codes und Push-Bestätigungen, als grundsätzlich phishinganfällig [5].
Was macht eine Methode phishingresistent?
Das NIST definiert Phishingresistenz als die Fähigkeit des Anmeldeprotokolls, die Preisgabe von Geheimnissen an eine betrügerische Website zu verhindern, ohne auf die Wachsamkeit des Nutzers angewiesen zu sein [3]. Jede Methode, bei der Sie einen Code ablesen und eintippen, kann das nicht erfüllen, weil Sie ihn auch auf einer gefälschten Website eingeben könnten [3]. FIDO-Methoden sind an die echte Website gebunden, sodass eine täuschend ähnliche Seite sie nicht nutzen kann [5].
Wie schneiden die wichtigsten 2FA-Methoden im Vergleich ab?
Die folgende Tabelle fasst den Schutz jeder Methode gegen die wichtigsten Angriffe zusammen, gestützt auf die Rangfolge der CISA und die Richtlinien des NIST. Die CISA unterscheidet vier Angriffsarten [1]:
- Phishing: Eine gefälschte Anmeldeseite sammelt Ihr Passwort und Ihren Einmalcode ein [1].
- Push-Bombing: Ein Angreifer überflutet Sie mit Bestätigungsanfragen, bis Sie eine annehmen [1].
- SS7-Ausnutzung: Schwachstellen im Signalisierungssystem des Telefonnetzes ermöglichen es Angreifern, per SMS oder Sprachanruf gesendete Codes abzufangen [1].
- SIM-Swapping: Kriminelle bringen einen Mobilfunkanbieter dazu, Ihre Nummer auf ihre SIM-Karte zu übertragen [1].
Warum gelten SMS-Codes als schwach?
Codes per Textnachricht sind die häufigste Form der 2FA, und laut NCSC sind sie bei den meisten Diensten die Standardeinstellung [4]. Sie sind zugleich am leichtesten zu stehlen.
- Nachrichten sind nicht verschlüsselt. Die CISA weist darauf hin, dass jeder mit Zugang zum Netz eines Telekommunikationsanbieters, der SMS abfängt, diese lesen kann [2].
- Nummern können gekapert werden. Beim SIM-Swapping geben sich Kriminelle als das Opfer aus, bestechen Beschäftigte eines Anbieters oder hacken dessen Systeme, um eine Nummer auf ihre SIM-Karte zu übertragen [6]. Danach erhalten sie die SMS des Opfers, einschließlich 2FA-Codes und Nachrichten zum Zurücksetzen von Passwörtern [6].
- Sie lassen sich per Phishing abgreifen. Wie jeder eingetippte Code kann auch ein SMS-Code auf einer gefälschten Website eingegeben werden [3].
Die Schäden sind real. Das Internet Crime Complaint Center des FBI erhielt von Januar 2018 bis Dezember 2020 320 Beschwerden wegen SIM-Swapping mit bereinigten Schäden von etwa 12 Millionen $. Allein 2021 gingen 1.611 Beschwerden mit Schäden von mehr als 68 Millionen $ ein [6].
Die Richtlinien des NIST von 2025 stufen SMS- und Sprachcodes als eingeschränkten Authentifikator ein. Dienste, die sie nutzen, müssen mindestens eine uneingeschränkte Alternative anbieten und sollten auf Risikosignale wie einen kürzlichen SIM-Wechsel oder eine Rufnummernportierung achten [3]. Das NIST stellt außerdem klar, dass E-Mail nicht für Out-of-Band-Authentifizierung verwendet werden darf [3]. Für Privatpersonen ist das NCSC großzügiger: Es nennt E-Mail als möglichen zweiten Schritt, sofern es sich um ein anderes Konto handelt als jenes, über das Ihr Passwort zurückgesetzt wird [4].
Sollte ich SMS trotzdem nutzen, wenn es die einzige Option ist?
Ja. Laut NCSC sind Textnachrichten nicht die sicherste Art der 2SV, aber dennoch eine große Verbesserung gegenüber einem Passwort allein [4]. Die CISA bezeichnet SMS als letzten Ausweg, der aber als vorübergehender Schritt dienen kann [1].
Wie funktionieren Authenticator-Apps und Push-Anfragen?
Die meisten Authenticator-Apps erzeugen zeitbasierte Einmalpasswörter (TOTP), die im Internetstandard RFC 6238 definiert sind [7]. Bei der Einrichtung teilen die App und der Dienst einen geheimen Schlüssel. Die App kombiniert diesen Schlüssel dann mit der aktuellen Uhrzeit zu einem kurzen Code, der sich in jedem Zeitschritt ändert, standardmäßig alle 30 Sekunden [7]. Da der Code auf dem Smartphone berechnet wird, brauchen Authenticator-Apps kein Mobilfunksignal [4]. Das macht sie dort nützlich, wo Netzabdeckung oder SMS-Zustellung unzuverlässig sind.
Authenticator-Apps widerstehen SIM-Swapping und SS7-Angriffen [1], und die Studie von Microsoft ergab, dass spezielle Apps wie Microsoft Authenticator besser abschnitten als SMS [8]. Ihre Schwäche ist Phishing: Eine gefälschte Website kann nach dem Code fragen und ihn sofort weiterleiten [1][2].
Was ist Zahlenabgleich?
Push-2FA sendet eine Bestätigungsanfrage an Ihr Smartphone. Ohne Zahlenabgleich tippen Sie einfach auf Akzeptieren, was Push-Bombing ermöglicht. Mit Zahlenabgleich müssen Sie eine auf dem Anmeldebildschirm angezeigte Zahl in die App eingeben, was eine Hürde gegen blinde Bestätigungen schafft [1]. Die CISA empfiehlt Zahlenabgleich für Organisationen, die noch keine phishingresistente MFA einsetzen können [1].
Welche Rolle spielen Sicherheitsschlüssel und Passkeys?
Sicherheitsschlüssel und Passkeys nutzen beide FIDO-Standards und Public-Key-Kryptografie [10]. Ein Sicherheitsschlüssel ist ein kleines physisches Gerät, das per USB oder NFC verbunden wird. Ein Passkey kann auf Ihrem Smartphone oder Computer liegen und wird per Fingerabdruck, Gesicht oder PIN entsperrt [10].
Für Menschen mit hohem Risiko gezielter Angriffe sind laut CISA Hardware-FIDO-Sicherheitsschlüssel die wirksamste Option, wo dies machbar ist, und FIDO-Passkeys eine akzeptable Alternative [2]. Laut NCSC sind Passkeys gegen alle gängigen, in der Praxis beobachteten Angriffe auf Zugangsdaten mindestens so sicher wie herkömmliche MFA oder sicherer [5]. Es empfiehlt sie als erste Wahl überall dort, wo Dienste sie anbieten [12].
Ein Passkey kann einen separaten zweiten Schritt auch überflüssig machen. Bei einem Google-Konto wird bei der Anmeldung mit Passkey die 2-Schritt-Verifizierung übersprungen [9]. Laut NCSC ist ein FIDO2-Schlüssel für sich bereits mehrfaktoriell, wenn das Gerät den Nutzer verifiziert [5].
Wie richten Sie 2FA sicher ein?
- Beginnen Sie mit E-Mail. Das NCSC rät, 2SV für wichtige Konten einzuschalten, vor allem für E-Mail, weil Kriminelle über Ihren Posteingang Ihre anderen Passwörter zurücksetzen können [4].
- Wählen Sie die stärkste angebotene Methode. Bevorzugen Sie einen Passkey oder Sicherheitsschlüssel, danach eine Authenticator-App, und nutzen Sie SMS nur, wenn nichts anderes verfügbar ist [1][2].
- Entfernen Sie die schwächere Ausweichmethode. Die CISA weist darauf hin, dass die Einrichtung einer Authenticator-App SMS nicht automatisch vom Konto entfernt, wodurch eine schwache Ausweichmöglichkeit bleibt. Deaktivieren Sie SMS, sobald eine stärkere Methode funktioniert [2].
- Speichern Sie Backup-Codes. Bewahren Sie die einmal verwendbaren Backup-Codes an einem sicheren Ort auf und erzeugen Sie neue, sobald Sie sie aufgebraucht haben [4].
- Fügen Sie eine zweite Methode hinzu. Das NCSC empfiehlt eine Ersatzoption für den Fall, dass Ihr wichtigster zweiter Schritt nicht verfügbar ist [4].
- Schützen Sie Ihre Telefonnummer. Die CISA empfiehlt, bei Ihrem Mobilfunkanbieter eine Kunden-PIN festzulegen [2]. Das FBI rät, PIN oder Passwort niemals an unaufgeforderte Anrufer weiterzugeben [6].
- Bestätigen Sie nie eine Anfrage, die Sie nicht selbst ausgelöst haben. Unerwartete Push-Anfragen können ein Push-Bombing-Versuch sein [1].
Achten Sie auf Warnzeichen. Laut FBI kann ein plötzlicher Verlust des Mobilfunksignals oder des SMS-Dienstes auf SIM-Swapping hindeuten. Kontaktieren Sie in diesem Fall sofort Ihren Anbieter und ändern Sie Ihre Kontopasswörter [6].
Was ändert sich bei 2FA?
Die offiziellen Empfehlungen entfernen sich von Codes und bewegen sich hin zu phishingresistenten Methoden. Die Richtlinien des NIST von 2025 verlangen von Diensten auf der Vertrauensstufe AAL2, mindestens eine phishingresistente Option anzubieten [3]. Das NIST merkt außerdem an, dass es den eingeschränkten Status von Codes über das Telefonnetz je nach Bedrohungslage anpassen kann [3]. Im April 2026 erklärte das NCSC, es werde Passkeys überall dort empfehlen, wo ein Dienst sie unterstützt, und 2SV dort, wo nicht [5].
Für die meisten Menschen umfasst der praktische Weg mit Stand 3. November 2026 drei Schritte. Schalten Sie 2FA überall ein, wo sie angeboten wird. Ersetzen Sie SMS, wo möglich, durch eine Authenticator-App. Stellen Sie dann Ihre wichtigsten Konten auf Passkeys oder einen Sicherheitsschlüssel um. Jeder Schritt schließt eine Angriffsklasse, die die schwächere Methode offen lässt [1][5].
| Methode | Phishing | Push-Bombing | SIM-Swapping / SS7 | Offizielle Einschätzung |
|---|---|---|---|---|
| FIDO-Sicherheitsschlüssel oder Passkey | Resistent [1] | Nicht zutreffend [1] | Nicht zutreffend [1] | Goldstandard [1] |
| Code aus Authenticator-App (TOTP) | Anfällig [1] | Nicht zutreffend | Nicht zutreffend [1] | Besser als SMS, aber per Phishing angreifbar [2] |
| Push mit Zahlenabgleich | Anfällig [1] | Resistent [1] | Nicht zutreffend [1] | Akzeptable Übergangslösung [1] |
| Push ohne Zahlenabgleich | Anfällig für Nutzerfehler [1] | Anfällig [1] | Nicht zutreffend [1] | Schwächere App-Option [1] |
| SMS- oder Sprachcode | Anfällig [1] | Nicht zutreffend | Anfällig [1] | Letzter Ausweg [1]; vom NIST eingeschränkt [3] |
| E-Mail-Code | Anfällig [3] | Nicht zutreffend | Nicht zutreffend | Laut NIST nicht für Out-of-Band-Nutzung zulässig [3] |
Häufige Fehler
SMS nach dem Hinzufügen einer Authenticator-App eingeschaltet lassen
So geht es richtig: Die CISA weist darauf hin, dass die Einrichtung einer App SMS nicht entfernt und so eine schwache Ausweichmöglichkeit bleibt. Deaktivieren Sie SMS, sobald die stärkere Methode funktioniert [2].
Keine Backup-Codes speichern
So geht es richtig: Bewahren Sie einmal verwendbare Backup-Codes an einem sicheren Ort auf und richten Sie eine zweite Methode ein, wie es das NCSC empfiehlt [4].
Eine Anmeldeanfrage bestätigen, die Sie nicht selbst ausgelöst haben
So geht es richtig: Wiederholte unerwartete Anfragen sind ein Zeichen für Push-Bombing [1]. Lehnen Sie sie ab und ändern Sie Ihr Passwort.
Einen 2FA-Code auf einer Seite eingeben, die Sie über einen Link erreicht haben
So geht es richtig: Codes aus Apps und SMS können von gefälschten Websites weitergeleitet werden [1]. Rufen Sie die Website direkt auf oder nutzen Sie einen Passkey, der sich nicht per Phishing abgreifen lässt [5].
Sicherheitsfragen als zweiten Faktor verwenden
So geht es richtig: Laut NCSC bieten Merkinformationen und Sicherheitsfragen nicht denselben Schutz wie 2SV [4].
Häufige Fragen
Lohnt sich die Zwei-Faktor-Authentifizierung?
Ja. Forscher von Microsoft stellten fest, dass MFA das Risiko einer Kontoübernahme um 99,22% senkte [8], und laut NCSC ist jede 2SV, selbst per SMS, besser als keine [4].
Welche Art von 2FA ist am sichersten?
FIDO-basierte Methoden, also Hardware-Sicherheitsschlüssel und Passkeys. Die CISA nennt phishingresistente MFA den Goldstandard [1] und hält Hardware-Schlüssel für Nutzer mit hohem Risiko für am wirksamsten [2].
Ist Zwei-Faktor-Authentifizierung per SMS sicher?
Sie ist besser als gar keine 2FA [4], aber die schwächste gängige Option. SMS können durch SIM-Swapping und SS7-Angriffe abgefangen oder umgeleitet werden [1], daher bezeichnet die CISA sie als letzten Ausweg [1].
Sind Authenticator-Apps besser als SMS?
Ja. Sie widerstehen SIM-Swapping und SS7-Angriffen [1] und schnitten in der Studie von Microsoft besser ab als SMS [8]. Sie funktionieren ohne Mobilfunksignal [4], ihre Codes lassen sich aber weiterhin per Phishing abgreifen [2].
Was passiert, wenn ich mein Smartphone mit der Authenticator-App verliere?
Verwenden Sie Ihre gespeicherten Backup-Codes oder eine zweite Methode, die Sie vorab eingerichtet haben [4]. Ohne diese sind Sie auf das Kontowiederherstellungsverfahren des Dienstes angewiesen.
Glossar
- Zwei-Faktor-Authentifizierung (2FA)
- Eine Anmeldung, die nach dem Passwort eine zweite Prüfung verlangt; auch 2SV oder MFA genannt [4].
- TOTP
- Time-based One-Time Password: ein zeitbasiertes Einmalpasswort, das aus einem gemeinsamen Geheimnis und der aktuellen Uhrzeit erzeugt wird, definiert in RFC 6238 [7].
- SIM-Swapping
- Ein Betrug, bei dem Kriminelle einen Mobilfunkanbieter dazu bringen, die Nummer eines Opfers auf eine SIM-Karte unter ihrer Kontrolle zu übertragen [6].
- SS7
- Signalling System 7, das Signalisierungsprotokoll des Telefonnetzes, dessen Schwachstellen SMS- und Sprachcodes offenlegen können [1].
- Push-Bombing
- Das Überfluten eines Nutzers mit Anmeldebestätigungen, bis er eine annimmt; auch Push-Fatigue genannt [1].
- Zahlenabgleich
- Eine Funktion von Push-2FA, bei der vor der Bestätigung eine auf dem Anmeldebildschirm angezeigte Zahl in die App eingegeben werden muss [1].
- Phishingresistente MFA
- Authentifizierung, die sich nicht über eine gefälschte Website weiterleiten lässt; in der Praxis FIDO/WebAuthn oder PKI [1].
Quellen
- Implementing Phishing-Resistant MFA (fact sheet) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Setting up 2-Step Verification (2SV) UK National Cyber Security Centre (NCSC) · 2018-08-07
- Passkeys are more secure than traditional ways to log in UK National Cyber Security Centre (Dave Chismon) · 2026-04-23
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public (Alert I-020822-PSA) FBI Internet Crime Complaint Center (IC3) · 2022-02-08
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm Internet Engineering Task Force (IETF)
- How effective is multifactor authentication at deterring cyberattacks? Microsoft (Meyer, Romero, Bertoli, Burt, Weinert, Lavista Ferres), arXiv · 2023-05-01
- Sign in with a passkey instead of a password Google Account Help
- Passkeys: passwordless authentication FIDO Alliance
- Pushing passkeys forward: Microsoft's latest updates for simpler, safer sign-ins Microsoft Security Blog · 2025-05-01
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
Kommentare
Top-Kommentare