Grundlagen der Zwei-Faktor-Authentifizierung (2FA)
Wie 2FA funktioniert, warum Passwörter allein nicht ausreichen, und ein praktischer Leitfaden zur Wahl der richtigen Methode: SMS, TOTP, FIDO2/WebAuthn.
Warum Passwörter allein nicht ausreichen
Selbst ein perfektes Passwort kann durch Phishing oder Server-Leaks erfasst werden. 2FA fügt eine Ebene hinzu, die physischen Besitz erfordert.
Mit 2FA braucht ein Angreifer mit Ihrem Passwort noch den zweiten Faktor.
Die drei Faktoren: Wissen (Passwort), Besitz (Telefon, Schlüssel), Inhärenz (Biometrie).
SMS-2FA: besser als nichts, aber begrenzt
SMS sendet einen Einmalcode per Textnachricht. Am häufigsten, aber am wenigsten sicher (SIM-Swapping, SS7-Abfangen).
NIST stuft SMS als „eingeschränkten" Authentifikator ein.
Falls SMS Ihre einzige Option ist, nutzen Sie es. Migrieren Sie aber zu TOTP oder Hardware-Schlüsseln.
TOTP: zeitbasierte Einmalpasswörter
TOTP generiert 6-stellige Codes, die alle 30 Sekunden wechseln. Apps: Google Authenticator, Authy, Microsoft Authenticator, 1Password.
Vorteil: funktioniert offline, keine Mobilfunkabhängigkeit, nicht anfällig für SIM-Swapping.
Sichern Sie Wiederherstellungscodes. Ohne Backup = Zugang verloren bei Geräteverlust.
FIDO2/WebAuthn: der Goldstandard
FIDO2/WebAuthn nutzt Public-Key-Kryptographie. Der Server speichert nur den öffentlichen Schlüssel. Von Natur aus phishing-resistent.
Hardware-Schlüssel wie YubiKey und Google Titan bieten höchste Sicherheit.
FIDO2 bietet Phishing-Resistenz, Anwesenheitsnachweis und kryptographische Herkunftsverifizierung.
Die richtige Methode wählen
Hohe Sicherheit (E-Mail, Bank, Crypto): FIDO2-Schlüssel + TOTP als Backup.
Unternehmen: FIDO2 mit MDM-Richtlinien. Eine YubiKey (~50$) ist nichts gegen einen Datenverlust.
Persönliche Konten: TOTP als Minimum. Jedes 2FA ist besser als keins.
Häufige 2FA-Fehler
Gleiches Telefon für SMS-2FA und Kontowiederherstellung.
Keine Wiederherstellungscodes generieren.
Screenshots von TOTP-QR-Codes machen.
Unerwartete Push-Benachrichtigungen bestätigen (MFA-Ermüdung / Push-Bombing).
- Nicht dasselbe Telefon für SMS und Wiederherstellung nutzen
- Immer Wiederherstellungscodes sichern
- Nie TOTP-QR-Codes screenshotten
- Nie unerwartete MFA-Pushes bestätigen
- Mindestens zwei Hardware-Schlüssel registrieren
- TOTP oder Hardware-Schlüssel statt SMS
- Wiederherstellungsmethoden vorab testen
Ad · affiliate linkErgänzen Sie Ihr starkes Passwort mit einem zuverlässigen VPN
Ein sicheres Passwort schützt Ihre Konten — aber was ist mit der Verbindung selbst? In öffentlichen WLANs oder ungesicherten Netzwerken können Angreifer den Datenverkehr abfangen, bevor er die Anmeldeseite erreicht.
Ein VPN verschlüsselt Ihre gesamte Internetverbindung, verbirgt Ihre echte IP-Adresse und schützt Ihre Daten vor Lauschangriffen, ISPs und Man-in-the-Middle-Angriffen.
Wir haben 2026 die führenden VPN-Anbieter getestet und NordVPN lieferte durchgehend die beste Mischung aus Geschwindigkeit, Datenschutz und geprüfter No-Log-Policy.
| Funktion | NordVPN | ExpressVPN | Surfshark |
|---|---|---|---|
| Preis/Monat | $3.39/mo | $6.67/mo | $2.49/mo |
| Server | 6,400+ | 3,000+ | 3,200+ |
| Protokoll | NordLynx | Lightway | WireGuard |
| Geprüft ohne Logs | Ja | Ja | Ja |
| Kill Switch | Ja | Ja | Ja |
| Geräte | 10 | 8 | в€ћ |
| Split-Tunneling | Ja | Ja | Ja |
Dies ist ein Affiliate-Link. Wenn Sie sich über diesen Link anmelden, erhalten wir möglicherweise eine Provision ohne zusätzliche Kosten für Sie — das hilft, diese Seite kostenlos zu betreiben.