Die Zwei-Faktor-Authentifizierung schützt Online-Konten zusätzlich zum Passwort durch einen zweiten, unabhängigen Nachweis, meist einen Code aus einer App oder per SMS. Selbst bei gestohlenem Passwort bleibt das Konto dadurch für Unbefugte gesperrt.
Die Zwei-Faktor-Authentifizierung kombiniert Passwort und einen zweiten Faktor wie eine Authenticator-App, SMS-Code oder Sicherheitsschlüssel. Authenticator-Apps gelten als sicherer als SMS, da SMS-Codes theoretisch abgefangen werden können. Die Einrichtung dauert bei den meisten Diensten nur wenige Minuten und sollte bei E-Mail-Konten und Online-Banking als Erstes aktiviert werden.
Wie funktioniert die Zwei-Faktor-Authentifizierung?
Nach Eingabe des gewohnten Passworts verlangt der Dienst einen zweiten, unabhängigen Nachweis der Identität. Dieser zweite Faktor stammt aus einer anderen Kategorie als das Passwort — meist etwas, das nur der Nutzer besitzt, wie ein Smartphone mit Authenticator-App.
Erst wenn beide Faktoren korrekt sind, gewährt der Dienst Zugriff auf das Konto. Ein gestohlenes oder erratenes Passwort allein reicht einem Angreifer damit nicht mehr aus, um sich anzumelden.
Welche Arten des zweiten Faktors gibt es?
Am häufigsten verbreitet sind Authenticator-Apps, die alle 30 Sekunden einen neuen, nur kurz gültigen Zahlencode generieren. Diese Apps funktionieren auch offline, da der Code lokal auf dem Gerät berechnet wird.
Alternativ bieten viele Dienste einen Code per SMS an das hinterlegte Mobiltelefon an. Diese Variante ist zwar bequemer einzurichten, gilt aber als weniger sicher, da SMS-Nachrichten unter bestimmten Umständen abgefangen werden können. Physische Sicherheitsschlüssel bieten den höchsten Schutz, sind aber im Alltag weniger verbreitet.
Bewahre die bei Einrichtung angezeigten Backup-Codes unbedingt an einem sicheren, separaten Ort auf. Geht das Smartphone mit der Authenticator-App verloren und fehlen die Backup-Codes, kann der Zugriff auf das eigene Konto dauerhaft blockiert sein.
Wie richtet man die Zwei-Faktor-Authentifizierung ein?
Die Einrichtung erfolgt meist in den Sicherheitseinstellungen des jeweiligen Kontos unter einem Punkt wie „Zwei-Faktor-Authentifizierung“ oder „Bestätigung in zwei Schritten“. Dort wird in der Regel ein QR-Code angezeigt, der mit einer zuvor installierten Authenticator-App gescannt wird.
Nach dem Scannen zeigt die App sofort einen sechsstelligen Code an, der zur Bestätigung einmalig im jeweiligen Dienst eingegeben werden muss. Anschließend generiert die App bei jedem weiteren Login automatisch neue Codes.
Eine einzelne Authenticator-App kann in der Regel problemlos die Codes für mehrere Dienste gleichzeitig verwalten, sodass ein einziges Smartphone für alle wichtigen Konten ausreicht. Wer zusätzliche Sicherheit möchte, kann viele Authenticator-Apps zudem mit einem eigenen Geräte-Passwort schützen, sodass selbst bei entsperrtem Smartphone ein weiterer Schutz besteht.
Welche Konten sollten zuerst geschützt werden?
Besondere Priorität verdient das E-Mail-Konto, da darüber bei den meisten anderen Diensten das Passwort zurückgesetzt werden kann — ein kompromittiertes E-Mail-Konto gefährdet damit indirekt auch alle verknüpften Accounts. Online-Banking und Zahlungsdienste sollten ebenfalls hohe Priorität haben.
Danach folgen Social-Media-Konten und Cloud-Speicher-Dienste, da sie oft persönliche Fotos, Dokumente oder private Nachrichten enthalten, die im Falle eines Zugriffs Dritter erheblichen Schaden anrichten könnten.
💬 Meine EinschätzungViele schieben die Einrichtung auf, weil sie einen zusätzlichen Schritt beim Login als ständige Belastung empfinden. In der Praxis fragen die meisten Dienste den zweiten Faktor aber nur bei neuen oder unbekannten Geräten erneut ab — im Alltag auf dem eigenen Smartphone oder Laptop merkt man von der zusätzlichen Sicherheit kaum etwas.
- Authenticator-Apps gelten als sicherer als SMS-Codes.
- Backup-Codes bei Einrichtung unbedingt sicher aufbewahren.
- E-Mail-Konto und Online-Banking sollten zuerst geschützt werden.
- Der zweite Faktor wird meist nur bei neuen Geräten erneut abgefragt.
Häufige Fragen zur Zwei-Faktor-Authentifizierung
Was tun, wenn das Smartphone mit der Authenticator-App verloren geht?
Mit den zuvor gesicherten Backup-Codes kann der Zugriff wiederhergestellt werden, ansonsten hilft meist nur der Identitätsnachweis beim Support des jeweiligen Dienstes.
Kostet die Nutzung einer Authenticator-App etwas?
Nein, die gängigen Authenticator-Apps sind kostenlos in den App-Stores erhältlich.
Funktioniert die Authenticator-App auch ohne Internetverbindung?
Ja, die Codes werden lokal auf dem Gerät berechnet und benötigen keine aktive Internetverbindung.
Kann man die Zwei-Faktor-Authentifizierung wieder deaktivieren?
Ja, in den Sicherheitseinstellungen der meisten Dienste lässt sie sich jederzeit wieder deaktivieren, was aus Sicherheitsgründen aber nicht empfohlen wird.
Wer 2FA auf einem frisch aktualisierten Rechner einrichtet, findet Hintergründe zum aktuellen Update unter Windows 11 Update: Anleitung, Probleme und Lösungen.
Quellen und weiterführende Literatur
- Bundesamt für Sicherheit in der Informationstechnik · bsi.bund.de · Offizielle Empfehlungen zur Absicherung von Online-Konten.
- Verbraucherzentrale · verbraucherzentrale.de · Praktische Anleitungen zur Kontosicherheit für Verbraucher.
Wer die Kontosicherheit weiter verbessern möchte, findet Tipps im Ratgeber zu sicheren Passwörtern.
Zuletzt aktualisiert: September 2026.
Authenticator-App: welche, wie einrichten, wie sichern
Die App erzeugt alle dreißig Sekunden einen sechsstelligen Code aus einem Geheimnis, das beim Einrichten per QR-Code übertragen wurde. Sie braucht danach kein Netz und keine SIM; deshalb ist sie SMS-Codes überlegen, die mit einer übernommenen Nummer abgefangen werden können. Alle Apps, die den offenen Standard TOTP unterstützen, sind untereinander austauschbar; der Dienst, den man absichert, schreibt keine bestimmte App vor, auch wenn seine Anleitung eine nennt.
Sichern: Manche Apps bieten eine verschlüsselte Cloud-Sicherung der Geheimnisse, andere einen Export als Datei. Wer weder das eine noch das andere hat und das Handy verliert, muss bei jedem Dienst einzeln über die Wiederherstellungscodes oder den Support zurück. Eine zweite Absicherung, etwa ein Hardware-Schlüssel oder eine zweite Authenticator-Installation auf dem Tablet, ist für E-Mail und Bank sinnvoll; für alles andere reichen die Codes im Passwortmanager.
