Die Zwei-Faktor-Authentifizierung (kurz 2FA) gilt zu Recht als eine der wirksamsten Massnahmen gegen Kontoubernahmen. Sie verlangt neben dem Passwort einen zweiten Nachweis, etwa einen Zahlencode aus einer App oder die Bestaetigung auf einem Geraet. Selbst wenn ein Passwort durch ein Datenleck oder eine Phishing-Mail in falsche Haende geraet, bleibt das Konto dann meist geschuetzt. Das Problem in der Praxis ist nur: Die meisten Menschen haben Dutzende Online-Konten, und es wirkt erschlagend, sie alle auf einmal abzusichern. Genau deshalb lohnt es sich, in einer sinnvollen Reihenfolge vorzugehen und mit den Konten zu beginnen, deren Verlust den groessten Schaden anrichten wuerde.
Dieser Ratgeber ordnet die typischen Kontotypen nach Wichtigkeit, erklaert, warum manche Konten als "Schluesselkonten" gelten, und gibt eine praktische Empfehlung zur Methodenwahl. So koennen Sie an einem ruhigen Nachmittag die wichtigsten Bausteine erledigen und den Rest nach und nach nachziehen.
Das E-Mail-Konto ist Ihr wichtigstes Schluesselkonto
Wenn Sie nur ein einziges Konto absichern koennen, sollte es Ihr Haupt-E-Mail-Postfach sein. Der Grund ist einfach: Fast jeder andere Dienst nutzt Ihre E-Mail-Adresse, um Passwoerter zuruckzusetzen. Wer Zugriff auf Ihr Postfach hat, kann der Reihe nach bei Banking, Shopping und sozialen Netzwerken die "Passwort vergessen"-Funktion ausloesen und die Reset-Links abfangen. Damit wird ein gekapertes Postfach zum Generalschluessel fuer Ihr gesamtes digitales Leben.
Aktivieren Sie 2FA daher zuerst bei Ihrem E-Mail-Anbieter. Pruefen Sie dort ausserdem, ob im Postfach Weiterleitungsregeln oder Filter eingerichtet sind, die Sie nicht selbst angelegt haben. Angreifer nutzen solche Regeln gern, um Kopien Ihrer Nachrichten heimlich umzuleiten.
Banking, Bezahldienste und Shops mit hinterlegten Zahldaten
Die naechste Stufe betrifft alles, womit direkt Geld bewegt werden kann. Online-Banking ist in der EU ohnehin gesetzlich an eine starke Kundenauthentifizierung gebunden, doch viele andere Dienste mit Zahlfunktion sind freiwillig und sollten unbedingt nachgeruestet werden:
- Bezahldienste wie PayPal oder andere Wallets, ueber die sich mit wenigen Klicks Zahlungen ausloesen lassen.
- Online-Shops mit gespeicherter Kreditkarte oder hinterlegtem Lastschriftmandat, bei denen ein Einkauf ohne erneute Dateneingabe moeglich ist.
- Plattform-Konten mit Guthaben, etwa App-Stores, Streaming-Marktplaetze oder Gaming-Plattformen.
Bei diesen Konten ist der finanzielle Schaden im Ernstfall unmittelbar und oft schwer rueckholbar. Achten Sie zusaetzlich darauf, ob der Anbieter Benachrichtigungen bei Anmeldungen von neuen Geraeten anbietet, und schalten Sie diese ein.
Cloud-Speicher, soziale Netzwerke und Messenger
Cloud-Dienste enthalten oft die digitale Lebensgeschichte: Fotos, Dokumente, Backups des Smartphones, manchmal sogar Scans von Ausweisen oder Vertraegen. Eine Uebernahme bedeutet hier nicht nur Datenverlust, sondern auch ein Erpressungsrisiko. Soziale Netzwerke und Messenger wiederum sind beliebte Ziele, weil sich mit einem gekaperten Profil im Namen des Opfers Betrug an Freunden und Kontakten verueben laesst. Der klassische "Hilf mir, ich stecke fest"-Betrug laeuft fast immer ueber uebernommene Konten.
Ein Sonderfall in dieser Gruppe ist Ihr Passwort-Manager. Er ist gewissermassen der Tresor, in dem alle anderen Schluessel liegen. Sichern Sie ihn mit einem langen, einzigartigen Master-Passwort und zusaetzlich mit 2FA, idealerweise ueber einen separaten Faktor, der nicht im selben Manager gespeichert ist.
Tabelle: Welche Konten haben welche Prioritaet?
Die folgende Uebersicht hilft bei der Reihenfolge. Die Prioritaet richtet sich danach, wie gross der Schaden bei einer Uebernahme typischerweise ist und wie viele andere Konten davon abhaengen.
| Kontotyp | Schaden bei Uebernahme | Prioritaet | Empfohlene 2FA-Methode |
|---|---|---|---|
| Haupt-E-Mail | Generalschluessel fuer alle Konten, Identitaetsdiebstahl | Sehr hoch | Authenticator-App oder Hardware-Schluessel |
| Online-Banking | Direkter Geldverlust | Sehr hoch | Banking-App / TAN-Verfahren der Bank |
| Bezahldienst / Wallet | Schnelle, oft endgueltige Zahlungen | Sehr hoch | Authenticator-App |
| Passwort-Manager | Zugriff auf saemtliche Zugangsdaten | Hoch | Authenticator-App oder Hardware-Schluessel |
| Cloud-Speicher | Datenverlust, Erpressung, Privatsphaere | Hoch | Authenticator-App |
| Soziale Netzwerke / Messenger | Rufschaedigung, Betrug an Kontakten | Mittel bis hoch | Authenticator-App |
| Shops mit Zahldaten | Unautorisierte Bestellungen | Mittel | Authenticator-App oder SMS als Minimum |
| Newsletter / Foren ohne Daten | Gering | Niedrig | SMS oder optional |
Methodenwahl: Warum App-2FA besser ist als SMS
Nicht jeder zweite Faktor ist gleich sicher. Die gaengigen Verfahren unterscheiden sich deutlich im Schutzniveau:
- SMS-Code: Besser als gar nichts, aber anfaellig. Codes koennen ueber gefaelschte Mobilfunkkarten (SIM-Swapping) oder Schadsoftware abgefangen werden. Nutzen Sie SMS nur, wenn keine bessere Option angeboten wird.
- Authenticator-App: Eine App erzeugt alle 30 Sekunden einen neuen Code direkt auf Ihrem Geraet, ganz ohne Mobilfunknetz. Diese zeitbasierten Codes (TOTP) sind der empfohlene Standard fuer die meisten Nutzer.
- Hardware-Sicherheitsschluessel: Ein kleines USB- oder NFC-Geraet bietet das hoechste Schutzniveau und ist faktisch immun gegen Phishing. Sinnvoll fuer besonders schuetzenswerte Konten.
Als Faustregel gilt: Bevorzugen Sie ueberall, wo es geht, die Authenticator-App gegenueber SMS. Fuer Ihre allerwichtigsten Konten lohnt sich zusaetzlich der Gedanke an einen Hardware-Schluessel.
Backup-Codes und Wiederherstellung nicht vergessen
Der haeufigste Grund, warum Menschen 2FA wieder abschalten, ist die Angst, sich selbst auszusperren, etwa wenn das Smartphone verloren geht. Genau dafuer stellen fast alle Dienste bei der Einrichtung einmalige Backup-Codes bereit. Behandeln Sie diese wie einen Notschluessel:
- Speichern Sie die Codes an einem Ort, der vom Smartphone unabhaengig ist, etwa ausgedruckt im Ordner oder verschluesselt im Passwort-Manager.
- Bewahren Sie sie nicht im selben App-Konto auf, das sie schuetzen sollen.
- Hinterlegen Sie nach Moeglichkeit einen zweiten Faktor doppelt, zum Beispiel die Authenticator-App auf einem Tablet zusaetzlich zum Telefon.
- Notieren Sie sich, bei welchen Diensten 2FA aktiv ist, damit Sie im Ernstfall den Ueberblick behalten.
Mit vorbereiteten Backup-Codes verliert der Geraetewechsel seinen Schrecken, und 2FA bleibt dauerhaft aktiviert, statt aus Bequemlichkeit wieder zu verschwinden.
Ein realistischer Fahrplan fuer einen Nachmittag
Sie muessen nicht alles auf einmal erledigen. Ein bewaehrtes Vorgehen ist, die Konten in Wellen abzuarbeiten: zuerst E-Mail und Banking, dann Bezahldienste und der Passwort-Manager, anschliessend Cloud und soziale Netzwerke. Nehmen Sie sich pro Sitzung nur wenige Konten vor, das haelt die Konzentration hoch und vermeidet Fluechtigkeitsfehler bei den Backup-Codes. Wer ohnehin gerade dabei ist, kann auch direkt schwache Passwoerter durch lange, einzigartige ersetzen. Praktische Helfer dafuer finden Sie in unserer Sammlung von Webtools, und weitere Beitraege rund um digitale Sicherheit gibt es in den News.
Häufige Fragen
Welches Konto sollte ich mit 2FA wirklich zuerst absichern?
Ihr Haupt-E-Mail-Postfach. Ueber die "Passwort vergessen"-Funktion haengen fast alle anderen Konten daran. Ist die E-Mail geschuetzt, koennen Angreifer Reset-Mails nicht mehr abfangen.
Ist SMS-2FA besser als gar keine Zwei-Faktor-Authentifizierung?
Ja. SMS ist angreifbarer als eine Authenticator-App, weil Codes etwa per SIM-Swapping abgefangen werden koennen. Trotzdem ist SMS-Schutz immer noch deutlich sicherer als ein reiner Passwortschutz. Wenn moeglich, wechseln Sie spaeter auf eine App.
Was passiert, wenn ich mein Smartphone mit der Authenticator-App verliere?
Dafuer gibt es die Backup-Codes, die Sie bei der Einrichtung erhalten haben. Mit ihnen melden Sie sich ohne das Geraet an. Bewahren Sie die Codes deshalb getrennt vom Telefon auf, etwa ausgedruckt oder verschluesselt gespeichert.
Brauche ich fuer jedes Konto eine eigene Authenticator-App?
Nein. Eine einzige App kann die Codes fuer beliebig viele Konten verwalten. Beim Einrichten scannen Sie pro Dienst einfach einen QR-Code, und die App fuegt einen neuen Eintrag hinzu.
Lohnt sich ein Hardware-Sicherheitsschluessel fuer Privatpersonen?
Fuer besonders wichtige Konten wie E-Mail oder Passwort-Manager kann sich ein Hardware-Schluessel lohnen, da er praktisch nicht durch Phishing zu umgehen ist. Fuer den Alltag reicht den meisten Nutzern jedoch eine Authenticator-App vollkommen aus.
Sollte ich 2FA auch bei unwichtigen Konten aktivieren?
Bei reinen Newsletter- oder Forenkonten ohne hinterlegte Zahldaten ist der Schaden gering, daher hat das niedrige Prioritaet. Konzentrieren Sie Ihre Zeit zuerst auf die Konten, ueber die Geld bewegt oder Ihre Identitaet missbraucht werden kann.