Eine E-Mail kommt an: Jemand hat sich bei Ihrem Konto angemeldet, von einem Gerät, das Ihnen nie gehört hat, in einer Stadt, in der Sie nie waren. War das Passwort das einzige Schloss, liest diese Person jetzt Ihre Nachrichten. Mit eingeschalteter Zwei-Faktor-Authentifizierung reicht das Passwort nicht: Der Fremde bräuchte zusätzlich Ihr Smartphone, Ihren Sicherheitsschlüssel oder Ihren Fingerabdruck.
Dieser Beitrag erklärt, was Zwei-Faktor-Authentifizierung (2FA) ist, wie eine Anmeldung mit 2FA abläuft, welche Methoden es gibt und wie sicher jede ist und wo Sie sie bei Google, Apple, Instagram, Facebook und WhatsApp einschalten. Außerdem geht es um Backup-Codes und ein verlorenes Smartphone; zurück in ein Konto kommen Sie nur über die offiziellen Wiederherstellungsschritte der Plattform.
Was ist Zwei-Faktor-Authentifizierung?
Die Zwei-Faktor-Authentifizierung ist ein Anmeldeverfahren, das zwei Nachweise unterschiedlicher Art verlangt, damit ein einziges gestohlenes oder erratenes Geheimnis nicht genügt, um in Ihr Konto zu gelangen. Sicherheitsstandards teilen diese Nachweise in drei Faktoren ein: etwas, das Sie wissen (ein Passwort oder eine PIN), etwas, das Sie besitzen (ein Smartphone oder ein Sicherheitsschlüssel), und etwas, das Sie sind (ein Fingerabdruck oder Ihr Gesicht).
Der Geldautomat ist das Beispiel aus dem Alltag: Er verlangt Ihre Bankkarte, die Sie besitzen, und Ihre PIN, die Sie wissen. Ein Dieb, der die PIN sieht, braucht trotzdem die Karte. Online übernimmt das Passwort die Rolle der PIN, und Ihr Smartphone oder Ihr Sicherheitsschlüssel übernimmt die Rolle der Karte.
Die Nachweise müssen verschiedener Art sein: Ein Passwort plus eine Sicherheitsfrage sind zwei Dinge, die Sie wissen. Das NIST, die US-Behörde für Normen und Technologie, zählt einen Fingerabdruck außerdem nur zusammen mit einem Gerät; seine Richtlinien zur digitalen Identität halten fest, dass ein biometrisches Merkmal für sich allein kein Authentifizierungsmittel ist. Ihr Fingerabdruck entsperrt Ihr Smartphone, und das Smartphone weist der Website nach, dass Sie es sind.
Wie läuft eine Anmeldung mit 2FA ab?
Eine Anmeldung mit 2FA fügt nach dem Passwort einen Schritt hinzu, und die Website prüft beide Antworten, bevor sie Sie hereinlässt:
- Sie geben Benutzernamen und Passwort ein. Das ist der erste Faktor, etwas, das Sie wissen.
- Die Website erkennt, dass 2FA aktiv ist. Statt das Konto zu öffnen, fragt sie nach dem zweiten Nachweis.
- Ihr zweiter Faktor liefert eine einmalige Antwort. Ein Code kommt per SMS, eine App berechnet einen, auf einem bereits angemeldeten Smartphone erscheint eine Abfrage, oder Ihr Gerät antwortet mit einem Passkey.
- Sie geben den Code ein oder bestätigen die Abfrage. Ein Code funktioniert nur einmal und nur kurze Zeit, eine später gefundene Kopie ist also nutzlos.
- Die Website meldet Sie an. Eventuell bietet sie an, sich das Gerät zu merken, wie Google mit Auf diesem Computer nicht mehr fragen, sodass dort beim nächsten Mal das Passwort genügt.
- Ein neues Gerät beginnt wieder bei Schritt 1. Apple zum Beispiel fragt nach einem Code, wenn Sie sich zum ersten Mal auf einem neuen Gerät oder im Web anmelden.
Welche Arten der Zwei-Faktor-Authentifizierung gibt es?
Fünf zweite Faktoren sind verbreitet, und sie unterscheiden sich vor allem darin, wie leicht jemand sie abfangen oder sie Ihnen mit einem Trick entlocken kann:
| Methode | So funktioniert sie | Schwachstelle | Geeignet für |
|---|---|---|---|
| SMS- oder Sprachcode | Ein sechsstelliger Code an Ihre Nummer | SIM-Swapping, gefälschte Anmeldeseiten | Dienste, die nichts anderes anbieten |
| Authenticator-App | Ihr Smartphone berechnet alle 30 Sekunden einen neuen Code | Gefälschte Anmeldeseiten | Die meisten Konten |
| Push-Anfrage | Sie tippen auf einem angemeldeten Smartphone auf „Ja“ | Eine Anfrage bestätigen, die Sie nicht ausgelöst haben | Google, Microsoft und ähnliche Konten |
| Passkey | Ihr Gerät entsperrt einen an die Website gebundenen Schlüssel | Verlust aller Geräte, auf denen er liegt | Jedes Konto, das ihn anbietet |
| Sicherheitsschlüssel | Ein kleiner Schlüssel, den Sie mit Ihrem Gerät verbinden | Verlust ohne Ersatzschlüssel | Arbeitskonten und Konten mit hohem Risiko |
SMS-Codes sind am einfachsten einzurichten und am leichtesten zu stehlen. Google warnt, dass per SMS oder Anruf übermittelte Codes anfällig für telefonnummernbasierte Angriffe sein können, und das NIST führt das Telefonnetz für sie als „eingeschränkten“ Kanal. Trotzdem sind sie weit besser als ein Passwort allein.
Authenticator-Apps erzeugen zeitbasierte Einmalpasswörter (TOTP), festgelegt in RFC 6238. Bei der Einrichtung zeigt die Website einen QR-Code mit einem geheimen Schlüssel; von da an verbinden App und Website diesen Schlüssel jeweils mit der aktuellen Uhrzeit und kommen auf denselben Code, alle 30 Sekunden auf einen neuen. An Ihr Smartphone wird nichts gesendet, deshalb funktioniert die App auch ohne Empfang.
Push-Anfragen erscheinen auf einem Smartphone, das bereits angemeldet ist; Sie prüfen das angezeigte Gerät und den Ort und tippen auf „Ja“ oder „Nein“. Laut Google helfen sie auch gegen SIM-Swapping. Bestätigen Sie nur eine Anmeldung, die Sie gerade eben selbst begonnen haben.
Passkeys und Sicherheitsschlüssel ersetzen den Code durch Kryptografie. Die FIDO Alliance beschreibt einen Passkey als Anmeldedaten auf Basis der FIDO-Standards, die auf Ihrem Smartphone oder Computer gespeichert sind und mit dem Fingerabdruck, dem Gesicht oder der PIN entsperrt werden, die auch das Gerät entsperren. Das Gerät gibt der Website nur einen Nachweis, der für genau diese Website erstellt wird, sodass eine gefälschte Anmeldeseite nichts erhält, was sie wiederverwenden könnte. Ein Passkey vereint zwei Faktoren in einem Schritt, deshalb überspringt Google den separaten zweiten Schritt, wenn Sie einen verwenden; ein Hardware-Sicherheitsschlüssel erledigt dieselbe Aufgabe an Ihrem Schlüsselbund.
2FA, Bestätigung in zwei Schritten oder MFA: Was ist der Unterschied?
Im Alltag meinen alle drei eine zweite Prüfung nach dem Passwort; sie unterscheiden sich darin, was als zweite Prüfung zählt.
- Zwei-Faktor-Authentifizierung (2FA) bedeutet streng genommen zwei verschiedene Faktoren, etwa ein Passwort und ein Smartphone.
- Bestätigung in zwei Schritten (englisch two-step verification) bedeutet zwei Schritte, die nicht unbedingt verschiedene Faktoren sein müssen. Google nennt seine Funktion 2-Faktor-Authentifizierung und setzt „Bestätigung in zwei Schritten“ im selben Satz in Klammern dahinter; WhatsApp spricht von „Verifizierung in zwei Schritten“.
- Multi-Faktor-Authentifizierung (MFA) bedeutet zwei oder mehr Faktoren. 2FA ist ihre häufigste Form, und Arbeitskonten verwenden meist den weiter gefassten Namen.
Wichtiger als der Name ist die Methode dahinter: Ein Passkey hält gefälschten Anmeldeseiten stand, ein Code nicht.
Wie aktivieren Sie die Zwei-Faktor-Authentifizierung?
Sie schalten sie in den Sicherheitseinstellungen jedes Kontos ein; die folgenden Wege sind die, die die Dienste selbst veröffentlichen. Speichern Sie die Backup-Codes, sobald sie angeboten werden.
Google-Konto (Gmail, YouTube)
Öffnen Sie Ihr Google-Konto, wählen Sie Sicherheit und Anmeldung und unter So melden Sie sich in Google an die Option 2-Faktor-Authentifizierung aktivieren; folgen Sie dann den Schritten. Google empfiehlt seine Aufforderungen als zweiten Schritt, wenn Sie sich nicht mit einem Passkey anmelden; auf derselben Seite fügen Sie eine Authenticator-App, einen Sicherheitsschlüssel und Backup-Codes hinzu.
Apple Account (iPhone, iPad, Mac)
Die meisten Apple Accounts nutzen bereits die Zwei-Faktor-Authentifizierung. Öffnen Sie auf einem iPhone oder iPad die Einstellungen (auf einem Mac die Systemeinstellungen), tippen Sie auf Ihren Namen und dann auf Anmeldung & Sicherheit; ist sie ausgeschaltet, aktivieren Sie sie dort. Im Web melden Sie sich bei account.apple.com an und wählen Accountsicherheit erhöhen. Die Hilfeseite von Apple erklärt die sechsstelligen Bestätigungscodes, die auf Ihren vertrauenswürdigen Geräten erscheinen.
Instagram und Facebook (Kontenübersicht)
Beide nutzen die Kontenübersicht von Meta. Öffnen Sie in Instagram die Einstellungen, dann Mehr dazu in der Kontenübersicht > Passwort und Sicherheit > Zweistufige Authentifizierung. In Facebook wählen Sie Ihr Profilbild > Einstellungen und Privatsphäre > Einstellungen > Kontenübersicht > Passwort und Sicherheit > Zweistufige Authentifizierung.
Instagram bietet eine Authentifizierungs-App (die empfohlene Methode), SMS oder WhatsApp an, sobald SMS aktiviert ist; Facebook bietet eine Authentifizierungs-App, SMS oder einen Sicherheitsschlüssel an, bei Meta „Sicherheitsstick“ genannt. Eine Methode schalten Sie über denselben Weg aus; tun Sie das nur, um sie durch eine stärkere zu ersetzen.
Die Verifizierung in zwei Schritten von WhatsApp ergänzt die Telefonnummer, mit der Sie sich registrieren, um ein Passwort, das Sie selbst festlegen. Gehen Sie zu Einstellungen > Konto > Verifizierung in zwei Schritten > Verifizierung in zwei Schritten aktivieren, erstellen Sie das Passwort und fügen Sie eine E-Mail-Adresse hinzu, auf die Sie zugreifen können. WhatsApp ersetzt die alte sechsstellige PIN durch ein vollständiges Passwort, und seit August 2026 kann, wer Android und iPhone nutzt, unter Einstellungen > Konto > Passkeys mehr als einen Passkey hinzufügen.
Was sind Backup-Codes, und was tun, wenn das Smartphone weg ist?
Backup-Codes sind Einmalcodes, die Sie vorab speichern, damit Sie sich auch dann anmelden können, wenn Ihr Smartphone verloren oder kaputt ist. Google gibt einen Satz von 10 achtstelligen Codes aus, jeder einmal verwendbar; Facebook bietet 10 Wiederherstellungscodes an. Drucken Sie sie aus und legen Sie das Blatt zu Ihrem Reisepass, oder speichern Sie sie in einem Passwortmanager, den Sie ohne dieses Smartphone öffnen können; Was ist ein Passwortmanager? erklärt, wie dieser Tresor verschlossen ist.
Ist das Smartphone weg, gehen Sie diese Schritte der Reihe nach durch:
- Nutzen Sie einen anderen Zugang. Ein zweites Smartphone, das beim Konto angemeldet ist, ein Backup-Code, ein Sicherheitsschlüssel oder ein Passkey auf einem anderen Gerät; auf dem Anmeldebildschirm von Google liegen sie hinter Andere Option wählen.
- Versuchen Sie es auf einem vertrauenswürdigen Gerät. Ein Computer, auf dem Sie „Nicht mehr fragen“ angehakt haben, lässt Sie womöglich allein mit dem Passwort hinein.
- Sichern Sie das Konto. Melden Sie das verlorene Smartphone ab, ändern Sie das Passwort und fügen Sie Ihr neues Smartphone hinzu.
- Holen Sie sich Ihre Nummer zurück. Ihr Mobilfunkanbieter kann die Nummer auf eine neue SIM-Karte übertragen, und damit kommen die SMS-Codes zurück.
- Nutzen Sie den offiziellen Wiederherstellungsprozess, wenn nichts anderes hilft. Laut Google kann die Wiederherstellung ohne einen weiteren zweiten Schritt 3 bis 5 Werktage dauern; die Kontowiederherstellung bei Apple kann mehrere Tage oder länger dauern, und der Apple Support kann sie nicht verkürzen.
Ignorieren Sie jeden, der anbietet, ein Konto gegen Gebühr zu entsperren: Google stellt klar, dass es mit keinem Dienst zusammenarbeitet, der vorgibt, Hilfe bei Konten oder Passwörtern zu leisten.
Ist die Zwei-Faktor-Authentifizierung sicher?
Ja: Jede Art von 2FA macht die Übernahme eines Kontos viel schwerer als ein Passwort allein, aber Codes lassen sich trotzdem stehlen, deshalb kommt es auf die Methode an.
SIM-Swapping. Ein Krimineller bringt Ihren Mobilfunkanbieter dazu, Ihre Nummer auf eine SIM-Karte in seinem Besitz zu übertragen, und Ihre SMS-Codes gehen an ihn. Deshalb schränkt das NIST Codes ein, die über das Telefonnetz verschickt werden. Fragen Sie Ihren Anbieter nach einer PIN für Ihr Kundenkonto oder einer Sperre gegen die Übertragung Ihrer Rufnummer.
Phishing. Eine gefälschte Anmeldeseite kann neben dem Passwort auch Ihren Code abfragen und beide sofort verwenden, und ein Anrufer kann Sie dazu bringen, einen Code vorzulesen. Codes können eine echte Website nicht von einer Kopie unterscheiden; Passkeys und Sicherheitsschlüssel können das. Was ist Phishing? zeigt, wie Sie solche Seiten und Anrufe erkennen.
Nach der Anmeldung. 2FA schützt die Anmeldung, nicht die Sitzung danach: Malware kann das Sitzungscookie stehlen, das eine Website Ihnen anschließend gibt. Halten Sie Ihre Geräte deshalb aktuell und beenden Sie Sitzungen, die Sie nicht kennen.
Warum fragt ein Dienst auf einem neuen Gerät oder in einem neuen Netz erneut nach einem Code?
Dienste fragen erneut, wenn eine Anmeldung neu aussieht: ein neues Smartphone, ein Browser mit gelöschten Cookies, ein Gerät, das Sie nie als vertrauenswürdig markiert haben. Viele achten außerdem darauf, woher eine Anmeldung kommt; die Sicherheitswarnungen von Google zeigen Gerätetyp, Uhrzeit und Ort einer neuen Anmeldung.
Das betrifft Teams, die Konten über Proxys verwalten, etwa eine Agentur, die die Social-Media-Konten ihrer Kunden betreut. Ändert sich die Adresse bei jeder Anfrage, sieht jede Anmeldung wie ein Fremder an einem neuen Ort aus, und der Kontoinhaber bekommt immer wieder Prüfungen. Halten Sie pro Konto eine gleichbleibende Adresse, über eine Sticky-Sitzung, die eine Adresse für eine festgelegte Zeit hält, oder über eine dedizierte statische Adresse; Mehrere Social-Media-Konten sicher verwalten behandelt den Rest dieser Einrichtung.
Ein ISP-Proxy gibt jedem Konto eine eigene Adresse, die auf einen Internetanbieter registriert ist; standardmäßig ist er auf die Zielwebsites beschränkt, die Sie auswählen. Eine stabile Adresse schaltet 2FA nicht ab: Der Code wird auf jedem neuen Gerät weiterhin abgefragt, und genau das hält das Konto sicher.
Wo Ihnen die Zwei-Faktor-Authentifizierung begegnet
Auf dem Codebildschirm nach dem Passwort, wenn Sie sich auf einem neuen Laptop bei Ihrem E-Mail-Konto anmelden. In einer Abfrage auf Ihrem Smartphone, ob Sie es sind. In einer SMS mit einem Einmalcode von einer Bank oder einer Behörde. Am Arbeitsplatz in der Authenticator-App oder dem Sicherheitsschlüssel, den Ihr Unternehmen ausgibt.
Häufige Fehler
- Backup-Codes nicht speichern. Ein verlorenes Smartphone wird dann zu einer Wiederherstellung, die mehrere Tage dauert.
- Backup-Codes nur auf dem Smartphone aufbewahren. Sie sind für den Tag gedacht, an dem dieses Smartphone weg ist.
- Einem Anrufer einen Code vorlesen. Google sagt, dass es Sie nie anrufen wird, um einen Code zu bestätigen.
- Bei einer Abfrage, die Sie nicht ausgelöst haben, auf „Ja“ tippen. Tippen Sie auf „Nein“ und ändern Sie Ihr Passwort; wahrscheinlich kennt es jemand.
- Eine falsche Uhrzeit auf dem Smartphone. Google Authenticator nutzt die Zeiteinstellung Ihres Smartphones, stellen Sie Datum und Uhrzeit also auf automatisch.
- Das alte Smartphone löschen, bevor Sie Ihre Codes übertragen haben. Übertragen Sie zuerst die Codes der Authenticator-App oder fügen Sie zuerst das neue Smartphone hinzu.
Entscheidungshilfe
| Ihre Situation | Was Sie nutzen sollten |
|---|---|
| Sie wollen die einfachste starke Option | Einen Passkey, wo immer der Dienst einen anbietet |
| Der Dienst bietet nur Codes an | Eine Authenticator-App statt SMS |
| Ihr Google-Konto | Aufforderungen von Google oder einen Passkey, dazu ausgedruckte Backup-Codes |
| Ein iPhone, iPad oder Mac | Die Zwei-Faktor-Authentifizierung von Apple, meist schon aktiv |
| Instagram oder Facebook | Eine Authentifizierungs-App in der Kontenübersicht, dazu Wiederherstellungscodes |
| Ein Passwort für die Verifizierung in zwei Schritten, mit E-Mail-Adresse | |
| Ein Team, das sich bei Kundenkonten anmeldet | Der Kunde behält die Backup-Codes; eine stabile Adresse pro Konto |
Häufige Fragen
Sollte ich die Zwei-Faktor-Authentifizierung ausschalten?
Nein, es sei denn, Sie ersetzen sie durch eine stärkere Methode. Wenn Sie sie ausschalten, ist das Passwort wieder das einzige Schloss, und Google warnt, dass es dadurch für andere leichter werden kann, in Ihr Konto zu gelangen. Stört Sie der Codebildschirm, markieren Sie Ihre eigenen Geräte als vertrauenswürdig oder wechseln Sie zu einem Passkey; bei einem Apple Account, der mit Zwei-Faktor-Authentifizierung erstellt wurde, lässt sie sich gar nicht ausschalten.
Ist die Zwei-Faktor-Authentifizierung per SMS sicher?
Sie ist viel sicherer als ein Passwort allein, aber die schwächste Form von 2FA: SMS-Codes lassen sich über SIM-Swapping umleiten oder in eine gefälschte Seite eintippen. Nutzen Sie für E-Mail und Onlinebanking eine App, einen Passkey oder einen Sicherheitsschlüssel und SMS nur dort, wo nichts anderes angeboten wird.
Was ist ein 2FA-Code?
Ein 2FA-Code ist eine kurze Einmalzahl, meist sechsstellig, die beweist, dass Sie den zweiten Faktor besitzen. Er kommt per SMS oder Anruf, oder eine Authenticator-App berechnet ihn, und er funktioniert nur einmal und nur kurz. Geben Sie ihn nie weiter.
Kann die Zwei-Faktor-Authentifizierung gehackt werden?
Ja, aber das ist viel schwerer, als ein Passwort zu stehlen. Die Schwachstellen sind gefälschte Anmeldeseiten, die Ihren Code sofort weiterreichen, SIM-Swapping, Menschen, die zum Bestätigen einer Abfrage überredet werden, und Malware, die nach der Anmeldung eine Sitzung übernimmt. Passkeys und Sicherheitsschlüssel schließen die ersten drei aus: Es gibt keinen Code zum Weiterreichen, keine SMS zum Umleiten und keine Abfrage zum Bestätigen.
Welche Authenticator-App sollte ich verwenden?
Jede App, die standardisierte zeitbasierte Codes unterstützt, funktioniert mit den meisten Websites. Google Authenticator und Microsoft Authenticator erzeugen beide solche Codes, und ab iOS 18 und macOS Sequoia speichert auch die Passwörter-App von Apple Bestätigungscodes; es gibt viele weitere Apps. Wählen Sie eine, die Ihre Codes auf ein neues Smartphone übertragen kann, so wie Google Authenticator sie mit Ihrem Google-Konto synchronisiert.
Warum funktioniert mein 2FA-Code nicht?
Meist ist der Code abgelaufen, er gehört zu einem anderen Konto, oder die Uhr des Smartphones geht falsch. Die Checkliste von Google: Geben Sie den Code ein, bevor er abläuft, prüfen Sie, ob er für die richtige App und das richtige Konto gilt, und achten Sie darauf, dass die Uhrzeit Ihres Geräts synchronisiert ist und zu Ihrer Zeitzone passt. Kommt ein SMS-Code nie an, verwenden Sie einen Backup-Code.
Fazit
Die Zwei-Faktor-Authentifizierung verlangt nach Ihrem Passwort einen zweiten, andersartigen Nachweis, sodass ein gestohlenes Passwort allein Ihr Konto nicht mehr öffnet. Schalten Sie sie zuerst für Ihr E-Mail-Konto ein, weil die Passwort-Zurücksetzungen Ihrer anderen Konten darüber laufen, dann für Google oder Apple, für soziale Netzwerke und für WhatsApp. Ziehen Sie einen Passkey oder eine Authenticator-App der SMS vor, bewahren Sie Backup-Codes getrennt von Ihrem Smartphone auf und stellen Sie ein gesperrtes Konto nur über die eigenen Schritte der Plattform wieder her. Meldet sich Ihr Team über Proxys bei Kundenkonten an, vergleicht unsere Seite Proxy-Dienste die Sticky- und die statischen Optionen.
