Authenticator-App, SMS oder Passkeys: Welche 2FA-Methode solltest du nutzen?

Zwei-Faktor-Authentifizierung ist nicht gleich Zwei-Faktor-Authentifizierung. Eine SMS mit sechs Ziffern, ein Code in einer Authenticator-App, eine „Warst du das?“-Abfrage und ein Passkey zählen alle als zweiter Faktor, schützen dich aber vor ganz unterschiedlichen Angriffen. Hier erfährst du, wie die gängigen Methoden im Vergleich abschneiden und welche für welches Konto sinnvoll ist.

Die Angriffe, auf die es ankommt

Die meisten Kontoübernahmen beginnen auf eine von drei Arten:

• Wiederverwendete Passwörter. Ein Passwort, das bei einer Website geleakt wurde, wird bei allen anderen Websites ausprobiert. Dagegen hilft schon jeder zweite Faktor.
• Phishing. Eine gefälschte Anmeldeseite fängt dein Passwort ab – und immer häufiger auch deinen Einmalcode – und spielt beides innerhalb von Sekunden auf der echten Website ein.
• SIM-Swapping. Ein Angreifer überredet deinen Mobilfunkanbieter, deine Nummer auf eine SIM-Karte zu übertragen, die er kontrolliert. Ab dann gehen deine SMS und Anrufe an ihn.

Ein guter zweiter Faktor sollte auch den letzten beiden standhalten. Und genau hier unterscheiden sich die Methoden.

SMS-Codes

Der Dienst schickt dir einen Code per SMS, und du gibst ihn ein.

• Vorteile: funktioniert auf jedem Handy, nichts zu installieren, und bleibt problemlos erhalten, wenn du ein neues Handy mit derselben Nummer bekommst.
• Nachteile: anfällig für SIM-Swapping und Rufnummernmitnahme, Codes können in der Mitteilungsvorschau auf dem Sperrbildschirm auftauchen, und sie lassen sich genauso leicht abphishen wie ein Passwort. Außerdem kann die Zustellung im Ausland oder ohne Empfang scheitern.

Die Richtlinien des NIST zur digitalen Identität stufen SMS und Sprachanrufe wegen dieser Risiken als eingeschränkten Authentifikator ein (SP 800-63B). Trotzdem ist SMS deutlich besser als ein Passwort allein, und bei manchen Banken ist es die einzige Option. Wenn du darauf angewiesen bist, frag deinen Mobilfunkanbieter, ob du dein Kundenkonto mit einer PIN oder einer Sperre gegen Rufnummernmitnahme schützen kannst.

E-Mail-Codes

Ein Code oder ein Magic Link, der in deinem Postfach landet.

• Vorteile: universell und vertraut.
• Nachteile: nur so sicher wie dein E-Mail-Konto und als zweiter Faktor für genau dieses E-Mail-Konto nutzlos. Wer in dein Postfach kommt, bekommt die Codes für jede Website, die darauf setzt.

Laut denselben NIST-Richtlinien darf E-Mail nicht für die Out-of-Band-Authentifizierung genutzt werden, weil sie nicht beweist, dass du ein bestimmtes Gerät besitzt. Betrachte E-Mail-Codes eher als Wiederherstellungskanal denn als echte 2FA.

Authenticator-Apps (TOTP)

Eine App auf deinem Handy erzeugt alle 30 Sekunden einen neuen Code aus einem Geheimnis, das sie mit dem Dienst teilt und das meist als QR-Code übermittelt wird. Der Algorithmus ist der offene TOTP-Standard, deshalb funktioniert eine einzige App mit Tausenden Diensten. Falls du noch keine eingerichtet hast, führt dich unsere Schritt-für-Schritt-Anleitung zur 2FA-Einrichtung durch den Prozess.

• Vorteile: nicht von SIM-Swapping betroffen, funktioniert offline, kostenlos und fast überall unterstützt, wo es 2FA gibt.
• Nachteile: Eine überzeugend gefälschte Website kann trotzdem nach dem Code fragen und ihn in Echtzeit weiterleiten, und wenn die Geheimnisse nur auf einem Handy liegen, musst du bei dessen Verlust die Kontowiederherstellung durchlaufen.

Eine App wie Ring speichert die Geheimnisse verschlüsselt auf deinem iPhone und erzeugt Codes ohne Netzverbindung. Es gibt also nichts, was unterwegs abgefangen werden könnte, und nichts, was an deine Telefonnummer gebunden ist. Immun gegen Phishing macht dich das allerdings nicht: Prüf die Adressleiste, bevor du einen Code eingibst.

Push-Bestätigungen

Statt eines Codes schickt der Dienst eine Abfrage an eine App oder ein angemeldetes Gerät, und du tippst auf „Bestätigen“.

• Vorteile: sehr bequem, und gute Umsetzungen zeigen an, woher der Anmeldeversuch kommt.
• Nachteile: Jedes Push-System funktioniert meist nur für die Konten des eigenen Anbieters, und Angreifer missbrauchen es per „MFA-Fatigue“: Sie lösen eine Abfrage nach der anderen aus, bis jemand auf „Bestätigen“ tippt, nur damit es endlich aufhört.

Number Matching, bei dem du eine auf dem Anmeldebildschirm angezeigte Zahl in die Abfrage eingibst, erschwert blindes Bestätigen deutlich. So oder so gilt eine einfache Regel: Bestätige nie eine Abfrage, die du nicht selbst ausgelöst hast.

Hardware-Sicherheitsschlüssel

Ein kleiner USB- oder NFC-Schlüssel, den du einsteckst oder an dein Handy hältst. Moderne Schlüssel nutzen die Standards FIDO2 und WebAuthn.

• Vorteile: phishingresistent. Der Schlüssel signiert eine Challenge, die an die Domain der echten Website gebunden ist, sodass eine gefälschte Website nichts Wiederverwendbares bekommt. Nichts zu tippen, kein Akku, kein Netz.
• Nachteile: kostet Geld, du brauchst mindestens zwei, damit einer als Ersatz dient, und nicht jeder Dienst unterstützt sie. Verlierst du beide, bleibt nur die Kontowiederherstellung.

Die CISA nennt in ihren Empfehlungen FIDO/WebAuthn als die breit verfügbare Form phishingresistenter MFA und fordert Organisationen auf, darauf umzusteigen (CISA-Factsheet).

Passkeys

Passkeys basieren auf denselben FIDO-Standards wie Sicherheitsschlüssel, aber die Zugangsdaten liegen auf deinem Handy oder in deinem Passwort-Manager und werden mit Face ID, Touch ID oder dem Gerätecode entsperrt. Auf vielen Websites ersetzen sie das Passwort komplett, statt einen zweiten Schritt hinzuzufügen (FIDO Alliance).

• Vorteile: phishingresistent wie ein Hardware-Schlüssel, nichts zu merken oder einzutippen, und synchronisierte Passkeys ziehen über deinen Passwort-Manager mit auf ein neues Gerät um.
• Nachteile: Die Unterstützung ist je nach Dienst noch lückenhaft, deine Sicherheit hängt an dem Konto, über das sie synchronisiert werden, und die Nutzung über verschiedene Plattformen und Browser hinweg kann verwirrend sein.

Wenn eine Website Passkeys anbietet und du einen Passwort-Manager nutzt, dem du vertraust, sind sie heute die stärkste bequeme Option.

Welche Methode für welches Konto?

Nutze die stärkste Methode, die ein Dienst anbietet – aber denk daran: Das Perfekte ist der Feind des Guten.

• Haupt-E-Mail, Passwort-Manager, Apple Account oder Google-Konto. Darüber lässt sich alles andere zurücksetzen. Nutze Passkeys oder Sicherheitsschlüssel, wo sie unterstützt werden, und halte Wiederherstellungscodes oder eine zweite Methode als Backup bereit.
• Arbeitskonten. Halte dich an die Vorgaben deines Arbeitgebers. Viele Organisationen verlangen inzwischen Sicherheitsschlüssel oder Passkeys.
• Kryptobörsen und Broker. Eine Authenticator-App oder ein Sicherheitsschlüssel. Verzichte auf SMS, wo immer du die Wahl hast.
• Banken. Viele bieten nur SMS oder ihre eigene App an. Nutze die App der Bank, falls es eine gibt, und schütze deine Telefonnummer bei deinem Mobilfunkanbieter.
• Soziale Netzwerke, Entwicklertools, Cloud-Speicher, Onlineshopping. Hier ist eine Authenticator-App genau richtig.
• Alles, was nur SMS anbietet. Trotzdem aktivieren. Das stoppt immer noch Angriffe mit wiederverwendeten Passwörtern.

Warum eine Authenticator-App der praktische Standard ist

Passkeys und Hardware-Schlüssel sind besser gegen Phishing gewappnet, und du solltest sie für deine wichtigsten Konten nutzen, wo immer sie verfügbar sind. Die Methode, die du aber fast überall kostenlos aktivieren kannst, ohne Hardware zu kaufen oder dich an eine Plattform zu binden, ist nach wie vor TOTP. Sie beseitigt das SIM-Swapping-Risiko von SMS, hängt nicht an deinem Postfach und funktioniert offline.

Der Haken, auf den du dich vorbereiten solltest, ist der Verlust des Geräts. Speichere Wiederherstellungscodes für jedes Konto, füge bei den wichtigen eine zweite Methode hinzu und lies, was du tun kannst, wenn du dein Handy mit deinen 2FA-Codes verlierst, bevor du es jemals brauchst. Keine Methode macht ein Konto unknackbar, aber ein gut gewählter zweiter Faktor macht deins zu einem deutlich schwierigeren Ziel als das nächstbeste.