Zwei-Faktor-Authentisierung richtig nutzen: App, Passkey oder SMS – was wirklich schützt

Das Wichtigste in Kürze

• 2FA verlangt neben dem Passwort einen zweiten Nachweis – etwas, das nur Sie haben (Handy, Sicherheitsschlüssel) oder sind (Fingerabdruck).
• Rangfolge der Sicherheit: Passkey / Hardware-Schlüssel > Authenticator-App > SMS-Code > gar keine 2FA. Auch SMS ist besser als nichts.
• Zuerst absichern: E-Mail-Konto (der Generalschlüssel), Online-Banking, PayPal, Amazon, Apple-/Google-Konto, Social Media.
• Backup-Codes beim Einrichten speichern – ausgedruckt oder im Passwort-Manager. Ohne sie sperren Sie sich beim Handyverlust aus.
• Geben Sie Codes nie an Anrufer weiter und bestätigen Sie keine Anmelde-Anfragen, die Sie nicht selbst ausgelöst haben – das sind die beiden Tricks, mit denen Täter 2FA umgehen.

Was ist Zwei-Faktor-Authentisierung – und warum reicht ein Passwort nicht?

Zwei-Faktor-Authentisierung (2FA, auch Zwei-Faktor-Authentifizierung oder Bestätigung in zwei Schritten) bedeutet: Zum Anmelden brauchen Sie zwei voneinander unabhängige Nachweise. Der erste ist Ihr Passwort (etwas, das Sie wissen). Der zweite ist ein Code oder eine Bestätigung auf einem Gerät, das nur Sie besitzen (etwas, das Sie haben), oder ein biometrisches Merkmal (etwas, das Sie sind).

Passwörter allein sind heute kein ausreichender Schutz mehr:

• Sie landen durch Datenlecks massenhaft im Umlauf – oft mit E-Mail-Adresse zusammen. Prüfen können Sie das bei haveibeenpwned.com.
• Sie werden durch Phishing abgefangen; wie das aussieht, zeigt der Ratgeber Phishing-Mails erkennen.
• Sie werden mehrfach verwendet: Ein geknacktes Forum-Passwort öffnet dann auch das E-Mail-Postfach.

Mit 2FA nützt den Tätern das Passwort allein nichts. Sie bräuchten zusätzlich Ihr Handy, Ihren Sicherheitsschlüssel oder Ihren Fingerabdruck. Das stoppt die allermeisten automatisierten Kontoübernahmen – und macht Identitätsdiebstahl erheblich schwerer.

Die 2FA-Methoden im Vergleich

Empfehlung: Wo Passkeys angeboten werden, nutzen Sie sie. Sonst eine Authenticator-App. SMS nur, wenn nichts anderes geht – und dann mit den Schutzmaßnahmen gegen SIM-Swapping (siehe unten).

Wo Sie 2FA zuerst aktivieren – die Reihenfolge

Nicht alle Konten sind gleich wichtig. Beginnen Sie mit denen, über die Täter alle anderen erreichen oder direkt an Geld kommen:

1. E-Mail-Konto. Über „Passwort vergessen“ lässt sich fast jedes andere Konto zurücksetzen – wer Ihre Mails liest, hat alles. Gmail, Outlook, GMX, Web.de und iCloud bieten alle 2FA oder Passkeys.
2. Online-Banking und Zahlungsdienste. Banking ist meist bereits mit App-Freigabe (pushTAN, photoTAN) abgesichert. Zusätzlich: PayPal, Klarna, Kreditkarten-Portale.
3. Apple-ID und Google-Konto. Sie steuern Gerätesicherung, Passwörter, Fotos, Standort. Hier Passkeys oder mindestens App-Codes plus Backup-Codes.
4. Shopping-Konten mit hinterlegter Zahlungsart: Amazon, eBay, Kleinanzeigen, Otto, Zalando – Täter kaufen sonst auf Ihre Rechnung.
5. Social Media und Messenger: Facebook, Instagram, WhatsApp (zweistufige Bestätigung), Telegram, X, TikTok. Gekaperte Profile werden für WhatsApp-Betrug und Anlagebetrug bei Ihren Kontakten genutzt.
6. Passwort-Manager und Cloud-Speicher.
7. Alles Weitere, was 2FA anbietet – Streaming, Foren, Versicherungen, Krankenkasse, ELSTER.

Eine Übersicht, welcher Dienst welche Methode unterstützt, finden Sie in den Sicherheitseinstellungen des jeweiligen Kontos (meist unter „Sicherheit“, „Anmeldung“ oder „Bestätigung in zwei Schritten“).

Einrichtung in fünf Schritten – ohne sich auszusperren

1. Authenticator-App installieren – aus dem App Store oder Google Play, zum Beispiel Microsoft Authenticator, Google Authenticator, Aegis (Android) oder 2FAS (beide Plattformen). Apps mit verschlüsseltem Backup (Microsoft, 2FAS, Aegis) erleichtern den Handywechsel.
2. Im Konto „Zwei-Faktor-Authentisierung“ aktivieren und „Authenticator-App“ wählen. Der Dienst zeigt einen QR-Code; scannen Sie ihn mit der App. Die App zeigt ab jetzt einen Code, den Sie zur Bestätigung eingeben.
3. Backup-Codes speichern. Der Dienst erzeugt meist 8–10 einmalige Codes. Drucken Sie sie aus und legen Sie sie zu den wichtigen Unterlagen, oder speichern Sie sie im Passwort-Manager – nicht als Foto in der Galerie, nicht in der Notizen-App ohne Schutz.
4. Zweite Methode hinterlegen, falls möglich: eine Rufnummer, einen Passkey auf einem zweiten Gerät oder einen Hardware-Schlüssel. So kommen Sie bei Handyverlust weiter.
5. Testen: Abmelden und neu anmelden, um den Ablauf einmal durchzuspielen – jetzt, nicht erst im Notfall.

Beim Handywechsel

Übertragen Sie die Authenticator-App vor dem Zurücksetzen des alten Geräts (Export-/Übertragungsfunktion der App oder Cloud-Backup). Bei Passkeys sorgt die Synchronisation über Apple- bzw. Google-Konto für die Übernahme. Prüfen Sie nach dem Wechsel jedes wichtige Konto einmal.

Wenn Sie ausgesperrt sind

Backup-Codes verwenden. Sind die weg, hilft nur die Kontowiederherstellung des Anbieters – oft mit Wartezeit und Identitätsnachweis. Deshalb: Schritt 3 nie überspringen.

So umgehen Betrüger 2FA – und wie Sie das verhindern

2FA ist kein Freibrief. Die Täter greifen nicht die Technik an, sondern Sie:

Der Code-Anruf

„Hier ist die Sicherheitsabteilung Ihrer Bank. Wir haben eine verdächtige Überweisung gestoppt. Um sie zu stornieren, nennen Sie mir bitte den Code, den Sie gerade per SMS bekommen haben.“

Der Code, den Sie nennen, gibt genau die Überweisung frei, die die Täter gerade auslösen. Regel: Codes werden nie am Telefon genannt und nie per Nachricht weitergegeben – auch nicht an „die Bank“, „die Polizei“ oder Freunde. Hintergründe im Ratgeber Enkeltrick und Schockanruf.

Phishing in Echtzeit

Eine gefälschte Login-Seite fragt nach Passwort und App-Code und reicht beide sofort an die echte Seite weiter. Schutz: Passkeys (funktionieren nur auf der echten Domain) oder die Gewohnheit, sich ausschließlich über App oder selbst eingetippte Adresse anzumelden.

Bestätigungs-Müdigkeit („MFA Fatigue“)

Täter, die Ihr Passwort haben, lösen nachts Dutzende Push-Anfragen aus, bis Sie genervt „Ja“ tippen. Regel: Nur Anfragen bestätigen, die Sie selbst gerade ausgelöst haben. Unerwartete Anfragen ablehnen und sofort das Passwort ändern – jemand kennt es.

SIM-Swapping und Rufumleitung

Täter lassen sich beim Mobilfunkanbieter eine neue SIM mit Ihrer Nummer ausstellen oder richten per Trick eine Rufumleitung ein – dann landen SMS-Codes bei ihnen. Schutz: Kundenkennwort beim Mobilfunkanbieter setzen, SMS nur als Ersatzmethode nutzen, bei plötzlichem Netzverlust sofort den Anbieter anrufen.

Die „Sitzung stehlen“-Variante

Schadsoftware kopiert nach einer erfolgreichen Anmeldung die Sitzung im Browser – 2FA wurde ja korrekt durchlaufen. Schutz: keine Anhänge und Downloads aus unbekannten Quellen, Betriebssystem und Browser aktuell halten, bei Verdacht alle Sitzungen im Konto abmelden („Von allen Geräten abmelden“).

Sind Sie unsicher, ob eine Anmelde-Warnung oder ein Anruf echt war, hilft der E-Mail-Check bzw. Anruf-Check.

Warnzeichen auf einen Blick

• Jemand fragt am Telefon oder per Nachricht nach einem Code, den Sie gerade erhalten haben
• Push-Anfragen zur Anmeldung erscheinen, obwohl Sie sich nicht anmelden
• Anmelde-Warnung von einem unbekannten Gerät oder Ort
• Ihr Handy verliert plötzlich das Netz – mögliches SIM-Swapping
• Eine Login-Seite fragt Passwort und 2FA-Code auf einer Domain ab, die nicht zum Anbieter gehört
• Ein „Freund“ bittet per Chat um Weiterleitung eines Codes, den er „versehentlich“ an Sie geschickt hat
• Mails oder SMS fordern auf, „2FA zu erneuern“ oder „die Sicherheitsmethode zu bestätigen“ – per Link
• Der Mobilfunkanbieter meldet eine SIM-Bestellung oder Rufumleitung, die Sie nicht beauftragt haben

So schützen Sie sich

• Aktivieren Sie 2FA zuerst für E-Mail, Bank, Zahlungsdienste, Apple-/Google-Konto und Shopping-Konten
• Bevorzugen Sie Passkeys oder Authenticator-Apps; SMS nur als Ersatzmethode
• Speichern Sie Backup-Codes beim Einrichten – ausgedruckt oder im Passwort-Manager
• Nennen Sie Codes niemals am Telefon und leiten Sie sie nie weiter – egal, wer fragt
• Bestätigen Sie nur Anmelde-Anfragen, die Sie selbst gerade ausgelöst haben
• Setzen Sie ein Kundenkennwort beim Mobilfunkanbieter gegen SIM-Swapping
• Übertragen Sie die Authenticator-App vor jedem Handywechsel und testen Sie danach die wichtigsten Konten
• Nutzen Sie für jeden Dienst ein eigenes Passwort – 2FA ersetzt keine guten Passwörter, sie ergänzt sie

Betroffen? Das sollten Sie jetzt tun

1. Unerwartete Push-Anfrage abgelehnt oder Code erfragt? Sofort das Passwort des betroffenen Kontos ändern
2. Bei genanntem Code: Bank anrufen, Online-Banking sperren lassen, Umsätze prüfen, Anzeige erstatten
3. Bei Netzverlust ohne Grund: Mobilfunkanbieter anrufen und SIM-Swapping ausschließen lassen
4. Im Konto alle aktiven Sitzungen beenden („Von allen Geräten abmelden“) und 2FA neu einrichten
5. Wiederherstellungsadresse, -nummer und hinterlegte Geräte auf fremde Einträge prüfen
6. Beweise sichern (Screenshots der Anfragen, Anrufprotokoll) und bei Schaden Anzeige erstatten

Passende Prüf-Seiten

• Passwort-Mails und Sicherheitswarnungen prüfen

Verwandte Ratgeber

• Phishing-Mails erkennen: Merkmale, Beispiele und was nach dem Klick zu tun ist – Phishing-Mails sehen heute aus wie echte Nachrichten Ihrer Bank, von PayPal oder DHL. Dieser Ratgeber zeigt die Merkmale, an denen Sie sie trotzdem erkennen, was Sie nach einem Klick tun müssen und wo Sie Phishing melden.
• Identitätsdiebstahl: Anzeichen erkennen, sofort handeln, Daten schützen – Beim Identitätsdiebstahl bestellen, schließen und eröffnen Betrüger in Ihrem Namen – Sie merken es oft erst durch Mahnungen oder Inkasso. Dieser Ratgeber zeigt die Anzeichen, den 24-Stunden-Plan nach der Entdeckung und wie Sie Ausweisdaten, E-Mail-Konto und Bonität dauerhaft schützen.
• WhatsApp-Betrug: „Hallo Mama, ich habe eine neue Nummer“ und andere Maschen – Die Nachricht kommt von einer unbekannten Nummer, klingt aber wie das eigene Kind: „Hallo Mama, mein Handy ist kaputt, das ist meine neue Nummer.“ Wenige Nachrichten später geht es um eine dringende Überweisung. So erkennen Sie den WhatsApp-Betrug – und die Varianten, die Ihr Konto übernehmen wollen.
• Beweise sichern nach Betrug: Screenshots, E-Mail-Header, Chats und Anrufe richtig dokumentieren – Ohne Beweise kann die Polizei kaum ermitteln, und Bank oder PayPal lehnen Erstattungen ab. Dieser Ratgeber zeigt Schritt für Schritt, wie Sie E-Mails, SMS, Chats, Anrufe, Websites und Zahlungen so dokumentieren, dass sie vor Bank, Plattform und Gericht Bestand haben.

Aktuelle Warnungen zum Thema

• Sparkasse: Betrug erkennen – Phishing-Mails & Fake-SMS prüfen – Phishing-Mail oder Fake-SMS erhalten? Erfahren Sie, wie Sie Sparkasse-Betrug erkennen, welche Warnzeichen es gibt und wie Sie Ihr Konto sofort schützen.
• Job-Scamming: Wenn die Traumstelle zum Albtraum wird – Vorsicht vor Job-Scamming: Betrüger nutzen gefälschte Stellenanzeigen für Identitätsdiebstahl und Geldwäsche. So schützen Sie sich vor Fake-Jobs.
• Kleinanzeigen Betrug - jetzt effektiv vorbeugen! – Schützen Sie sich vor Kleinanzeigen-Betrug. Erfahren Sie alles über Dreiecksbetrug, Phishing und Kurier-Tricks. Mit Tipps zum effektiven Vorbeugen.
• DKB Konto gesperrt – Drohung per Mail: Betrug oder legitim? – DKB Konto gesperrt? Achtung vor gefälschten E-Mails! Erfahren Sie, wie Sie Phishing erkennen, sich schützen und was im Ernstfall zu tun ist.
• Alle aktuellen Betrugswarnungen

Häufige Fragen

Was ist Zwei-Faktor-Authentisierung?

Ein Anmeldeverfahren mit zwei unabhängigen Nachweisen: Ihrem Passwort und einem zweiten Faktor wie einem App-Code, einer Push-Bestätigung, einem Passkey oder einem Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr, um sich anzumelden.

Welche 2FA-Methode ist am sichersten?

Passkeys und Hardware-Sicherheitsschlüssel, weil sie nur auf der echten Website funktionieren und keinen Code liefern, der abgefangen werden könnte. Danach folgen Authenticator-Apps. SMS-Codes sind die schwächste, aber immer noch deutlich bessere Option als gar keine 2FA.

Ist 2FA per SMS unsicher?

Sie ist angreifbar durch SIM-Swapping, Rufumleitungen und Anrufer, die den Code erfragen. Trotzdem stoppt sie automatisierte Kontoübernahmen mit gestohlenen Passwörtern. Nutzen Sie SMS als Ersatzmethode und setzen Sie ein Kundenkennwort beim Mobilfunkanbieter.

Was passiert, wenn ich mein Handy verliere?

Mit gespeicherten Backup-Codes melden Sie sich an und richten 2FA auf dem neuen Gerät ein. Ohne Backup-Codes bleibt nur die Kontowiederherstellung des Anbieters, die Tage dauern kann. Speichern Sie die Codes deshalb direkt beim Einrichten und hinterlegen Sie eine zweite Methode.

Kann 2FA umgangen werden?

Nicht die Technik, aber der Mensch: Täter erfragen Codes am Telefon, bombardieren mit Push-Anfragen, bauen Login-Seiten, die Codes in Echtzeit weiterleiten, oder übernehmen die SIM-Karte. Schutz bieten Passkeys, die Regel „Codes nie weitergeben“ und das Ablehnen unerwarteter Anfragen.

Was ist ein Passkey?

Ein Anmeldeverfahren ohne Passwort: Ein kryptografischer Schlüssel liegt auf Ihrem Gerät und wird per Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigegeben. Passkeys funktionieren nur auf der echten Website des Anbieters und lassen sich deshalb nicht per Phishing stehlen.

Quellen und weiterführende Informationen

• Zwei-Faktor-Authentisierung – mehr Sicherheit für Ihre Konten – Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Identitätsdiebstahl – Gefahren im Internet – Polizeiliche Kriminalprävention der Länder und des Bundes
• Have I Been Pwned – Passwörter und E-Mail-Adressen auf Datenlecks prüfen – Troy Hunt
• Deutschland sicher im Netz – Tipps für Verbraucher – Deutschland sicher im Netz e. V.