Von SMS-Codes zu Passkeys: Der vollständige Leitfaden zur Zwei-Faktor-Authentifizierung

Dir wurde wahrscheinlich schon gesagt, dass du die Zwei-Faktor-Authentifizierung – auch 2FA oder MFA genannt – für alle deine Konten aktivieren sollst. Und das ist ein guter Rat. Aber hier ist etwas, das die meisten Anleitungen übersehen: Nicht alle Zwei-Faktor-Authentifizierungen sind gleich. Manche Formen sind wirklich stark. Manche können von einem Hacker in weniger als fünf Minuten umgangen werden. Und eine Art – Passkeys – funktioniert so anders als alle anderen, dass es kaum wie eine Sicherheitsmaßnahme wirkt, obwohl es die sicherste heute verfügbare Option ist.

Dieser Leitfaden behandelt jede wichtige Art von MFA, bewertet sie ehrlich und widmet anschließend etwas mehr Zeit den Passkeys – weil sie neu sind, verwirrend sein können und sobald man versteht, wie sie funktionieren, wird man sie überall dort verwenden wollen, wo sie verfügbar sind.

Erstens: Was ist Zwei-Faktor-Authentifizierung?

Authentifizierung ist der Prozess, bei dem ein System bestätigt, dass Sie die Person sind, die Sie zu sein vorgeben. Traditionell ist das ein Benutzername und Passwort – etwas, das Sie wissen. Die Zwei-Faktor-Authentifizierung fügt eine zweite Überprüfung aus einer anderen Kategorie hinzu:

Etwas, das Sie wissen (Passwort, PIN)
Etwas, das Sie haben (Ihr Telefon, ein Hardware-Schlüssel)
Etwas, das Sie sind (Ihr Fingerabdruck, Ihr Gesicht)

Die Idee ist, dass selbst wenn ein Angreifer dein Passwort bekommt, er sich ohne den zweiten Faktor immer noch nicht einloggen kann. Das ist grundsätzlich sinnvoll – wie sicher es in der Praxis ist, hängt jedoch stark davon ab, welchen zweiten Faktor du verwendest.

Die MFA-Methoden, vom schwächsten bis zum stärksten geordnet

1. SMS-Textnachrichten-Codes — Praktisch, aber zerbrechlich

Wenn Sie sich anmelden und ein sechsstelliger Code per SMS ankommt, ist das SMS-OTP (Einmalpasswort). Es ist die weltweit am häufigsten verwendete Form der Zwei-Faktor-Authentifizierung und leider eine der schwächsten.

Wie es funktioniert: Der Dienst erzeugt einen kurzfristigen Code und sendet ihn an Ihre Telefonnummer. Sie geben den Code ein, um die Anmeldung abzuschließen.

Warum es verwundbar ist:

SIM-Tausch: Ein Angreifer ruft Ihren Mobilfunkanbieter an, gibt sich als Sie aus und überzeugt ihn, Ihre Telefonnummer auf eine SIM-Karte zu übertragen, die er kontrolliert. Ihre Nachrichten – einschließlich 2FA-Codes – gehen nun an den Angreifer.
Echtzeit-Phishing: Eine gefälschte Login-Seite sammelt Ihren Benutzernamen, Ihr Passwort und den SMS-Code, den Sie erhalten, und leitet alle drei sofort an die echte Seite weiter, bevor der Code abläuft.
SS7-Protokoll-Schwachstellen: Das zugrunde liegende Mobilfunknetzprotokoll weist bekannte Schwächen auf, die das Abfangen von SMS auf Netzebene ermöglichen können.

Das FBI und die CISA gaben beide im Jahr 2025 Warnungen vor der Verwendung von SMS für die Authentifizierung heraus. Die aktualisierten Digital Identity Guidelines des NIST (SP 800-63-4, abgeschlossen im Juli 2025) stuften die SMS-basierte Authentifizierung deutlich herab und betrachteten sie nicht länger als einen robusten zweiten Faktor.

Fazit: SMS-2FA ist deutlich besser als keine 2FA. Aber wenn Sie eine andere Option haben, nutzen Sie diese.

2. E-Mail-OTP – Dasselbe Problem, anderer Kanal

E-Mail-Einmalcodes funktionieren genauso wie SMS — ein Code wird an Ihre E-Mail-Adresse gesendet, den Sie zur Anmeldung eingeben. Die Sicherheit ist ungefähr gleichwertig: Wenn Ihre E-Mail kompromittiert wird, ist auch dieser zweite Faktor betroffen. Eine Phishing-Seite kann einen E-Mail-OTP genauso leicht erfassen wie einen SMS-OTP.

Fazit: In einigen Bedrohungsmodellen geringfügig besser als SMS, in anderen schlechter. Kein starker zweiter Faktor.

3. Authentifikator-Apps (TOTP) — Die derzeit vernünftige Standardeinstellung

Apps wie Google Authenticator, Microsoft Authenticator und Authy erzeugen sechsstellige Codes, die alle 30 Sekunden aktualisiert werden. Diese werden TOTP-Codes genannt – zeitbasierte Einmalpasswörter. Sie werden vollständig auf Ihrem Gerät erzeugt, ohne dass eine Netzwerkübertragung erfolgt.

Wie es funktioniert: Wenn Sie 2FA mit einer Authenticator-App einrichten, teilt der Dienst einen geheimen Schlüssel mit Ihrer App (in der Regel über einen QR-Code). Von diesem Zeitpunkt an generieren sowohl Ihre App als auch der Server unabhängig alle 30 Sekunden denselben Code unter Verwendung dieses gemeinsamen Schlüssels und der aktuellen Zeit. Wenn Sie einen Code eingeben, überprüft der Server, ob er mit dem übereinstimmt, was er selbst erzeugt hätte.

Warum es besser als SMS ist:

Der Code wird niemals über ein Netzwerk gesendet – er wird lokal auf Ihrem Gerät generiert
SIM-Swapping funktioniert nicht – es gibt keine SMS abzufangen
Keine Netzbetreiberinfrastruktur ist beteiligt

Wo es immer noch zu kurz kommt:

TOTP-Codes sind in Echtzeit weiterhin anfällig für Phishing. Eine überzeugende gefälschte Anmeldeseite kann Ihren Benutzernamen, Ihr Passwort und Ihren TOTP-Code erfassen und sie auf der echten Website wiederverwenden, bevor das 30-Sekunden-Fenster abläuft. Verizons Data Breach Investigations Report 2025 listet Adversary-in-the-Middle-Angriffe als eine aktive Technik auf, die verwendet wird, um TOTP-basiertes MFA zu umgehen.
Wenn Malware auf Ihrem Gerät den geteilten geheimen Schlüssel stiehlt, können unbegrenzt gültige Codes generiert werden.

Fazit: Authenticator-Apps sind heute für die meisten Menschen die vernünftige Standardwahl. Verwenden Sie sie anstelle von SMS, wann immer möglich. Sie sind jedoch nicht phishing-geschützt.

4. Push-Benachrichtigungen — praktisch, aber schnell bombardierbar

Einige Dienste senden eine Push-Benachrichtigung an Ihr Telefon, in der Sie gebeten werden, eine Anmeldung zu genehmigen. Sie tippen auf „Ja“ und sind angemeldet. Microsoft Authenticator und Duo verwenden dieses Modell.

Warum es schwach sein kann: „MFA-Müdigkeit“ oder „Prompt-Bombing“ — Angreifer, die Ihr Passwort haben, senden wiederholt Login-Anfragen um 3 Uhr morgens in der Hoffnung, dass Sie einfach auf „Genehmigen“ tippen, nur um die Benachrichtigungen zu stoppen. Der Verizon DBIR 2025 berichtet, dass Prompt-Bombing in 14 % der Vorfälle in seinem Datensatz auftritt.

Moderne Push-Implementierungen mindern dies durch Zahlenabgleich (Sie müssen eine auf dem Anmeldebildschirm angezeigte spezifische Zahl in die App eingeben). Wenn Ihr Anbieter dies anbietet, aktivieren Sie es.

Fazit: Bequem und mit modernen Schutzmaßnahmen vernünftig sicher. Trotzdem nicht phishing-resistent.

5. Hardware-Sicherheitsschlüssel — Der Goldstandard (vorerst)

Physische Hardware-Schlüssel – wobei YubiKey der bekannteste ist – sind kleine USB- oder NFC-Geräte, die man zum Authentifizieren einsteckt oder antippt. Sie verwenden die FIDO2/WebAuthn-Standards und sind vollständig phishing-resistent.

Wie es funktioniert: Der Schlüssel speichert einen privaten Schlüssel, der das Gerät niemals verlässt. Wenn Sie sich authentifizieren, sendet der Server eine Herausforderung, die der Hardware-Schlüssel mit seinem privaten Schlüssel signiert. Der Server überprüft die Signatur mit dem entsprechenden öffentlichen Schlüssel, den er während der Einrichtung gespeichert hat.

Warum sie die stärkste verfügbare Option sind:

Der private Schlüssel verlässt nie das physische Gerät – er kann nicht gefischt, aus der Ferne gestohlen oder durch Malware extrahiert werden
Die Authentifizierung ist an die spezifische Domain gebunden, auf der Sie sich anmelden – wenn Sie auf einer gefälschten Seite sind, funktioniert der Schlüssel einfach nicht
Keine Codes zum Eingeben, keine Codes zum Abfangen

Die Nachteile:

Sie kosten Geld (25–70 $ pro Schlüssel)
Du musst einen bei dir tragen
Nicht jeder Dienst unterstützt sie

Fazit: Die derzeit stärkste verfügbare MFA-Option. Empfohlen für alle, die Zugriff auf höchst sensible Systeme haben.

6. Passkeys — Ganz etwas anderes

Und jetzt kommen wir zu Passwörtern. Passkeys sind wirklich neu, und sie funktionieren so anders als alles zuvor, dass es sich lohnt, sich die Zeit zu nehmen, sie richtig zu verstehen.

Die kurze Version: Ein Passkey ermöglicht es Ihnen, sich mit Ihrem Gesicht, Fingerabdruck oder Geräte-PIN anzumelden – ohne Passwort und ohne einen Code eingeben zu müssen. Es ist schneller als jede andere Methode und vollständig gegen Phishing geschützt. Wenn Sie sich kürzlich bei einer App angemeldet haben, indem Sie einfach auf Ihr Telefon geschaut haben, haben Sie möglicherweise bereits einen verwendet, ohne es zu merken.

Wie Passkeys Tatsächlich Funktionieren

Das ist der Teil, den die meisten Anleitungen überspringen. Lassen Sie uns ihn richtig durchgehen.

Die Einrichtung: Zwei Schlüssel, nicht einer

Wenn Sie einen Passkey für eine Website oder App erstellen, erzeugt Ihr Gerät zwei mathematisch verknüpfte Schlüssel:

Ein privater Schlüssel, der sicher auf Ihrem Gerät gespeichert wird (in einem sicheren Chip oder im sicheren Bereich Ihres Geräts — er verlässt das Gerät niemals)
Ein öffentlicher Schlüssel, der an die Website gesendet und dort gespeichert wird

Stellen Sie sich den öffentlichen Schlüssel wie ein Vorhängeschloss vor, das Sie der Website geben. Der private Schlüssel ist der einzige Schlüssel, der es öffnen kann. Sie behalten den privaten Schlüssel; die Website behält das Vorhängeschloss.

Anmeldung: Herausforderung und Signatur

Wenn Sie zurückkommen, um sich anzumelden:

Die Website sendet Ihrem Gerät eine zufällige Herausforderung — im Grunde ein einzigartiges Datenstück, das sagt „beweise, dass du es bist“
Ihr Gerät fordert Sie auf, Ihre Identität zu verifizieren — Face ID, Fingerabdruck oder PIN
Sobald Sie verifiziert sind, verwendet Ihr Gerät den privaten Schlüssel, um die Herausforderung kryptografisch zu signieren
Die signierte Antwort wird an die Website zurückgesendet
Die Website verwendet ihren gespeicherten öffentlichen Schlüssel, um die Signatur zu überprüfen

Wenn die Unterschrift stimmt, bist du drin. Das Ganze dauert weniger als eine Sekunde.

Warum dies grundsätzlich anders ist

Kein gemeinsames Geheimnis. Bei einem Passwort oder TOTP-Code gibt es ein Geheimnis, das sowohl Sie als auch der Server kennen. Wenn der Server gehackt wird oder wenn jemand Sie dazu bringt, es auf einer gefälschten Website einzugeben, ist dieses Geheimnis kompromittiert. Bei einem Passkey verlässt Ihr privater Schlüssel niemals Ihr Gerät — die Website sieht nur Ihren öffentlichen Schlüssel, der für einen Angreifer allein nutzlos ist.

Ursprungsbindung. Ein Passkey ist kryptografisch an die spezifische Domain gebunden, für die er erstellt wurde — zum Beispiel google.com. Wenn ein Angreifer eine gefälschte Website unter g00gle.com erstellt und Sie dazu verleitet, sich dort einzuloggen, wird Ihr Gerät keinen Passkey für diese Domain finden. Die Authentifizierung wird einfach nicht durchgeführt. Genau das bedeutet in der Praxis „phishing-resistent“ — nicht, dass es schwierig ist, Phishing durchzuführen, sondern dass es technisch unmöglich ist, Phishing durchzuführen.

Ihre biometrischen Daten bleiben auf Ihrem Gerät. Wenn Sie Face ID oder einen Fingerabdruck mit einem Passkey verwenden, verlassen Ihre biometrischen Daten Ihr Telefon niemals. Sie werden lokal verwendet, um den privaten Schlüssel zu entsperren. Die Website sieht niemals Ihr Gesicht oder Ihren Fingerabdruck — sie sieht nur eine kryptografische Signatur.

Zwei Arten von Passkeys

Synchronisierte Zugangsschlüssel werden in deinem Passwort-Manager oder Cloud-Konto gespeichert – iCloud-Schlüsselbund für Apple-Geräte, Google Passwort-Manager für Android oder ein Drittanbieter-Manager wie 1Password oder Bitwarden. Wenn du auf deinem iPhone einen Zugangsschlüssel erstellst, wird er automatisch mit deinem iPad und Mac synchronisiert. Die aktualisierten Richtlinien des NIST von 2025 erkennen synchronisierte Zugangsschlüssel offiziell als Erfüllung des Standards für starke Multi-Faktor-Authentifizierung (AAL2) an.

Gerätegebundene Passkeys werden auf einem einzigen physischen Gerät gespeichert und verlassen dieses niemals – einschließlich Hardware-Sicherheitsschlüsseln wie YubiKeys. Dies ist die Option mit der höchsten Sicherheit und eignet sich für stark regulierte Umgebungen oder Konten mit erhöhtem Risiko. Der Nachteil ist, dass der Verlust des Geräts den Verlust des Passkeys bedeutet.

Für die meisten Menschen sind synchronisierte Passkeys die richtige Wahl.

Der Stand der Passkeys im Jahr 2025

Passkeys sind schnell vom frühen Anwender zum Mainstream übergegangen. Einige Höhepunkte:

Passkeys sind jetzt auf über 90 % der iOS- und Android-Geräte verfügbar
Basierend auf Daten von einer Million realer Authentifizierungstransaktionen machen Passkeys jetzt 62 % aller von Authsignal verarbeiteten Authentifizierungsanfragen aus — im Vergleich zu 33 % bei SMS
Uber, Roblox, DocuSign, Google, Amazon, PayPal und Microsoft haben alle Passkeys eingeführt
Roblox berichtete über einen Rückgang von Account-Übernahmen um 15 % nach der Einführung von Passkeys, mit einer Login-Erfolgsquote von 82,5 % im Vergleich zu 67,7 % bei SMS-OTP
Das NIST hat SP 800-63-4 im Juli 2025 abgeschlossen und verlangt phishing-resistente MFA für alle Bundesbehörden — synchronisierte Passkeys erfüllen nun die Anforderungen

Passkeys sind nicht experimentell. Sie sind die Richtung, in die sich die Authentifizierung entwickelt.

Welches sollten Sie verwenden?

SMS-OTP — Besser als nichts, aber tauschen Sie es aus, wenn Sie können
E-Mail-OTP — Ähnlich wie SMS; vermeiden Sie es, wenn Sie bessere Optionen haben
Authenticator-App (TOTP) — Verwenden Sie dies heute als Standard
Push-Benachrichtigung — Gut, wenn Ihr Anbieter eine Nummernbestätigung einschließt
Hardware-Sicherheitsschlüssel — Die stärkste Option für Konten mit hohem Wert
Passkey — Verwenden Sie ihn, wo immer er verfügbar ist; schneller und sicherer als alle oben genannten

Die ehrliche Rangliste vom schwächsten zum stärksten: SMS ≈ E-Mail-OTP < TOTP < Push (mit Abgleich) < Passkey / Hardware-Schlüssel.

A Hinweis zu Passkey-Einschränkungen

Passkeys sind noch nicht perfekt:

Die Kontowiederherstellung entwickelt sich noch. Wenn Sie alle Ihre Geräte verlieren und keine Sicherung haben, kann es kompliziert sein, wieder auf ein nur durch Passkeys geschütztes Konto zuzugreifen.
Die plattformübergreifende Nutzung verbessert sich, ist aber noch nicht nahtlos. Das Verschieben von Passkeys zwischen Apple- und Android-Ökosystemen wird einfacher, ist aber für jeden Benutzer noch nicht reibungslos.
Noch nicht jeder Dienst unterstützt sie. Die Akzeptanz wächst schnell, aber viele Websites haben Passkeys noch nicht implementiert. Falls nicht verfügbar, verwenden Sie eine Authentifikator-App.

Was wir bei ## glauben Evolving Cyber

Authentifizierung ist einer der Bereiche, in denen Software-Designentscheidungen die direktesten Auswirkungen auf die Sicherheit haben. Passkeys existieren, weil die FIDO-Allianz — unterstützt von Apple, Google und Microsoft — beschlossen hat, einen Standard zu entwickeln, der von Natur aus phishing-resistent ist, nicht durch Richtlinien. Das ist die Art von Denken, an die wir glauben: Sicherheit, die funktioniert, weil sie so gebaut ist, nicht weil Benutzer Anweisungen richtig befolgen.

Aktivieren Sie Passwörter überall dort, wo Sie können. Und für alles andere verwenden Sie eine Authentifikator-App anstelle von SMS.

Kurzübersicht: Ihre Checkliste für das Authentifizierungs-Upgrade

Überprüfen Sie, was Sie derzeit verwenden. Gehen Sie zu den Sicherheitseinstellungen Ihrer wichtigsten Konten und sehen Sie nach, welche 2FA-Methode aktiviert ist.
Ersetzen Sie SMS-2FA durch eine Authentifikator-App bei jedem Konto, das dies unterstützt.
Aktivieren Sie Passkeys bei jedem Konto, das sie anbietet — Google, Apple, Microsoft, PayPal und Amazon unterstützen sie jetzt alle.
Ziehen Sie einen Passwort-Manager mit Passkey-Unterstützung in Betracht — Bitwarden, 1Password und Dashlane synchronisieren alle Passkeys über Geräte hinweg.
Für Konten mit hohem Wert, ziehen Sie einen Hardware-Sicherheitsschlüssel als Backup-Authenticator in Betracht.
Richten Sie Kontowiederherstellungsoptionen ein, bevor Sie sie benötigen.