Die Zwei-Faktor-Authentifizierung, meist als 2FA abgekürzt, fügt nach der Eingabe Ihres Passworts einen weiteren Verifizierungsschritt hinzu. Selbst wenn jemand dieses Passwort herausfindet oder errät, benötigt er dennoch den zweiten Faktor, bevor er sich anmelden kann.

Dieser Leitfaden erklärt das Prinzip in verständlicher Sprache, vergleicht gängige 2FA-Methoden und zeigt, wie zeitbasierte Authentifizierungscodes in den Prozess eingebunden werden.

Was bedeutet 2FA?

2FA bedeutet, dass Sie Ihre Identität mit zwei verschiedenen Arten von Nachweisen bestätigen. Authentifizierungsfaktoren werden üblicherweise in drei Kategorien unterteilt:

  • Etwas, das Sie wissen: ein Passwort oder eine PIN.
  • Etwas, das Sie besitzen: ein Smartphone, eine Authentifizierungs-App oder einen Hardware-Sicherheitsschlüssel.
  • Etwas, das Sie sind: ein biometrisches Merkmal wie ein Fingerabdruck oder ein Gesichtsscan.

Ein Passwort plus ein weiteres Passwort ist keine echte Zwei-Faktor-Authentifizierung, da beide zur gleichen Kategorie „etwas, das Sie wissen“ gehören. Ein Passwort plus ein auf einem Gerät generierter Code nutzt zwei verschiedene Arten von Faktoren.

Wie funktioniert 2FA?

Der genaue Ablauf variiert je nach Dienst, aber eine typische Anmeldung erfolgt in vier Schritten:

  1. Sie geben Ihren Benutzernamen und Ihr Passwort ein.
  2. Der Dienst überprüft das Passwort und fordert einen zweiten Faktor an.
  3. Sie bestätigen eine Benachrichtigung, stecken einen Sicherheitsschlüssel ein oder geben einen temporären Code ein.
  4. Der Dienst überprüft diesen zweiten Nachweis und gewährt Zugriff.

Dieser zusätzliche Schritt mindert den Wert eines gestohlenen Passworts. Er macht es zwar nicht unmöglich, ein Konto zu kompromittieren, verhindert jedoch viele Angriffe, die ausschließlich auf dem Passwort basieren.

Was ist ein TOTP-Code?

TOTP steht für „time-based one-time password“ (zeitbasiertes Einmalpasswort). Bei der Einrichtung erhalten die Website und Ihr Authentifikator denselben privaten Einrichtungsschlüssel. Ihr Authentifikator kombiniert dieses Geheimnis mit der aktuellen Uhrzeit, um einen kurzen Code zu berechnen – normalerweise sechs Ziffern –, der sich etwa alle 30 Sekunden ändert.

Die Website führt dieselbe Berechnung durch. Stimmt der von Ihnen eingegebene Code mit dem für das aktuelle Zeitfenster erwarteten Wert überein, wird der zweite Schritt akzeptiert. Es ist keine SMS erforderlich, und das Gerät kann Codes in der Regel auch im Offline-Modus berechnen.

Wenn Sie bereits über einen autorisierten Base32-Einrichtungsschlüssel verfügen, können Sie unseren browserbasierten 2FA-Code-Generator verwenden, um einen TOTP-Code zu berechnen. Lesen Sie nach, wie Sie einen geheimen 2FA-Schlüssel finden, bevor Sie etwas eingeben, da ein Passwort oder ein Wiederherstellungscode nicht derselbe Wert ist.

TOTP flow from private key and synchronized time to a verified code
Ein TOTP-Authentifikator kombiniert einen privaten Einrichtungsschlüssel mit der synchronisierten Zeit, um einen temporären Code zu erzeugen.

Gängige Arten der 2FA

Codes aus Authentifikator-Apps

Authentifizierungs-Apps generieren TOTP-Codes aus einem gemeinsamen Geheimnis. Sie funktionieren auch ohne Mobilfunkempfang und werden weitgehend unterstützt. Die Hauptrisiken bestehen darin, das Gerät ohne Backup zu verlieren oder den Einrichtungsschlüssel preiszugeben.

SMS- oder Sprachcodes

Ein Dienst sendet einen temporären Code an Ihre Telefonnummer. SMS sind leicht zugänglich und besser als die ausschließliche Verwendung eines Passworts, können jedoch SIM-Swap-Angriffen, der Neuzuweisung von Rufnummern, dem Abfangen oder Zustellungsproblemen ausgesetzt sein.

Push-Benachrichtigungen

Eine App fordert Sie auf, eine Anmeldung zu genehmigen oder abzulehnen. Die Push-Verifizierung ist praktisch, aber Sie sollten die Aufforderung sorgfältig lesen und unerwartete Anfragen ablehnen. Wiederholte Aufforderungen können ein Versuch sein, Sie dazu zu bringen, versehentlich zuzustimmen.

Hardware-Sicherheitsschlüssel und Passkeys

Sicherheitsschlüssel und Passkeys nutzen die Kryptografie mit öffentlichen Schlüsseln und können einen stärkeren Schutz vor Phishing bieten. Sofern verfügbar, sind sie oft die bessere erste Wahl für wichtige Konten, da die Wiederherstellungsmethoden sicher gespeichert sind.

Backup-Codes

Wiederherstellungs- oder Backup-Codes sind Notfall-Zugangsdaten, keine alltäglichen TOTP-Codes. Speichere sie offline oder in einem sicheren Passwortmanager und markiere jeden einzelnen bei Bedarf als „verwendet“.

Ist 2FA dasselbe wie MFA?

MFA steht für Multi-Faktor-Authentifizierung und umfasst die Authentifizierung unter Verwendung von zwei oder mehr Faktortypen. 2FA ist der spezielle Fall, bei dem genau zwei Faktoren erforderlich sind. In alltäglichen Produktschnittstellen werden die Begriffe oft synonym verwendet.

So aktivieren Sie 2FA sicher

  1. Öffnen Sie die offiziellen Sicherheitseinstellungen für das Konto.
  2. Wählen Sie eine Authentifizierungs-App, einen Passkey oder einen Sicherheitsschlüssel, sofern diese unterstützt werden.
  3. Scannen Sie den QR-Code oder geben Sie den manuellen Einrichtungscode auf einem vertrauenswürdigen Gerät ein.
  4. Geben Sie den ersten generierten Code ein, um die Einrichtung zu bestätigen.
  5. Laden Sie die Wiederherstellungscodes herunter und bewahren Sie diese getrennt von Ihrem Alltagsgerät auf.
  6. Fügen Sie eine zweite Wiederherstellungsmethode hinzu, sofern der Dienst dies unterstützt.

Geben Sie den QR-Code oder den manuellen Einrichtungsschlüssel niemals weiter. Jeder, der an diesen geheimen Schlüssel gelangt, kann damit künftig dieselben TOTP-Codes generieren. In unserer Datenschutzerklärung wird erläutert, wie das öffentliche Tool mit Authentifizierungsdaten umgeht.

Warum wird mein 2FA-Code abgelehnt?

Das häufigste TOTP-Problem ist eine falsche Geräteuhrzeit. Weitere Ursachen sind die Verwendung eines abgelaufenen Codes, das Kopieren des falschen Geheimnisses, die Auswahl des falschen Authentifikator-Eintrags oder der Versuch, einen Backup-Code in einem TOTP-Feld zu verwenden. Befolgen Sie unsere Checkliste in der angegebenen Reihenfolge, wenn ein 2FA-Code nicht funktioniert.

Häufig gestellte Fragen

Ersetzt 2FA ein sicheres Passwort?

Nein. Verwenden Sie für jeden Dienst ein einzigartiges Passwort und aktivieren Sie 2FA als zusätzliche Sicherheitsstufe. Ein Passwortmanager kann Ihnen dabei helfen, einzigartige Passwörter zu erstellen und zu speichern.

Kann 2FA gehackt werden?

Keine Sicherheitsmaßnahme ist absolut sicher. Angreifer können Phishing, Sitzungsdiebstahl, Malware, den Missbrauch von Wiederherstellungsprozessen oder gestohlene Geheimnisse nutzen. Phishing-resistente Methoden wie Sicherheitsschlüssel und Passkeys reduzieren einige dieser Risiken.

Sollte ich einen Online-2FA-Generator verwenden?

Für den langfristigen täglichen Gebrauch ist ein vertrauenswürdiger Offline-Authentifikator oder eine hardwaregestützte Methode in der Regel vorzuziehen. Ein Browser-Tool kann für autorisierte Tests oder vorübergehende Arbeitsabläufe nützlich sein, jedoch nur auf einem Gerät und in einer Browserumgebung, denen Sie vertrauen.

Die kurze Antwort

2FA schützt ein Konto, indem zwei verschiedene Arten von Nachweisen verlangt werden. TOTP-Authentifizierungscodes sind ein gängiger zweiter Faktor, während Passkeys und Hardware-Sicherheitsschlüssel eine höhere Phishing-Resistenz bieten können. Unabhängig davon, für welche Methode Sie sich entscheiden: Schützen Sie Wiederherstellungscodes und Einrichtungsgeheimnisse genauso sorgfältig wie Passwörter.