Was ist 2FA? Zwei-Faktor-Authentifizierung und Authenticator-Apps.

Was ist 2FA?

2FA steht für das englische „two-factor authentication“, auf Deutsch Zwei-Faktor-Authentifizierung. Häufig ist auch von Zwei-Schritt-Verifizierung oder Zwei-Schritt-Anmeldung die Rede. Kommen mehr als zwei Faktoren zum Einsatz, spricht man von Multi-Faktor-Authentifizierung (MFA).

Die Faktoren werden in drei Gruppen eingeteilt:

• Etwas, das Sie wissen: Passwort, PIN.
• Etwas, das Sie besitzen: Smartphone, Authenticator-App, Sicherheitsschlüssel.
• Etwas, das Sie sind: Fingerabdruck, Gesichtserkennung.

2FA kombiniert mindestens zwei dieser Gruppen. Das bekannteste Beispiel: Nach dem Passwort geben Sie einen sechsstelligen Code ein, den eine App auf Ihrem Smartphone erzeugt.

Warum ist 2FA so wichtig?

Passwörter können über Datenlecks, Phishing-Seiten oder durch Erraten in falsche Hände geraten. Ist 2FA aktiviert, reicht es einem Angreifer nicht, das Passwort zu kennen; er braucht auch den zweiten Faktor. Deshalb empfehlen wir dringend, 2FA bei allen wichtigen Konten zu aktivieren, etwa für E-Mail, Online-Banking, Cloud-Speicher und Ihren Passwort-Manager.

Welche 2FA-Methoden gibt es und welche ist am sichersten?

Nicht jede 2FA-Methode bietet denselben Schutz. Grundsätzlich gilt: Je schwerer sich der Code abfangen oder erschleichen lässt, desto stärker ist die Methode.

• Code per SMS oder E-Mail: Einfach zu nutzen und besser als nichts. Gegen SIM-Swapping und Phishing ist es aber die schwächste Option.
• Authenticator-App (TOTP): Eine App auf Ihrem Smartphone erzeugt alle 30 Sekunden einen neuen Code. Sie braucht weder Internet noch Mobilfunknetz und ist sicherer als SMS. Diese Methode ist am weitesten verbreitet.
• Push-Benachrichtigung: Sie bestätigen auf dem Smartphone die Frage „Melden Sie sich gerade an?“. Das ist bequem, doch gedankenlos bestätigte Benachrichtigungen sind ein Risiko.
• Hardware-Sicherheitsschlüssel: Ein physischer Schlüssel für USB oder NFC. Da er an die Domain gebunden ist, ist er sehr widerstandsfähig gegen Phishing.
• Passkey: Kann Passwort und zweiten Schritt allein ersetzen; der Schlüssel auf Ihrem Gerät und die biometrische Bestätigung wirken zusammen. Mehr dazu im Passkey-Ratgeber.

Wie funktioniert eine Authenticator-App?

Authenticator-Apps nutzen meist den TOTP-Standard (Time-based One-Time Password, RFC 6238):

• Wenn Sie auf einer Website 2FA aktivieren, zeigt sie Ihnen einen QR-Code. Darin steckt ein geheimer Schlüssel, den sich die Website und Ihre Authenticator-App teilen.
• Aus diesem geheimen Schlüssel und der aktuellen Uhrzeit berechnet die App alle 30 Sekunden einen sechsstelligen Code. Die Website rechnet genauso; stimmen die Codes überein, wird die Anmeldung bestätigt.
• Da die Codes auf dem Gerät entstehen, ist keine Internetverbindung nötig; es genügt, dass die Uhr des Geräts richtig geht.

Der geheime Schlüssel (der Inhalt des QR-Codes) ist der zweite Schlüssel zu Ihrem Konto; lassen Sie ihn nicht als Screenshot irgendwo liegen. Wie aus einem geheimen Schlüssel ein Code wird, können Sie mit dem 2FA-Code-Generator direkt in Ihrem Browser ausprobieren.

Warum sollten Sie Wiederherstellungscodes aufbewahren?

Wenn Sie 2FA aktivieren, erhalten Sie bei den meisten Websites eine Reihe einmalig verwendbarer Wiederherstellungscodes. Verlieren Sie Ihr Smartphone oder kommen Sie nicht mehr an Ihre Authenticator-App, melden Sie sich mit diesen Codes an. Sie können die Wiederherstellungscodes als sichere Notiz beim Eintrag des jeweiligen Kontos speichern oder offline an einem sicheren Ort aufbewahren.

Sollten 2FA-Codes im Passwort-Manager liegen?

Dazu gibt es zwei Ansätze, und beide sind vernünftig:

• Getrennt aufbewahren: Passwörter an einem Ort, 2FA-Codes in einer anderen App. Wird eines davon kompromittiert, schützt das andere weiter. Für Konten mit höchstem Schutzbedarf kann das die bessere Wahl sein.
• Zusammen aufbewahren: Die Codes liegen im selben Ende-zu-Ende-verschlüsselten Tresor wie Ihre Passwörter, werden auf alle Geräte synchronisiert und automatisch ausgefüllt. Bei Verlust des Smartphones sind Ihre Codes nicht weg, und es fällt leichter, 2FA bei mehr Konten einzuschalten.

In der Praxis ist für viele Nutzer das größte Risiko, 2FA gar nicht zu aktivieren. Wenn Sie die Codes im Passwort-Manager aufbewahren, schützen Sie das Konto beim Passwort-Manager selbst mit einem starken Master-Passwort und einem separaten zweiten Faktor.

Wie nutzen Sie 2FA mit KeyZula?

Der integrierte 2FA-Authenticator von KeyZula ist kostenlos und macht eine separate Authenticator-App überflüssig:

• Scannen Sie den QR-Code mit der Browser-Erweiterung direkt auf der Seite, oder laden Sie das QR-Code-Bild hoch bzw. fügen Sie es ein.
• Übernehmen Sie alle Konten aus Google Authenticator auf einmal über die QR-Codes von „Konten übertragen“.
• Füllen Sie den Code mit einem Klick aus, auch in aufgeteilte Eingabefelder. Nach dem Ausfüllen des Passworts wird der 2FA-Code automatisch in die Zwischenablage kopiert (in den Einstellungen abschaltbar).
• Unter iOS und Android erreichen Sie Ihre 2FA-Codes über das Autofill des Systems auch in anderen Apps.
• SHA-1, SHA-256, SHA-512 und Steam Guard werden unterstützt; alle Codes werden verschlüsselt zwischen Ihren Geräten synchronisiert.

Auch für Ihr KeyZula-Konto selbst können Sie die Zwei-Schritt-Anmeldung per Authenticator-App aktivieren und erhalten dazu einen Wiederherstellungscode.

Häufige Fragen