2FA per App oder SMS: Was für dich einfacher und sicherer ist

Die Methode allein reicht nicht. Für E-Mail, Cloud, Banking und Admin-Konten brauchst du zusätzlich einen Notfallweg, den du auch ohne das verlorene Handy erreichst.

Was 2FA tatsächlich schützt

Bei einer klassischen Zwei-Faktor-Anmeldung kommen Nachweise aus zwei unterschiedlichen Kategorien zusammen: etwas, das du weißt, etwas, das du besitzt oder ein biometrisches Merkmal. Zwei Passwörter wären deshalb keine echte Zwei-Faktor-Anmeldung.

Der zusätzliche Faktor hilft, wenn ein Passwort gestohlen wurde. Er macht ein Konto jedoch nicht automatisch unangreifbar. Einmalcodes können weiterhin auf gefälschten Login-Seiten abgefragt werden. Auch eine unbedacht bestätigte Push-Anfrage kann Angreifern helfen.

SMS: leicht einzurichten, aber vom Telefon abhängig

SMS-Codes sind vertraut und werden von vielen Diensten angeboten. Für ein bisher nur mit Passwort geschütztes Konto sind sie ein sinnvoller erster Schritt.

Die Schwäche liegt im Übertragungsweg und in der Wiederherstellung. Die Anmeldung hängt an der hinterlegten Telefonnummer. Bei Nummernwechsel, fehlendem Empfang oder Problemen mit der SIM kann der zweite Faktor selbst zum Zugangsproblem werden. Ein SMS-Code ist außerdem kein phishing-resistenter Nachweis: Nutzer können ihn auf einer gefälschten Seite eingeben.

Für weniger kritische Konten oder als vorübergehende Lösung kann SMS ausreichen. Für zentrale Geschäfts- und Admin-Konten sollte sie nicht die einzige verfügbare Methode sein.

Authenticator-App: ein guter Standard für viele Konten

Authenticator-Apps erzeugen zeitlich begrenzte Codes auf dem Gerät. Solche Codes funktionieren typischerweise auch ohne Mobilfunkempfang. Das ist auf Reisen oder bei schlechter Netzabdeckung praktischer als SMS.

Auch App-Codes können abgefangen werden, wenn sie auf einer gefälschten Seite eingegeben werden. Ihr Vorteil liegt daher vor allem in der geringeren Abhängigkeit von der Telefonnummer und in der Verwaltung mehrerer Konten an einem Ort.

Wer eine Authenticator-App nutzt, sollte vor dem Gerätewechsel prüfen, wie Konten übertragen oder wiederhergestellt werden. Nicht jede App und nicht jeder Anbieter löst das gleich.

Passkeys: anderer Login statt zusätzlichem Code

Ein Passkey ersetzt bei unterstützten Diensten das Passwort. Die Anmeldung wird auf einem Gerät oder in einem synchronisierten Zugangsdaten-Manager gespeichert und mit PIN, Fingerabdruck oder Gesichtserkennung freigegeben.

Passkeys basieren auf kryptografischen Schlüsselpaaren. Der private Schlüssel bleibt beim Nutzer; der Dienst erhält keinen gemeinsam verwendeten geheimen Schlüssel. Durch die Bindung an die echte Website sind Passkeys gegen klassische Phishing-Seiten ausgelegt.

Die konkrete Nutzung hängt trotzdem vom Anbieter ab. Manche Dienste erlauben einen vollständigen passwortlosen Login, andere behalten zusätzliche Wiederherstellungswege. Prüfe deshalb nicht nur, ob ein Passkey angeboten wird, sondern auch, wie du nach Geräteverlust wieder in das Konto gelangst.

Welche Konten zuerst geschützt werden sollten

Beginne dort, wo ein fremder Login weitere Konten oder Geschäftsprozesse öffnen würde:

1. Haupt-E-Mail-Konto: Darüber laufen Passwort-Resets und Sicherheitsmeldungen.
2. Admin-Konten: Dazu gehören Microsoft 365, Google Workspace, Hosting, Domain und Cloud.
3. Banking und Zahlungsdienste: Hier kann ein Zugriff direkten finanziellen Schaden auslösen.
4. Cloud-Speicher und Kundendaten: Diese Konten enthalten oft vertrauliche Unterlagen.
5. Buchhaltung, Shop und Social Media: Ein fremder Zugriff kann Betrieb und Außenwirkung treffen.

Eine praktische Entscheidung in drei Schritten

Unterstützt der Dienst Passkeys gut? Dann richte einen Passkey ein und prüfe, wo er gespeichert wird. Ein synchronisierter Anbieter kann den Gerätewechsel erleichtern; ein gerätegebundener Schlüssel braucht einen separaten Ersatzweg.

Gibt es keinen passenden Passkey? Nutze für wichtige Konten eine Authenticator-App. Sichere Backup-Codes und plane den Gerätewechsel.

Bleibt nur SMS? Aktiviere SMS trotzdem. Ein zweiter Faktor ist besser als ein einzelnes Passwort. Hinterlege aktuelle Recovery-Daten und wechsle später zu einer robusteren Methode, wenn der Dienst sie anbietet.

Checkliste vor dem Abschluss

• Ist die hinterlegte Telefonnummer noch aktuell?
• Sind Backup-Codes außerhalb des Smartphones erreichbar?
• Gibt es ein zweites vertrauenswürdiges Gerät oder eine zweite Methode?
• Weißt du, wie ein verlorenes Gerät aus dem Konto entfernt wird?
• Sind zuerst E-Mail-, Admin-, Geld- und Datenkonten geschützt?

Fazit

Für wichtige Konten ist die Authenticator-App ein guter, breit verfügbarer Standard. Passkeys sind meist noch einfacher und besser gegen Phishing geschützt, wenn der Dienst sie sauber unterstützt. SMS bleibt ein brauchbarer Einstieg. Entscheidend ist, dass Schutz und Wiederherstellung zusammen geplant werden.