Ein Passwort allein ist für wichtige Konten heute oft zu wenig. Zwei-Faktor-Authentisierung (2FA) ergänzt die Anmeldung deshalb um einen zweiten Nachweis. Doch 2FA ist nicht gleich 2FA: SMS-Code, Authenticator-App, Push-Bestätigung und Sicherheitsschlüssel unterscheiden sich deutlich darin, wie sie funktionieren und gegen welche Angriffe sie schützen.
Die gute Nachricht: Schon ein zusätzlicher Faktor kann den Schutz eines Kontos deutlich verbessern. Die weniger bequeme Nachricht: Ein sechsstelliger Code macht eine gefälschte Login-Seite nicht automatisch harmlos. Entscheidend ist also nicht nur, dass 2FA aktiviert ist, sondern auch welches Verfahren verwendet wird.
Was bedeutet Zwei-Faktor-Authentisierung überhaupt?
Bei einer Anmeldung können unterschiedliche Arten von Nachweisen kombiniert werden: etwas, das man weiß, etwas, das man besitzt, oder ein biometrisches Merkmal. Ein Passwort plus ein zweiter, unabhängiger Faktor erschwert den Kontozugriff, wenn das Passwort bekannt wird.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät in jedem Fall davon ab, die Zwei-Faktor-Authentisierung zu deaktivieren, und schreibt: Sobald sie bei einem Online-Dienst möglich ist, sollte man sie anwenden (S1). Gerade bei E-Mail und Social Media lohne sich das Mehr an Sicherheit. Die verschiedenen Verfahren haben jedoch unterschiedliche Eigenschaften (S1).
SMS-Code: besser als nur ein Passwort, aber nicht die stärkste Variante
Bei SMS-basierter 2FA sendet der Dienst nach der Passworteingabe einen einmaligen Code an die hinterlegte Mobilfunknummer. Das Verfahren ist einfach und weit verbreitet. Es besitzt aber bekannte Schwächen, weil der zweite Faktor an Mobilfunknummer und Mobilfunknetz gekoppelt ist.
NIST behandelt die Nutzung des öffentlichen Telefonnetzes für sogenannte Out-of-Band-Verfahren ausdrücklich als eingeschränktes Verfahren. Die CISA nennt für SMS- und Sprachcodes Anfälligkeit für Phishing sowie für Angriffe über das Signalisierungsprotokoll SS7 und per SIM-Swap und bezeichnet dieses Verfahren als letzte Möglichkeit (S3). Das BSI rät außerdem davon ab, den mTAN-Code auf demselben Gerät zu empfangen, mit dem man sich anmeldet (S1).
Wenn ein Dienst ausschließlich SMS als zweiten Faktor anbietet, ist das deshalb nicht automatisch ein Grund, 2FA abzuschalten. Wo stärkere Verfahren verfügbar sind, sollte man diese aber bevorzugen.
Authenticator-App: unabhängig vom Mobilfunknetz
Authenticator-Apps erzeugen zeitbasierte Einmalcodes direkt auf dem Gerät. Häufig kommt dabei TOTP zum Einsatz. Der Code muss nicht per SMS übertragen werden. Das BSI nennt Authenticator-Apps ausdrücklich als bessere Variante gegenüber TAN-Listen auf Papier (S1).
Das beseitigt einige Probleme der SMS-Variante, macht das Verfahren aber nicht automatisch phishing-resistent. NIST schreibt, dass Verfahren mit manueller Eingabe einer Authenticator-Ausgabe (genannt werden Out-of-Band- und OTP-Verfahren) nicht als phishing-resistent gelten dürfen (S2). Eine überzeugend nachgebaute Anmeldeseite kann versuchen, Passwort und aktuellen Einmalcode abzugreifen und unmittelbar weiterzuverwenden; die CISA beschreibt genau dieses Vorgehen mit einem sechsstelligen Code aus der Authenticator-App (S3).
Für viele Dienste ist eine Authenticator-App trotzdem eine praktikable Verbesserung gegenüber der reinen Passwortanmeldung – insbesondere dann, wenn der Anbieter keine phishing-resistente Alternative unterstützt.
Push-Bestätigung: bequem, aber die Umsetzung entscheidet
Bei Push-Verfahren erscheint eine Anfrage auf einem bereits registrierten Gerät. Der Nutzer bestätigt oder verweigert den Anmeldeversuch. Das kann komfortabler sein als das Abtippen eines Codes.
Die konkrete Sicherheit hängt allerdings vom Verfahren ab. Eine einfache Meldung mit einem großen „Bestätigen“-Knopf ist nicht mit einem kryptografisch an die echte Website gebundenen Verfahren gleichzusetzen. Die CISA warnt vor „Push Bombing“, bei dem Angreifer so lange Benachrichtigungen schicken, bis der Nutzer eine bestätigt; als Gegenmaßnahme nennt sie Push mit Number Matching, bei dem der Nutzer Zahlen aus der Anmeldung in der App eingeben muss (S3). Unerwartete Anmeldeanfragen sollten grundsätzlich abgelehnt werden. Wiederholte Bestätigungsanfragen sind kein Grund, irgendwann genervt auf „Ja“ zu drücken – auch wenn Software gelegentlich erstaunliches Talent darin entwickelt, Menschen mürbe zu machen.
FIDO2 und WebAuthn: Schutz gegen klassische Phishing-Seiten
Phishing-resistente Verfahren gehen einen anderen Weg. Bei FIDO2/WebAuthn wird die Authentisierung kryptografisch an den jeweiligen Dienst beziehungsweise dessen Web-Origin gebunden. Ein Geheimnis, das der Nutzer auf einer fremden Website eintippen könnte, wird dabei nicht einfach übertragen.
NIST nennt WebAuthn, das von Authentikatoren nach den FIDO2-Spezifikationen verwendet wird, ausdrücklich als Beispiel für Phishing-Resistenz durch Bindung an den Namen des Verifizierers (S2). Die CISA bezeichnet phishing-resistente MFA als die sicherste Form von MFA (S3). Das BSI hebt hervor, dass vor allem hardwaregestützte Verfahren ein hohes Maß an Sicherheit bieten (S1).
Passkeys basieren ebenfalls auf FIDO-Technologien. Wie Passkeys funktionieren und warum sie sich von klassischen Passwörtern unterscheiden, haben wir bereits im Beitrag Passkeys statt Passwort? Was die neue Anmeldung wirklich sicherer macht ausführlicher behandelt.
Welche Methode sollte man wählen?
Eine universelle Rangliste für jeden Dienst und jeden Anwendungsfall wäre zu einfach. Als praktische Orientierung gilt: Wenn ein Dienst ein phishing-resistentes FIDO-/WebAuthn-Verfahren anbietet und die eigenen Geräte es sinnvoll unterstützen, ist das für besonders schützenswerte Konten eine starke Option. Steht das nicht zur Verfügung, kann eine Authenticator-App eine sinnvolle Alternative sein. SMS bleibt dort relevant, wo der Anbieter keine andere 2FA-Methode bereitstellt.
Besonders wichtig sind starke Anmeldeverfahren bei E-Mail-Konten, Passwortmanagern, Cloud-Diensten, administrativen Zugängen und anderen Konten, über die weitere Systeme oder Identitäten zurückgesetzt werden können. Die CISA fordert Organisationen auf, MFA für alle Nutzer und alle Dienste einzuführen, darunter E-Mail, Dateifreigabe und Finanzkonten. Angreifer zielten häufig auf E-Mail-Systeme, Dateiserver und Fernzugriffe, und Systemadministratoren sollten besonders zügig auf phishing-resistente MFA umsteigen (S3).
Recovery nicht vergessen
Eine sehr sichere Anmeldung hilft wenig, wenn der einzige zweite Faktor zusammen mit dem Smartphone verloren geht. Deshalb gehören Wiederherstellungsmöglichkeiten zur Einrichtung dazu. Je nach Dienst können das Recovery-Codes, mehrere registrierte Authentikatoren oder andere vom Anbieter vorgesehene Wiederherstellungswege sein.
Recovery-Codes sollten nicht ungeschützt neben dem Passwort im gleichen digitalen Dokument liegen. Wer bereits einen Passwortmanager verwendet, sollte außerdem prüfen, wie dessen eigener Zugang und die Wiederherstellung abgesichert sind. Mehr zum grundsätzlichen Einsatz solcher Werkzeuge steht in Schluss mit Passwort-Zetteln: Warum ein Passwort-Manager Ihren Alltag sicherer und einfacher macht.
Fazit: 2FA einschalten – aber die Methode bewusst wählen
Zwei-Faktor-Authentisierung ist keine einzelne Technik. SMS, Einmalcodes, Push-Verfahren und FIDO/WebAuthn lösen dieselbe Grundaufgabe auf unterschiedliche Weise und bieten entsprechend unterschiedlichen Schutz.
Für den Alltag bedeutet das: 2FA nutzen, wenn sie angeboten wird, und bei wichtigen Konten die stärkste sinnvoll verfügbare Methode wählen. Wenn FIDO/WebAuthn unterstützt wird, lohnt sich ein genauer Blick darauf. Wenn nur eine Authenticator-App oder sogar ausschließlich SMS verfügbar ist, muss daraus keine Grundsatzdiskussion werden – ein vorhandener Schutz sollte nicht deshalb ungenutzt bleiben, weil eine theoretisch bessere Lösung existiert.
Quellen & weiterführende Informationen (abgerufen am 31.10.2026)
- (S1) BSI: Zwei-Faktor-Authentisierung – mehr Sicherheit für Geräte und Daten.
- (S2) NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (Abschnitte zu Phishing-Resistenz und zum öffentlichen Telefonnetz).
- (S3) CISA: Implementing Phishing-Resistant MFA (Oktober 2022); More than a Password – MFA.
- W3C: Web Authentication (WebAuthn) – technische Spezifikation.
Schreibe einen Kommentar