Zwei-Faktor-Authentifizierung einfach erklärt
Zwei-Faktor-Authentifizierung (2FA) verlangt beim Login zwei Nachweise. Sie schützt Konten auch dann, wenn das Passwort gestohlen wurde.
Die Zwei-Faktor-Authentifizierung (2FA, auch „zweistufige Verifizierung“) ist ein Verfahren, das beim Anmelden zwei verschiedene Nachweise verlangt: etwas, das du weißt (Passwort), und etwas, das du hast oder bist (Code auf dem Handy, Sicherheitsschlüssel, Fingerabdruck). Erst wenn beide passen, ist der Login erlaubt.
Warum ist das wichtig?
Weil Passwörter allein nicht mehr sicher sind. Sie werden bei Datenlecks gestohlen, per Phishing abgefischt oder schlicht wiederverwendet. Der zweite Faktor ist der Rettungsanker: Selbst wenn ein Angreifer dein Passwort kennt, kommt er ohne den zweiten Nachweis nicht in dein Konto. Das BSI empfiehlt 2FA für alle wichtigen Konten. Für einen normalen Menschen ist es der größte einzelne Sicherheitsgewinn, den er mit fünf Minuten Aufwand erreichen kann.
Einfaches Beispiel
Du meldest dich bei deinem E-Mail-Konto an und gibst das Passwort ein. Sofort erscheint auf deinem Handy eine Abfrage: „Ist das wirklich du?“ Du bestätigst mit Fingerabdruck. Fertig. Hätte ein Betrüger dein Passwort aus einem Datenleck, käme er an dieser Stelle nicht weiter, weil der zweite Faktor an dein Gerät gebunden ist.
Darauf solltest du achten
- Die Varianten unterscheiden: SMS-Codes sind besser als nichts, aber abfangbar. Apps, die Codes erzeugen (Authenticator-Apps), und Sicherheitsschlüssel sind deutlich stärker. Biometrie (Fingerabdruck, Gesicht) ist auf modernen Geräten ebenfalls sicher.
- Backup-Codes sichern: Fast jeder Dienst bietet einmalige Notfallcodes. Bewahre sie auf. Sonst sperrst du dich bei Geräteverlust selbst aus.
- Nicht überall nötig: Für kritische Konten (E-Mail, Banking, Cloud, Handyvertrag) ist 2FA Pflicht. Für ein Forum reicht ein gutes Passwort.
- 2FA ist nicht Passkey: Passkeys sind die Weiterentwicklung. Sie ersetzen das Passwort komplett. Wo Passkeys verfügbar sind, sind sie die bessere Wahl.
Häufige Missverständnisse
„2FA ist etwas für Technik-Fans.“ Es ist der größte einzelne Sicherheitsgewinn, den du in fünf Minuten erreichen kannst. Das E-Mail-Konto, die Bank und der Cloud-Speicher: Überall reicht eine Einstellung.
„SMS-Codes sind genauso sicher wie Apps.“ SMS-Codes sind besser als nichts, aber abfangbar. Authenticator-Apps und Sicherheitsschlüssel sind deutlich stärker.
„Mit 2FA sperre ich mich irgendwann selbst aus.“ Fast jeder Dienst bietet einmalige Backup-Codes. Wer sie aufbewahrt, kommt auch mit einem neuen Handy wieder ins Konto.
„2FA macht Passwörter überflüssig.“ Nein. Das Passwort bleibt der erste Faktor. Passkeys sind die Weiterentwicklung, sie ersetzen das Passwort komplett.
„Die meisten nutzen 2FA längst.“ Nur 34 Prozent der Bevölkerung nutzen eine Zwei-Faktor-Authentisierung, 2023 waren es noch 42 Prozent, so der Cybersicherheitsmonitor von BSI und Polizei.
Abgrenzung zu ähnlichen Begriffen
Die Zwei-Faktor-Authentifizierung kombiniert zwei Nachweise: etwas, das du weißt, und etwas, das du hast oder bist. Ein Passkey ersetzt das Passwort und erledigt beide Nachweise in einem Schritt. Ein Passwort-Manager erzeugt und verwahrt starke Passwörter, er ersetzt keinen zweiten Faktor. Ein Sicherheitsschlüssel ist ein physisches Gerät, das viele Dienste unterstützen. Für den Alltag reicht meist das Handy.
So richtest du 2FA ein
Öffne die Sicherheitseinstellungen des Dienstes und wähle „Zwei-Faktor-Authentifizierung“. Installiere eine Authenticator-App, falls noch keine vorhanden ist. Scanne den angezeigten Code und trage die Prüfzahl ein. Danach zeigt dir der Dienst Backup-Codes, die du sicher aufbewahrst. Wiederhole das für E-Mail, Banking und Cloud. Fünf Minuten pro Konto, einmal gemacht, dauerhaft aktiv.
Was das für dich bedeutet
Beginne beim E-Mail-Konto. Über „Passwort vergessen“ erreichst du damit Banken, Shops und soziale Netzwerke. Ist es mit 2FA gesichert, ist der wichtigste Hebel umgelegt. Danach folgen die zentralen Konten: Online-Banking, Handyvertrag, Krankenkassen-Portal und Cloud-Speicher. Das BSI empfiehlt starke Passwörter nach einer einfachen Formel: 8 bis 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, kombiniert mit dem zweiten Faktor, oder 20 bis 25 Zeichen, oder eine Passphrase aus fünf bis sechs Wörtern. Das regelmäßige Passwort-Ändern ist nach Einschätzung des BSI überholt. 33 Prozent der Internetnutzer verwenden dasselbe Passwort für mehrere Dienste. Für sie ist 2FA die schnellste Absicherung.
Ausführlich im Magazin
Wo 2FA in den 30-Minuten-Check gehört, erkläre ich im Artikel „Persönliche Daten schützen: Der realistische 30-Minuten-Check“.
Zum Nachschlagen
Quellen
- Bundesamt für Sicherheit in der Informationstechnik: 2FA · BSI · 20. November 2025