Start / 2FA erklärt: SMS vs. Authenticator-App vs. Hardware-Schlüssel

2FA erklärt: SMS vs. Authenticator-App vs. Hardware-Schlüssel

Ein Passwort allein reicht nicht — das schützen die drei gängigen zweiten Faktoren wirklich.

Zwei-Faktor-Authentifizierung (2FA) verlangt bei der Anmeldung etwas zusätzlich zu Ihrem Passwort — einen Code, ein Antippen oder einen physischen Schlüssel —, damit ein gestohlenes Passwort allein nicht reicht, um in Ihr Konto einzudringen. Allerdings ist nicht jede 2FA gleich stark. So schneiden die drei gängigen Methoden wirklich ab.

SMS-Codes

Ein per SMS an Ihr Telefon gesendeter Code. Besser als gar keine 2FA, aber die schwächste Option: SIM-Swapping (ein Angreifer überredet Ihren Anbieter, Ihre Nummer auf seine SIM zu übertragen) und SS7-Netzwerkabfangen können beides aushebeln, ohne Ihr Gerät zu berühren. Nutzen Sie es nur, wenn ein Dienst nichts Besseres anbietet.

Authenticator-Apps (TOTP)

Apps wie Google Authenticator, Authy oder die in Proton Pass, Bitwarden und 1Password integrierten erzeugen einen 6-stelligen Code, der alle 30 Sekunden wechselt und lokal auf Ihrem Gerät aus einem gemeinsamen Secret berechnet wird — es wird nichts übertragen, um ihn zu empfangen, was SIM-Swapping bereits aushebelt. Ihre Schwachstelle ist Phishing: Eine gefälschte Login-Seite kann Sie immer noch dazu bringen, den Code in Echtzeit auf der Seite des Angreifers einzugeben.

Hardware-Sicherheitsschlüssel (FIDO2 / WebAuthn)

Ein physischer Schlüssel (YubiKey, Google Titan und andere), den Sie antippen oder einstecken, um die Anmeldung zu bestätigen. Anders als ein Code prüft er kryptografisch, dass Sie auf der echten Seite sind, bevor er antwortet — eine gefälschte Seite bekommt schlicht keine gültige Antwort, was ihn zur einzigen gängigen, wirklich phishing-resistenten Methode macht. Der Preis: einen Schlüssel kaufen und bei sich tragen.

Passkeys — die neuere Alternative

Passkeys nutzen dieselbe FIDO2-Technologie wie Hardware-Schlüssel, speichern die Anmeldedaten aber auf Ihrem Handy oder Computer statt auf einem separaten Gerät, entsperrt per Fingerabdruck, Gesicht oder PIN. Sie sind wie Hardware-Schlüssel phishing-resistent und erfordern keinen Kauf, aber die Unterstützung variiert je nach Seite und danach, wie Sie sie geräteübergreifend sichern — Details im Glossareintrag.

Was sollten Sie wirklich nutzen?

In dieser Reihenfolge: ein Hardware-Schlüssel oder Passkey für Ihre wichtigsten Konten (primäre E-Mail, Ihr Passwort-Manager, Banking, Arbeit); eine Authenticator-App für alles andere; SMS nur, wenn ein Dienst wirklich nichts Besseres bietet. Die meisten Passwort-Manager — auch die in unserem Passwort-Manager-Vergleich — können mittlerweile selbst Authenticator-Codes speichern und erzeugen, sodass Sie keine separate App brauchen.

Verwandte Begriffe: Zwei-Faktor-Authentifizierung (2FA) · Passkey (FIDO2) · Master-Passwort

Häufige Fragen

Ist irgendeine 2FA besser als keine?

Ja. Selbst SMS, die schwächste gängige Option, stoppt die große Mehrheit automatisierter Angriffe, die nur ein gestohlenes Passwort haben. Aktivieren Sie, was ein Dienst anbietet, statt 2FA zu überspringen und auf eine bessere Option zu warten.

Kann ich meinen Passwort-Manager statt einer separaten Authenticator-App nutzen?

Ja — Proton Pass, Bitwarden und 1Password können alle direkt Authenticator-Codes erzeugen, was bequemer ist. Der Kompromiss: Wenn jemand in Ihren Passwort-Manager gelangt, hätte er beide Faktoren an einem Ort.

Was passiert, wenn ich meinen Hardware-Schlüssel oder mein Handy verliere?

Jeder seriöse Dienst lässt Sie eine Backup-Methode registrieren — einen zweiten Schlüssel, Backup-Codes oder ein zweites Handy — richten Sie das ein, bevor Sie es brauchen, nicht danach.

Ersetzen Passkeys Passwörter vollständig?

Das ist das Ziel, aber die Verbreitung erfolgt schrittweise — die meisten Seiten, die Passkeys unterstützen, lassen weiterhin den Rückgriff auf ein Passwort zu, und viele Seiten unterstützen sie noch gar nicht.