Ein Passwort allein kann gestohlen, erraten oder durch ein Datenleck bekannt werden. Mit Zwei-Faktor-Authentifizierung, kurz 2FA, reicht das nicht mehr. Wer sich anmelden will, braucht zusätzlich etwas, das nur du hast, meist dein Smartphone. Genau deshalb ist ein defektes Handy hier ein Thema, auf das du vorbereitet sein solltest.
Methoden im Vergleich
| Methode | Sicherheit | Hinweis |
|---|---|---|
| SMS-Code | Grundschutz | Abhängig von SIM und Mobilfunk |
| Authenticator-App | Gut | Codes liegen auf dem Gerät, Übertragung beim Handywechsel nötig |
| Push-Bestätigung | Gut | Etwa bei Apple, Google, Microsoft |
| Passkey | Sehr gut | Moderner Ersatz für Passwörter |
| Sicherheitsschlüssel | Sehr gut | Kleiner USB- oder NFC-Stick |
Wenn das Handy kaputt ist
Fällt das Handy aus, auf dem deine zweiten Faktoren liegen, wird es schnell schwierig. Codes aus einer Authenticator-App sind nur auf diesem Gerät gespeichert, wenn die App keine Cloud-Synchronisierung nutzt. Bei Apple bekommst du Codes auf andere vertrauenswürdige Geräte oder per SMS auf deine hinterlegte Nummer. Deshalb lohnt es sich, vorher Vorkehrungen zu treffen.
- Wiederherstellungscodes sichern. Fast alle Dienste geben beim Einrichten Notfallcodes aus. Drucke sie aus oder speichere sie sicher an einem anderen Ort.
- Zweites Gerät hinterlegen. Ein Tablet, ein zweites Handy oder eine zusätzliche Telefonnummer.
- Authenticator mit Backup. Viele Apps bieten verschlüsselte Sicherung oder Übertragung an.
- Vor dem Handywechsel übertragen. Codes umziehen, bevor das alte Gerät zurückgesetzt wird.
2FA und Reparatur
Musst du dein Handy zur Reparatur abgeben, denke an Konten, die du in der Zeit brauchst, etwa Online-Banking oder Arbeit. Bei den meisten Reparaturen wie Display- oder Akkutausch bleiben alle Daten und damit auch deine Authenticator-Codes erhalten. Bei Platinenreparaturen und Wasserschäden ist ein Backup deiner 2FA-Codes besonders wichtig. Gib Codes, die du per SMS bekommst, niemals an Dritte weiter, auch nicht an eine Werkstatt.
So richtest du 2FA ein
Die Einrichtung findest du meist in den Sicherheitseinstellungen eines Kontos, oft unter Begriffen wie „Bestätigung in zwei Schritten“ oder „Anmeldung in zwei Schritten“. Wähle als Methode bevorzugt eine Authenticator-App oder Passkeys. Speichere die angezeigten Wiederherstellungscodes sofort an einem sicheren Ort, etwa ausgedruckt zu Hause oder in einem Passwortmanager.
Fang mit den wichtigsten Konten an: deine E-Mail-Adresse, weil sich darüber andere Passwörter zurücksetzen lassen, dann Cloud-Dienste wie iCloud oder Google, danach Banking, Online-Shops und soziale Netzwerke.
Das Prinzip: Wissen, Besitz und Merkmal
Zwei-Faktor-Authentifizierung beruht auf einer einfachen Idee: Für eine Anmeldung reicht ein einzelnes Geheimnis nicht aus. Du musst zwei unterschiedliche Nachweise erbringen. Diese Nachweise stammen aus drei Kategorien: etwas, das du weißt, etwas, das du besitzt, und etwas, das du bist.
| Kategorie | Beispiele |
|---|---|
| Wissen | Passwort, PIN, Sicherheitsfrage |
| Besitz | Smartphone, Sicherheitsschlüssel, Bankkarte |
| Merkmal | Fingerabdruck, Gesicht |
Zwei Nachweise aus derselben Kategorie zählen nicht als echte Zwei-Faktor-Authentifizierung. Zwei Passwörter hintereinander zum Beispiel sind nur ein Faktor. Erst die Kombination aus Passwort und Smartphone oder Passwort und Fingerabdruck macht ein Konto deutlich sicherer. Selbst wenn ein Angreifer dein Passwort kennt, fehlt ihm dann noch der zweite Faktor.
Die Idee ist alt. Beim Geldautomaten brauchst du seit Jahrzehnten zwei Faktoren: die Karte, die du besitzt, und die PIN, die du weißt. Online-Dienste übertragen dieses Prinzip auf deine Konten.
Wie Codes aus Authenticator-Apps entstehen
Authenticator-Apps wie Google Authenticator, Microsoft Authenticator oder die Passwort-App auf dem iPhone erzeugen alle 30 Sekunden einen neuen sechsstelligen Code. Dafür brauchen sie keine Internetverbindung. Beim Einrichten scannst du einen QR-Code, der ein geheimes Schlüsselwort enthält. Dieses wird auf deinem Gerät gespeichert.
Aus diesem Geheimnis und der aktuellen Uhrzeit berechnen App und Server unabhängig voneinander denselben Code. Stimmen beide überein, ist die Anmeldung gültig. Weil der Code nach kurzer Zeit verfällt, nützt er einem Angreifer kaum etwas, selbst wenn er ihn mitlesen könnte.
Wichtig ist: Das Geheimnis liegt auf deinem Gerät. Geht das Gerät verloren oder wird es zurückgesetzt, sind auch die Codes weg, sofern die App keine Sicherung anbietet. Viele Authenticator-Apps können ihre Daten inzwischen verschlüsselt in der Cloud sichern. Diese Funktion solltest du aktivieren.
Warum SMS-Codes die schwächste Methode sind
SMS-Codes sind weit verbreitet und einfach zu nutzen. Sie sind besser als gar keine Zwei-Faktor-Authentifizierung, haben aber Schwächen. Bei einem sogenannten SIM-Swapping überzeugen Betrüger einen Mobilfunkanbieter, deine Rufnummer auf eine neue SIM-Karte zu übertragen. Danach erhalten sie deine SMS-Codes.
Auch Phishing-Seiten können SMS-Codes abfangen, indem sie dich auffordern, den Code auf einer gefälschten Seite einzugeben. Authenticator-Apps sind gegen SIM-Swapping geschützt, aber nicht gegen Phishing. Den besten Schutz bieten Passkeys und Sicherheitsschlüssel, weil sie nur auf der echten Website funktionieren.
| Methode | Schutz vor SIM-Swapping | Schutz vor Phishing |
|---|---|---|
| SMS-Code | Nein | Nein |
| Authenticator-App | Ja | Nein |
| Push-Bestätigung | Ja | Teilweise |
| Passkey oder Sicherheitsschlüssel | Ja | Ja |
Push-Bestätigungen, bei denen du eine Anmeldung in einer App mit einem Tippen bestätigst, sind bequem. Angreifer versuchen aber manchmal, dich mit vielen Anfragen hintereinander zu einem versehentlichen Bestätigen zu bringen. Bestätige deshalb nur Anmeldungen, die du gerade selbst ausgelöst hast.
Passkeys: Die nächste Stufe
Passkeys ersetzen das Passwort ganz. Statt ein Passwort einzugeben, bestätigst du die Anmeldung mit Fingerabdruck, Gesicht oder der Geräte-PIN. Im Hintergrund nutzt dein Gerät ein Schlüsselpaar. Der geheime Teil bleibt auf deinem Gerät, die Website kennt nur den öffentlichen Teil.
Weil ein Passkey fest an die echte Website gebunden ist, funktioniert er auf gefälschten Seiten nicht. Phishing läuft damit ins Leere. Passkeys werden über iCloud-Schlüsselbund oder Google Passwortmanager zwischen deinen Geräten synchronisiert, sodass sie auch nach einem Gerätewechsel verfügbar sind.
Tipp
Wenn ein Dienst Passkeys anbietet, lohnt sich die Umstellung. Sie sind bequemer als Passwörter und gleichzeitig sicherer.
Zwei-Faktor beim Online-Banking
Beim Online-Banking ist Zwei-Faktor-Authentifizierung in der EU seit Jahren Pflicht. Die Zahlungsdiensterichtlinie schreibt eine starke Kundenauthentifizierung vor. Deshalb bestätigst du Überweisungen und Anmeldungen meist in einer eigenen App deiner Bank oder mit einem TAN-Generator.
Für die Reparatur deines Smartphones ist das wichtig. Ist die Banking-App an dein Gerät gebunden, musst du sie nach einem Gerätewechsel oder einer Wiederherstellung oft neu aktivieren. Dafür schicken viele Banken einen Brief mit einem Aktivierungscode. Plane das ein, bevor du dein Gerät zurücksetzt oder ein neues einrichtest.
Vorsorge für den Notfall
- Wiederherstellungscodes sichern. Bei der Einrichtung angezeigte Codes ausdrucken oder sicher speichern.
- Zweites Gerät hinterlegen. Ein Tablet oder einen Computer als vertrauenswürdiges Gerät nutzen.
- Weitere Telefonnummer angeben. Etwa die eines Familienmitglieds.
- Authenticator sichern. Cloud-Sicherung in der App aktivieren.
- Wiederherstellungskontakt. Bei Apple eine vertraute Person als Kontakt hinterlegen.
Diese Vorbereitung dauert nur wenige Minuten, kann dir aber viel Ärger ersparen. Ohne Zugang zum zweiten Faktor kann die Wiederherstellung eines Kontos Tage dauern oder gar nicht möglich sein.
Zwei-Faktor beim Apple-Account
Bei Apple ist die Zwei-Faktor-Authentifizierung für die meisten Accounts fest aktiviert. Meldest du dich auf einem neuen Gerät an, erscheint auf deinen anderen Apple-Geräten ein Bestätigungscode. Alternativ wird ein Code per SMS oder Anruf an deine vertrauenswürdige Telefonnummer gesendet.
Problematisch wird es, wenn du nur ein einziges Apple-Gerät hast und genau dieses kaputt ist. Dann bleibt nur die SMS an deine Telefonnummer. Ist auch die SIM-Karte nicht verfügbar, kann die Wiederherstellung des Accounts mehrere Tage dauern. Apple prüft dann deine Identität, bevor der Zugang freigegeben wird.
Deshalb ist es sinnvoll, eine zweite Telefonnummer zu hinterlegen und einen Wiederherstellungskontakt einzurichten. Wer besonders sicher sein möchte, kann zusätzlich Sicherheitsschlüssel als zweiten Faktor verwenden.
Was du vor einer Reparatur beachten solltest
Bevor du dein Smartphone zur Reparatur gibst, prüfe, ob du auch ohne das Gerät an deine wichtigen Konten kommst. Besonders bei Reparaturen, bei denen das Gerät zurückgesetzt werden könnte, ist das wichtig. Dazu gehören Platinenreparaturen und Arbeiten nach schweren Wasserschäden.
Notiere dir, welche Dienste den zweiten Faktor über das Smartphone abfragen. Sichere die Wiederherstellungscodes und prüfe, ob deine Authenticator-App eine Cloud-Sicherung hat. Wenn die Banking-App an das Gerät gebunden ist, frag deine Bank, wie die Neuaktivierung funktioniert.
Wichtig
Gib bei einer Reparatur niemals deine Passwörter oder Zwei-Faktor-Codes an die Werkstatt weiter. Eine seriöse Werkstatt braucht sie nicht.
Zusammengefasst ist die Zwei-Faktor-Authentifizierung einer der wirksamsten Schutzmechanismen für deine Konten. Sie macht gestohlene Passwörter weitgehend wertlos. Damit sie dich nicht selbst aussperrt, wenn dein Smartphone kaputtgeht, solltest du Wiederherstellungscodes sichern und mehr als einen Weg für den zweiten Faktor einrichten.
Nimm dir dafür einmal eine ruhige halbe Stunde und geh deine wichtigsten Konten durch: E-Mail, Apple- oder Google-Account, Banking, soziale Netzwerke und Messenger. Prüfe bei jedem, welcher zweite Faktor aktiv ist und wie du im Notfall wieder hineinkommst.
Häufige Fragen
Ist 2FA kompliziert?
Nein. Nach der Einrichtung bestätigst du meist nur kurz auf dem Handy.
Was ist sicherer, SMS oder App?
Eine App oder Passkeys sind sicherer als SMS.
Was mache ich ohne Zugang zum zweiten Faktor?
Wiederherstellungscodes nutzen oder die Kontowiederherstellung des Dienstes starten.
Sind Passkeys dasselbe wie 2FA?
Passkeys kombinieren Besitz und Entsperrung per Face ID oder Fingerabdruck und gelten als sehr sicher.
Brauche ich 2FA für meinen Apple Account?
Bei neuen Accounts ist sie Pflicht und bereits aktiv.