Aktualisiert 31. Oktober 2026

Zwei-Faktor-Authentifizierung (2FA): Methoden, Einrichtung und Backup-Codes

Die Zwei-Faktor-Authentifizierung (2FA) schützt ein Konto mit zwei Nachweisen aus verschiedenen Kategorien: etwas, das man weiß (Passwort, PIN), etwas, das man besitzt (Smartphone, Hardware-Schlüssel, Chipkarte), oder ein Merkmal der Person (Fingerabdruck, Gesicht). Wer nur das Passwort erbeutet, kommt damit nicht hinein. Wie gut der zweite Faktor schützt, hängt stark von der Methode ab: Der SMS-Code gilt als die schwächste gängige Variante, Hardware-Schlüssel und Passkeys als die stärksten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät in seiner Erklärung zur Zwei-Faktor-Authentisierung, den zweiten Faktor zu nutzen, sobald ein Dienst ihn anbietet, und ihn nicht wieder abzuschalten. Viele Dienste liefern die Funktion ab Werk ausgeschaltet aus. Beide Schreibweisen sind gebräuchlich: Streng genommen authentisiert sich die Nutzerin mit ihren Anmeldedaten, und das System authentifiziert sie, indem es diese prüft. Gemeint ist dasselbe Verfahren.

Drei Kategorien, zwei davon genügen

Entscheidend ist, dass die beiden Faktoren aus verschiedenen Kategorien stammen. Zwei Passwörter hintereinander sind kein zweiter Faktor.

Im Online-Banking ist der zweite Faktor Pflicht. In Deutschland schreibt die BaFin die starke Kundenauthentifizierung beim Bezahlen im Internet und beim Onlinezugriff auf Zahlungskonten vor, in Österreich verlangt die FMA sie aufgrund einer EU-Regelung seit dem 14.09.2019. Bei E-Mail, Cloud-Speicher und sozialen Netzwerken hängt es vom Anbieter ab, ob er die Funktion anbietet oder vorschreibt.

Die Methoden im Vergleich

Wie groß die Unterschiede sind, zeigt eine Auswertung von Google aus dem Jahr 2019: Ein SMS-Code an die Wiederherstellungsnummer blockte 96 % der Massen-Phishing-Angriffe, aber nur 76 % der gezielten. Eine Bestätigung auf dem Gerät kam auf 99 % und 90 %. Von den Nutzern, die ausschließlich Sicherheitsschlüssel einsetzten, fiel im Untersuchungszeitraum keiner einem gezielten Phishing-Angriff zum Opfer. Die Zahlen betreffen Google-Konten, die Rangfolge deckt sich aber mit der CISA: Phishing-resistente Verfahren sind für sie der Goldstandard, SMS und Sprachanruf nur die letzte Notlösung.

Wo sich die Aktivierung zuerst lohnt

Verbraucherzentrale und BSI nennen diese Konten als vorrangig:

1. E-Mail-Postfach. Es dient vielen als Benutzername, und wer das E-Mail-Passwort knackt, kann nacheinander die Passwörter anderer Konten zurücksetzen.
2. Online-Banking und Bezahldienste. Beim Banking ist der zweite Faktor ohnehin vorgeschrieben, Dienste wie PayPal oder Klarna bieten ihn optional an.
3. Soziale Netzwerke. Über gekaperte Profile lassen sich im Namen des Opfers schnell Falschinformationen verbreiten.
4. Cloud-Speicher und Konten mit weitreichenden Rechten. Das BSI zählt Cloud-Anbieter zu den Einsatzfällen und nennt Konten mit weitreichenden Rechten als besonders lohnend.

Die Funktion steckt meist in den Benutzereinstellungen. Wer sie dort nicht findet, kann laut Verbraucherzentrale den Kundenservice fragen. Nach der Einrichtung verlängert sich die Anmeldung nur um wenige Sekunden.

Backup-Codes und Geräteverlust

Geht der zweite Faktor verloren, verliert man laut BSI in der Regel auch den Zugang zum Dienst. Die Wiederherstellung gehört deshalb in die Einrichtung selbst: Das BSI rät, mehrere zweite Faktoren zu hinterlegen, etwa ein weiteres Token, eine weitere TAN-App oder eine zweite Mobiltelefonnummer, und Backup-Codes zu speichern.

Wie solche Codes aussehen, zeigt Google: achtstellige Ersatzcodes, die jeweils nur einmal gelten. Jederzeit lassen sich zehn neue erzeugen, die alten werden damit ungültig. Ausgedruckt gehören sie an einen sicheren Ort, etwa zum Reisepass. Das beschreibt Google, bei anderen Diensten können Details abweichen. Bei einem Gerätewechsel werden Authenticator-Apps nach Angabe der Verbraucherzentrale in der Regel nicht automatisch übernommen: Entweder wird die 2FA vorher bei jedem Konto deaktiviert und am neuen Gerät neu eingerichtet, oder die Backup-Codes liegen bereit.

Ist das Smartphone verloren oder gestohlen, hilft diese Reihenfolge:

1. Daten aus der Ferne löschen. Das funktioniert nur, solange das Smartphone eingeschaltet und nicht gesperrt ist, deshalb nennt die Verbraucherzentrale diesen Schritt vor dem Anruf beim Netzbetreiber.
2. SIM-Karte beim Netzbetreiber sperren lassen. Findet sich die Nummer des Anbieters nicht, hilft die Sperr-Hotline 116 116.
3. Passwörter der Dienste ändern, die über das Smartphone genutzt wurden, darunter E-Mail-Konto, Shops und soziale Netzwerke.
4. Mit einem Backup-Code oder dem zweiten hinterlegten Faktor anmelden, einen neuen Faktor einrichten und neue Backup-Codes erzeugen, falls die alten in falsche Hände geraten sein könnten.

Vorsicht bei Diensten, die den zweiten Faktor nur über einen einzigen Schritt wiederherstellen: Das BSI warnt, dass dies ein 2FA-Verfahren erheblich schwächen kann, weil Angreifer genau dort ansetzen können.

Typische Angriffe auf den zweiten Faktor

• Phishing in Echtzeit. Eine falsche Anmeldeseite reicht Passwort und Code sofort an den echten Dienst weiter. Nach Einschätzung des BSI schützen E-Mail- und SMS-Codes sowie TOTP davor nicht, weil ein Realtime-Proxy den zweiten Faktor abfangen kann. Die Verbraucherzentrale rät, die Adresse im Browser genau zu prüfen.
• SIM-Swapping. Angreifer überzeugen den Mobilfunkanbieter, die Rufnummer auf eine SIM-Karte unter ihrer Kontrolle zu übertragen (CISA). Dann landen SMS-Codes bei ihnen. Das NIST empfiehlt Diensten, vor einem Versand per Telefonnetz Hinweise wie SIM-Wechsel oder Rufnummernmitnahme zu berücksichtigen. In seiner Richtlinie SP 800-63B-4 vom Juli 2025 ist der Versand über das Telefonnetz zum Zeitpunkt der Veröffentlichung der einzige als eingeschränkt eingestufte Authentifikator.
• MFA-Müdigkeit. Angreifer überhäufen das Opfer mit Push-Anfragen, bis es aus Genervtheit auf „Bestätigen“ tippt. Die CISA nennt das Push-Bombing. Schutz bietet der Zahlenabgleich, bei dem eine angezeigte Zahl in der App einzugeben ist. Die BaFin rät beim Banking, Transaktionen im Zweifel abzubrechen.

Empfehlungen von BSI und Verbraucherzentralen

• Bietet ein Dienst mehrere Verfahren an, das stärkere wählen. Die Verbraucherzentrale rät, nach Möglichkeit keine SMS- oder E-Mail-Codes zu nutzen, hält sie aber für sicherer als eine Anmeldung mit nur einem Faktor.
• Zwei Geräte verwenden: Mit dem einen wird der Dienst genutzt, mit dem anderen der Code erzeugt. Eine Zahlung wird laut BSI nicht auf dem Gerät bestätigt, mit dem die Überweisung ausgelöst wurde.
• Ein unbekanntes Verfahren nicht scheuen. Mit regelmäßiger Nutzung stellt sich laut BSI und Verbraucherzentralen Routine ein.
• Absolute Sicherheit gibt es auch mit zweitem Faktor nicht, betont die Verbraucherzentrale.