Die Zwei-Faktor-Authentifizierung (2FA) schützt ein Konto mit einem zweiten Nachweis zusätzlich zum Passwort, etwa einem Code aus einer App oder einer Bestätigung auf dem Handy.

Das BSI rät, sie überall einzuschalten, wo ein Online-Dienst sie anbietet. Eingerichtet ist sie meist in wenigen Minuten in den Sicherheitseinstellungen des Kontos.

Der Vorteil: Selbst wenn Ihr Passwort bei einem Datenleck oder durch Phishing in fremde Hände gerät, reicht es allein nicht mehr für die Anmeldung. Das BSI spricht übrigens von „Zwei-Faktor-Authentisierung“; gemeint ist dasselbe.

MethodeBeispielHinweis
Code per SMSSechsstelliger Code aufs HandyBesser als nichts; nicht dasselbe Gerät wie für die Anmeldung nutzen
Authenticator-AppWechselnder Code in einer AppFunktioniert ohne Mobilfunkempfang
Bestätigung auf dem GerätCode auf einem vertrauenswürdigen GerätSo arbeitet etwa Apple
Hardware-SchlüsselUSB- oder NFC-SchlüsselSehr sicher, kostet Geld
PasskeyFingerabdruck, Gesicht oder PIN am GerätLaut BSI deutlich höheres Sicherheitsniveau

Was ist Zwei-Faktor-Authentifizierung?

Bei der Anmeldung weisen Sie sich mit zwei verschiedenen Arten von Merkmalen aus. Das BSI unterscheidet drei Kategorien:

  • Wissen: etwas, das Sie wissen, etwa Passwort oder PIN.
  • Besitz: etwas, das Sie haben, etwa Handy, Chipkarte oder TAN-Generator.
  • Biometrie: etwas, das Sie sind, etwa Ihr Fingerabdruck.

Zwei-Faktor heißt: zwei Merkmale aus verschiedenen Kategorien. Zwei Passwörter hintereinander zählen nicht.

Zwei-Faktor-Authentifizierung einrichten: so geht's

Die Menüs heißen bei jedem Dienst etwas anders, der Ablauf ist fast immer gleich:

  1. Melden Sie sich an und öffnen Sie die Sicherheitseinstellungen oder die Einstellungen zur Anmeldung.
  2. Suchen Sie nach „Zwei-Faktor“, „2FA“, „Bestätigung in zwei Schritten“ oder „Anmeldung in zwei Schritten“.
  3. Wählen Sie die Methode. Eine Authenticator-App ist meist die bessere Wahl als SMS.
  4. Scannen Sie den angezeigten QR-Code mit der App und geben Sie den ersten Code zur Bestätigung ein.
  5. Speichern Sie die Wiederherstellungscodes, die viele Dienste anzeigen, an einem sicheren Ort, am besten ausgedruckt oder im Passwort-Manager.

Beginnen Sie mit den wichtigsten Konten: E-Mail (über sie lassen sich andere Passwörter zurücksetzen), Online-Banking, Zahlungsdienste wie PayPal, Cloud-Speicher und soziale Netzwerke.

Was ist Zwei-Faktor-Authentifizierung bei Apple?

Bei Apple ist die Zwei-Faktor-Authentifizierung für die meisten Accounts die Standardmethode. Melden Sie sich zum ersten Mal auf einem neuen Gerät oder im Web an, brauchen Sie laut Apple zwei Dinge: das Passwort Ihres Apple Accounts und einen sechsstelligen Bestätigungscode. Der Code erscheint automatisch auf Ihren vertrauenswürdigen Geräten oder kommt an Ihre vertrauenswürdige Telefonnummer.

Einige Apple-Dienste setzen 2FA voraus, etwa Apple Pay und „Mit Apple anmelden“. Apple empfiehlt zusätzlich, das Gerät mit einem Code sowie Face ID oder Touch ID zu schützen.

SMS, App oder Passkey: was ist sicher?

  • SMS ist besser als gar kein zweiter Faktor. Das BSI rät aber davon ab, den Code auf demselben Gerät zu empfangen, mit dem Sie sich anmelden.
  • Authenticator-Apps erzeugen Codes direkt auf dem Handy und sind nicht auf das Mobilfunknetz angewiesen.
  • Hardware-Schlüssel nach dem FIDO-Standard sind sehr sicher, müssen aber gekauft und mitgenommen werden.
  • Passkeys ersetzen das Passwort ganz: Sie bestätigen die Anmeldung mit Fingerabdruck, Gesicht oder PIN auf Ihrem Gerät, im Hintergrund läuft ein kryptografisches Verfahren. Das BSI empfiehlt Passkeys und sieht darin ein deutlich höheres Sicherheitsniveau als bei herkömmlichen Verfahren.

Zwei-Faktor-Authentifizierung und Phishing

Auch Codes lassen sich abfangen: Eine gefälschte Seite kann nach Passwort und Code fragen und beides sofort weiterreichen. Geben Sie Codes daher nur auf der echten Seite oder in der echten App ein, und nie am Telefon, wenn jemand angeblich vom Support anruft. Wie Sie gefälschte Seiten erkennen, steht in Was ist Phishing?

Authenticator-App auf ein neues Handy übertragen

Die Codes einer Authenticator-App hängen am Gerät. Bevor Sie das alte Handy zurücksetzen oder verkaufen, sollten Sie deshalb vorsorgen:

  1. Prüfen Sie, ob Ihre App eine Übertragung oder Sicherung anbietet. Viele Apps können Konten exportieren oder verschlüsselt sichern.
  2. Alternativ jedes Konto neu verbinden: In den Sicherheitseinstellungen des Dienstes die App abmelden und mit dem neuen Handy neu einrichten.
  3. Erst danach das alte Gerät löschen. Testen Sie vorher mit jedem wichtigen Konto, ob die Anmeldung mit dem neuen Handy klappt.

Wer Passkeys nutzt, sollte ebenfalls prüfen, ob sie über das Konto des Geräteherstellers auf das neue Handy mitkommen.

Handy verloren: was tun?

  • Wiederherstellungscodes nutzen, die Sie beim Einrichten gespeichert haben.
  • Zweiten Weg verwenden, falls Sie eine zweite Methode hinterlegt haben, etwa eine weitere Telefonnummer oder ein zweites Gerät.
  • Kontowiederherstellung des Dienstes starten. Das dauert oft einige Tage, weil der Dienst prüfen muss, dass Sie es wirklich sind.
  • SIM-Karte sperren lassen, wenn das Handy gestohlen wurde; der Sperr-Notruf 116 116 hilft auch dabei.

Richten Sie deshalb schon beim Einschalten von 2FA einen zweiten Weg ein.

Schützt ein VPN das Konto?

Nein, nicht vor fremden Anmeldungen. Ein VPN schützt die Verbindung, zum Beispiel im öffentlichen WLAN, aber nicht ein Konto, dessen Passwort bekannt ist. Beides ergänzt sich: 2FA schützt das Konto, ein VPN die Leitung unterwegs. Mehr in Öffentliches WLAN: Wie sicher ist es? Ob Ihr Passwort bereits in einem bekannten Datenleck steckt, prüft unser Passwort-Leak-Test (auf Englisch).

404 VPN

404 VPN nutzt das Protokoll VLESS. Der kostenlose Tarif bietet 2 GB pro Tag, ohne Kreditkarte, nach Anlegen eines Kontos per E-Mail oder Telegram; Apps gibt es für Android und macOS. Mehr auf der Startseite.