Zwei-Faktor-Authentifizierung einrichten: So geht es Schritt für Schritt

von

Zwei-Faktor-Authentifizierung richten Sie in den Sicherheitseinstellungen des jeweiligen Kontos ein: Sie aktivieren die Funktion, wählen einen zweiten Faktor wie eine Authenticator-App oder einen Sicherheitsschlüssel und sichern sich Ersatzcodes für den Notfall. Das dauert pro Konto meist nur wenige Minuten. Danach reicht ein gestohlenes Passwort allein nicht mehr aus, um in Ihr Konto zu kommen.

Kurz zusammengefasst

Bei der Zwei-Faktor-Authentifizierung (2FA) brauchen Sie zum Anmelden neben dem Passwort einen zweiten Nachweis, meist etwas, das Sie besitzen, etwa Ihr Smartphone. SMS-Codes sind besser als nichts, Authenticator-Apps sind sicherer, und gegen Phishing schützen zuverlässig nur Hardware-Schlüssel und Passkeys. Beginnen Sie mit dem E-Mail-Konto, weil sich darüber fast alle anderen Konten zurücksetzen lassen. Bewahren Sie die Backup-Codes offline auf und ziehen Sie Ihre Authenticator-App vor dem Zurücksetzen des alten Handys um.

Was ist Zwei-Faktor-Authentifizierung?

Zwei-Faktor-Authentifizierung bedeutet, dass Sie Ihre Identität beim Anmelden auf zwei voneinander unabhängigen Wegen nachweisen. Das BSI, das in seinen Texten von Zwei-Faktor-Authentisierung spricht, unterscheidet drei Kategorien: etwas, das Sie wissen (Passwort, PIN), etwas, das Sie besitzen (Smartphone, Sicherheitsschlüssel), und etwas, das Sie sind (Fingerabdruck, Gesicht). Wichtig ist, dass die beiden Faktoren aus verschiedenen Kategorien stammen.

Der Gedanke dahinter ist einfach. Passwörter werden durch Phishing abgegriffen, bei Datenlecks veröffentlicht oder schlicht erraten. Ein Angreifer, der Ihr Passwort kennt, hat aber in der Regel nicht Ihr Smartphone in der Hand. Das BSI rät deshalb, die Funktion zu aktivieren, sobald ein Dienst sie anbietet, und sie auf keinen Fall wieder abzuschalten. Viele Dienste haben sie standardmäßig deaktiviert. Ein Blick in die Kontoeinstellungen lohnt also auch bei Konten, die Sie schon lange nutzen.

Die Bezeichnungen sind uneinheitlich. Google nennt die Funktion „2-Faktor-Authentifizierung“ oder „Bestätigung in zwei Schritten“, Microsoft „Überprüfung in zwei Schritten“, andere Dienste sprechen von Anmeldebestätigung, Mehr-Faktor-Authentifizierung oder kurz MFA. Gemeint ist immer dasselbe Prinzip.

Welche Verfahren gibt es, und wie sicher sind sie?

Am sichersten sind Hardware-Schlüssel und Passkeys, am schwächsten ist die SMS. Der wichtigste Unterschied liegt darin, ob ein Verfahren gegen Echtzeit-Phishing hilft. Dabei leitet eine gefälschte Login-Seite Ihr Passwort und den eingegebenen Code sofort an die echte Seite weiter. Das BSI stellt in seiner Bewertung fest, dass SMS-Codes und App-Codes davor nicht schützen, FIDO2-Verfahren dagegen schon.

Verfahren So funktioniert es Stärken Schwächen
SMS-Code Dienst schickt einen Code per SMS an Ihre Nummer Ohne Einrichtung nutzbar, funktioniert auf jedem Handy Kein Schutz vor Echtzeit-Phishing, anfällig für Angriffe auf die Telefonnummer, etwa die Übernahme der SIM-Karte
Authenticator-App (TOTP) App erzeugt alle 30 Sekunden einen neuen sechsstelligen Code Funktioniert offline, nicht an die Telefonnummer gebunden, eine App für viele Dienste Kein Schutz vor Echtzeit-Phishing, Codes müssen beim Handywechsel umgezogen werden
Push-Bestätigung App fragt „Melden Sie sich gerade an?“, Sie tippen auf Ja oder Nein Sehr bequem, kein Abtippen von Codes Verleitet zum gedankenlosen Bestätigen, an ein Gerät gebunden
Hardware-Schlüssel (FIDO2) Kleiner USB- oder NFC-Stick, den Sie zum Anmelden einstecken oder ans Handy halten Laut BSI resistent gegen übliche Phishing-Angriffe Kostet Geld, Sie brauchen einen zweiten Schlüssel als Reserve
Passkey Kryptografischer Schlüssel auf Ihrem Gerät, entsperrt per Fingerabdruck, Gesicht oder PIN Phishing-resistent und bequem, ersetzt oft das Passwort ganz Noch nicht bei allen Diensten verfügbar

Eine Besonderheit bei SMS-Codes: Das BSI rät, die SMS nicht auf demselben Gerät zu empfangen, mit dem Sie sich gerade anmelden, weil die beiden Faktoren dann nicht mehr getrennt sind. Microsoft hat angekündigt, SMS als Anmelde- und Wiederherstellungsweg bei privaten Konten auslaufen zu lassen.

Bei Push-Bestätigungen gilt eine einfache Regel: Bestätigen Sie nur, was Sie in diesem Moment selbst ausgelöst haben. Erhalten Sie eine Anmeldeanfrage, ohne sich gerade einzuloggen, tippen Sie auf Nein und ändern Sie danach Ihr Passwort. Jemand anderes kennt es dann offenbar.

Passkeys sind eine Weiterentwicklung, bei der oft gar kein Passwort mehr nötig ist. Sie werden im Beitrag Was sind Passkeys und sollten Sie sie nutzen? ausführlich erklärt.

Mit welchen Konten sollten Sie anfangen?

Fangen Sie mit dem E-Mail-Konto an. Wer Ihr Postfach kontrolliert, kann über die Funktion „Passwort vergessen“ fast alle anderen Konten übernehmen. Danach folgen die Konten, über die Geld fließt oder über die Sie sich bei anderen Diensten anmelden.

  1. E-Mail-Postfach, auch ältere Adressen, die als Wiederherstellungsadresse hinterlegt sind
  2. Google-Konto, Apple Account und Microsoft-Konto, weil sie oft Smartphone, Fotos und Backups verwalten
  3. Passwort-Manager, falls Sie einen nutzen
  4. Bezahldienste, Online-Shops mit gespeicherten Zahlungsdaten und Kleinanzeigen-Konten
  5. Soziale Netzwerke und Messenger
  6. Cloud-Speicher und alle übrigen Konten

Beim Online-Banking ist ein zweiter Faktor in der EU ohnehin vorgeschrieben. Hinweise dazu finden Sie im Ratgeber Sicheres Online-Banking.

So richten Sie 2FA beim Google-Konto ein

Bei Google aktivieren Sie die Funktion unter „Sicherheit und Anmeldung“ in Ihrem Google-Konto. Der Weg laut Google-Hilfe:

  1. Öffnen Sie Ihr Google-Konto unter myaccount.google.com.
  2. Tippen Sie auf „Sicherheit und Anmeldung“.
  3. Wählen Sie unter „So melden Sie sich in Google an“ die Option „2-Faktor-Authentifizierung aktivieren“ und folgen Sie den Schritten.

Google empfiehlt als Standard die Google-Aufforderung, eine Push-Bestätigung auf einem angemeldeten Android-Gerät oder iPhone. Zusätzlich können Sie unter demselben Menüpunkt eine Authenticator-App, einen Hardware-Sicherheitsschlüssel oder einen Passkey hinterlegen. SMS und Anruf bietet Google weiterhin an, weist aber selbst darauf hin, dass diese Methode anfälliger für Angriffe über die Telefonnummer ist.

Erstellen Sie gleich im Anschluss die Backup-Codes. Sie finden sie unter „Sicherheit und Anmeldung“ › „2-Faktor-Authentifizierung“ › „Back-up-Codes“. Google erzeugt zehn achtstellige Codes, von denen jeder nur einmal funktioniert. Lassen Sie neue Codes erstellen, werden die alten ungültig. Weitere Einstellungen rund um Ihr Konto beschreibt der Beitrag Google-Konto: Datenschutz-Einstellungen.

So richten Sie 2FA beim Apple Account ein

Beim Apple Account ist die Zwei-Faktor-Authentifizierung für die meisten Konten bereits Standard. Prüfen Sie es auf dem iPhone unter Einstellungen › [Ihr Name] › „Anmeldung & Sicherheit“. Steht dort „Zwei-Faktor-Authentifizierung: Ein“, ist alles erledigt. Andernfalls können Sie sie dort aktivieren. Am Mac finden Sie denselben Bereich in den Systemeinstellungen.

Apple arbeitet mit vertrauenswürdigen Geräten und vertrauenswürdigen Telefonnummern. Melden Sie sich auf einem neuen Gerät oder im Browser an, zeigt eines Ihrer Apple-Geräte einen sechsstelligen Code an, alternativ kommt er per SMS. Hinterlegen Sie unter „Anmeldung & Sicherheit“ eine zweite Telefonnummer, zum Beispiel die eines Familienmitglieds, falls Sie Ihr eigenes Handy verlieren.

Wer mehr Schutz will, kann zusätzlich Sicherheitsschlüssel einrichten. Apple verlangt dafür mindestens zwei FIDO-zertifizierte Schlüssel und aktuelle Software auf allen Geräten. Danach funktioniert die Anmeldung nur noch mit Schlüssel oder vertrauenswürdigem Gerät, der sechsstellige Code entfällt. Ein weiterer Baustein ist der Wiederherstellungsschlüssel, ein 28-stelliger Code. Beide Funktionen erhöhen die Sicherheit, aber auch das Risiko, sich auszusperren: Verlieren Sie alle Schlüssel und Geräte, kann Apple Ihnen nicht mehr helfen.

So richten Sie 2FA beim Microsoft-Konto ein

Beim privaten Microsoft-Konto, das Sie für Windows, Outlook.com, Xbox oder Microsoft 365 nutzen, heißt die Funktion „Überprüfung in zwei Schritten“. Melden Sie sich unter account.microsoft.com an, öffnen Sie den Bereich „Sicherheit“ und wählen Sie „Verwalten, wie ich mich anmelde“. Unter „Zusätzliche Sicherheit“ schalten Sie die Überprüfung in zwei Schritten ein und folgen den Anweisungen. Microsoft empfiehlt dafür die eigene App Microsoft Authenticator, andere Authenticator-Apps funktionieren aber ebenfalls.

Microsoft rät, mindestens drei Sicherheitsinformationen zu hinterlegen, etwa Authenticator-App, eine zweite E-Mail-Adresse und eine Telefonnummer. Erzeugen Sie außerdem einen Wiederherstellungscode. Er ist 25 Stellen lang, und ein neu erzeugter Code macht den vorherigen ungültig. Ältere Programme und Geräte, die keine Codes verarbeiten, brauchen nach dem Einschalten unter Umständen ein eigenes App-Kennwort, das Sie im selben Bereich anlegen.

Bei vielen anderen Diensten läuft es ähnlich: In den Einstellungen gibt es einen Punkt wie „Sicherheit“, „Anmeldung“ oder „Passwort und Sicherheit“, dort finden Sie die Zwei-Faktor-Option. Verbinden Sie eine Authenticator-App, indem Sie den angezeigten QR-Code scannen und zur Bestätigung den ersten Code eintippen.

Wichtig

Kein seriöser Anbieter ruft Sie an oder schreibt Ihnen, um einen Bestätigungscode abzufragen. Google weist ausdrücklich darauf hin. Wer am Telefon, per SMS oder im Chat nach einem Code fragt, versucht gerade, Ihr Konto zu übernehmen. Das gilt auch, wenn sich die Person als Bankmitarbeiter, Microsoft-Support oder Familienmitglied ausgibt.

Backup-Codes: Ihr Notschlüssel

Backup-Codes sind Einmalcodes, mit denen Sie sich anmelden können, wenn der eigentliche zweite Faktor nicht verfügbar ist. Fast jeder Dienst bietet sie beim Einrichten an. Speichern Sie sie nicht nur auf dem Smartphone, das Sie gleichzeitig als zweiten Faktor nutzen. Geht das Handy verloren, sind die Codes sonst mit weg.

Bewährt hat sich ein Ausdruck, den Sie zu Hause bei wichtigen Unterlagen aufbewahren. Als zweite Kopie eignet sich ein Passwort-Manager, allerdings nicht derjenige, dessen Zugang Sie mit genau diesen Codes absichern. Das BSI empfiehlt darüber hinaus, mehrere zweite Faktoren zu hinterlegen, etwa eine weitere App, einen zweiten Schlüssel oder eine zweite Telefonnummer.

Was tun beim Handywechsel oder wenn das Handy weg ist?

Beim geplanten Handywechsel ziehen Sie die Authenticator-App um, bevor Sie das alte Gerät zurücksetzen. Wie das geht, hängt von der App ab.

  • Google Authenticator: Wenn Sie in der App mit Ihrem Google-Konto angemeldet sind, werden die Codes synchronisiert und erscheinen nach der Anmeldung auf dem neuen Gerät. Ohne Konto nutzen Sie im Menü „Konten übertragen“ › „Konten exportieren“. Die App zeigt dann QR-Codes an, die Sie auf dem neuen Handy unter „Konten importieren“ scannen.
  • Microsoft Authenticator: In den Einstellungen der App gibt es eine Cloudsicherung, auf dem iPhone über iCloud. Eine Sicherung vom iPhone lässt sich laut Microsoft nicht auf einem Android-Gerät wiederherstellen und umgekehrt.
  • Andere Apps: Prüfen Sie vorher in der Hilfe des Herstellers, ob es einen Export gibt. Andernfalls melden Sie sich bei jedem Dienst an, entfernen den alten Authenticator und richten den neuen ein.

Melden Sie sich nach dem Umzug testweise bei zwei oder drei Diensten mit dem neuen Gerät an. Erst dann löschen Sie das alte. Was vor dem Verkauf eines Handys sonst noch zu tun ist, steht im Beitrag Handy-Daten löschen vor dem Verkauf.

Ist das Handy verloren oder gestohlen, gehen Sie so vor:

  1. Lassen Sie die SIM-Karte bei Ihrem Mobilfunkanbieter sperren, damit niemand SMS-Codes empfangen kann.
  2. Melden Sie sich mit Backup-Codes oder einem zweiten Faktor an Ihren wichtigsten Konten an, beginnend mit dem E-Mail-Konto.
  3. Entfernen Sie das verlorene Gerät aus der Liste der vertrauenswürdigen oder angemeldeten Geräte. Bei Google finden Sie die Liste unter „Sicherheit und Anmeldung“ › „Alle Geräte verwalten“.
  4. Richten Sie den zweiten Faktor auf dem neuen Gerät neu ein und lassen Sie neue Backup-Codes erzeugen.

Haben Sie weder Backup-Codes noch einen anderen Faktor, bleibt nur das Wiederherstellungsverfahren des Anbieters. Das kann Tage dauern und gelingt nicht immer. Auch darum lohnt die Vorsorge.

Häufige Fragen

Ist 2FA per SMS überhaupt noch sinnvoll?

Ja, wenn der Dienst nichts anderes anbietet. Ein SMS-Code hält die meisten automatisierten Angriffe mit gestohlenen Passwörtern ab. Gibt es eine Authenticator-App oder einen Passkey als Alternative, sollten Sie aber wechseln.

Muss ich jedes Mal einen Code eingeben?

Meist nicht. Viele Dienste bieten an, ein Gerät als vertrauenswürdig zu speichern. Dann wird der zweite Faktor nur noch auf neuen Geräten oder nach einer Abmeldung verlangt. Nutzen Sie diese Option nur auf Geräten, die Sie allein verwenden.

Welche Authenticator-App soll ich nehmen?

Die Codes funktionieren nach einem offenen Standard, deshalb ist fast jede seriöse App geeignet. Wichtig sind eine Sperre der App per PIN oder Biometrie und eine Möglichkeit, die Codes zu sichern oder umzuziehen. Viele Passwort-Manager können solche Codes ebenfalls erzeugen.

Mein Code wird als falsch abgelehnt, was nun?

Häufigste Ursache ist eine falsch gehende Uhr auf dem Smartphone, weil die Codes zeitbasiert sind. Stellen Sie Datum und Uhrzeit auf automatisch. Prüfen Sie außerdem, ob Sie den Code des richtigen Kontos verwenden und ob er nicht schon abgelaufen war.

Kann ich 2FA wieder abschalten?

Bei den meisten Diensten ja, das BSI rät aber ausdrücklich davon ab. Bei Apple lässt sich die Funktion bei Konten, die damit erstellt wurden, gar nicht mehr deaktivieren, weil Dienste wie Apple Pay sie voraussetzen.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren