Passwörter & Zwei-Faktor

Kurz zusammengefasst

• Zwei Gewohnheiten verhindern die grosse Mehrheit von Kontomissbrauchsfällen bei Privatpersonen: ein einzigartiges starkes Passwort für jedes Konto (was nur ein Passwort-Manager realistisch macht) und ein zweiter Authentifizierungsfaktor.
• Ein Passwort ist etwas, das du weisst. Ein zweiter Faktor ist etwas, das du hast (ein Telefon, ein Schlüssel) oder etwas, das du bist (ein Fingerabdruck, ein Gesicht). Ein Angreifer, der eines davon stiehlt, braucht trotzdem die anderen.
• Nutze eine Authentifizierungs-App statt SMS-Codes, wenn du die Wahl hast — Textnachrichten können durch SIM-Swap-Angriffe abgefangen werden.
• Passkeys sind die neue Richtung. Sie ersetzen Passwörter durch etwas Sichereres, das gleichzeitig einfacher zu benutzen ist. Richte sie auf Konten ein, die sie anbieten.
• Das wichtigste Konto in deinem Leben ist deine E-Mail. Schütze es wie einen Pass. Alles andere kann darüber zurückgesetzt werden.

Was das ist

Wenn du dich bei fast allem online anmeldest, muss das System wissen, dass du wirklich du bist. Der traditionelle Weg ist ein Passwort — ein Geheimnis, das nur du kennen solltest. Das Problem mit Passwörtern ist inzwischen bekannt: Menschen verwenden sie mehrfach, schreiben sie unsicher auf und wählen schwache. Angreifer verlassen sich darauf.

Zwei-Faktor-Authentifizierung (2FA, manchmal auch Multi-Faktor oder MFA genannt) fügt einen zweiten Beweis hinzu: etwas, das nur der echte du haben sollte. Meistens:

• Ein sechsstelliger Code aus einer Authentifizierungs-App auf deinem Telefon (Google Authenticator, Microsoft Authenticator, Authy, Aegis auf Android, FreeOTP).
• Ein per SMS gesendeter Code — bequem, aber die schwächste der gängigen Optionen, weil Telefonnummern entführt werden können.
• Eine Push-Benachrichtigung in einer App, der du bereits vertraust ("Warst das du beim Einloggen?").
• Ein Sicherheitsschlüssel — ein kleines physisches Gerät, das in einen USB-Anschluss gesteckt wird oder das Telefon berührt (YubiKey, Google Titan, Nitrokey).
• Ein Passkey — eine neuere kryptographische Anmeldeinformation, die auf deinem Telefon oder Computer gespeichert ist und das Passwort vollständig ersetzt. Du entsperrst es mit deinem Fingerabdruck oder Gesicht, und das Gerät beweist deine Identität gegenüber der Website. Kein Passwort, das gestohlen werden könnte.

Selbst ein Angreifer, der irgendwie an dein Passwort kommt, kann sich ohne den zweiten Faktor nicht anmelden. Dieser einzelne Schritt blockiert die Mehrheit der Kontomissbrauchsfälle.

Wie man ein starkes Passwort wählt

Die Regeln haben sich geändert, und der alte Rat war grösstenteils falsch.

• Lang schlägt kompliziert. Eine 16-Zeichen-Passphrase aus vier zufälligen Wörtern ist stärker als eine 8-Zeichen-Mischung aus Symbolen. Angreifer betreiben riesige Passwort-Ratmaschinen; Länge zählt mehr als Satzzeichen.
• Einzigartig für jedes Konto, immer. Wenn die Datenbank einer Website gestohlen wird und dein Passwort geleakt wird, ist jedes andere Konto, bei dem du dasselbe Passwort verwendet hast, erreichbar. So passiert der grösste Teil des nicht gezielten Kontomissbrauchs tatsächlich.
• Keine persönlichen Informationen einschliessen, die ein Angreifer finden oder erraten könnte: den Namen deines Hundes, dein Geburtsjahr, dein Lieblingsteam, den Namen deines Kindes plus Geburtsjahr.
• Keine vorhersehbaren Muster. "Fruehling2025!" stand in einem Passwort-Cracking-Wörterbuch, bevor es auf deinem Monitor stand.
• Nicht wiederverwenden, auch nicht mit kleinen Abwandlungen. MeinPasswort1 und MeinPasswort2 werden von Angreifern als dasselbe Passwort behandelt.

Der einzig realistische Weg, Dutzende einzigartiger starker Passwörter zu haben, ist ein Passwort-Manager. Unter Passwort-Manager erklärt erfährst du, wie du einen auswählst.

Wie man einen zweiten Faktor wählt

In der Reihenfolge der Stärke, für normale Menschen:

1. Passkey. Wo angeboten, ist das am besten. Kein Passwort überhaupt. Phishing-resistent von Grund auf.
2. Hardware-Sicherheitsschlüssel. Ein kleines physisches Gerät. Phishing-resistent. Am besten für E-Mail- und Bankkonten. Der Preis (25–60 € pro Stück, idealerweise zwei für ein Backup) ist durch den Schutz gerechtfertigt, den er deiner E-Mail und deinem Geld gibt.
3. Authentifizierungs-App. Eine kostenlose App auf deinem Telefon, die alle 30 Sekunden einen neuen sechsstelligen Code generiert. Stark, einfach, weit verbreitet unterstützt.
4. SMS-Code. Besser als nichts. Anfällig für SIM-Swap-Angriffe. Nutze ihn nur, wenn keine andere Option angeboten wird; wechsle so schnell wie möglich weg, sobald die Plattform etwas Besseres unterstützt.
5. "Anmeldung genehmigen" Push. Bequem, aber achte auf MFA-Müdigkeitsangriffe — wiederholte Push-Anfragen, die du nicht angefordert hast, in der Hoffnung, dass du aus Gewohnheit auf "genehmigen" tippst. Genehmige niemals eine Anmeldung, die du nicht selbst ausgelöst hast.

Richte das ein — in dieser Reihenfolge

Wenn du diese Woche sonst nichts tust, tu das. In einer ruhigen Stunde mit einem Kaffee.

1. Dein Haupt-E-Mail-Konto zuerst. Das ist der Hauptschlüssel. Setze ein starkes einzigartiges Passwort. Schalte den stärksten verfügbaren 2FA ein. Füge eine Wiederherstellungsmethode hinzu, die nicht nur deine Telefonnummer ist.
2. Deine Bank und alle Zahlungskonten (PayPal, Wise, Revolut, Stripe).
3. Das Konto, das deinen Passwort-Manager selbst enthält, mit dem stärksten 2FA, den du verwenden kannst.
4. Behörden- und Steuerkonten.
5. Deine Social-Media-Konten, weil sie bei einem Kompromiss oft verwendet werden, um deine Freunde und Familie zu phishen.
6. Dein Mobilfunkanbieterkonto, mit einer Portierungs-PIN, wenn dein Anbieter eine anbietet — um SIM-Swap schwieriger zu machen.
7. Grosse Shopping-Konten, besonders solche, die Lieferadressen oder Standardzahlungsmethoden speichern.

Wenn das erledigt ist, können die restlichen Konten nach und nach migriert werden, wenn du dich bei ihnen anmeldest.

Was ist mit Backup-Codes?

Wenn du 2FA einschaltest, bietet die Plattform fast immer einen Satz Backup-Codes an — kurze Zeichenketten, die du verwenden kannst, wenn dein Telefon verloren geht. Drucke sie aus. Lege sie an einen sicheren Ort — eine Schublade, einen Safe, einen Ordner in den Familienunterlagen. Bewahre sie nicht als Screenshot auf deinem Telefon oder als Notiz in deiner E-Mail auf, denn beides kann zusammen mit dem Konto kompromittiert werden.

Wenn eine Plattform es dir erlaubt, zwei Sicherheitsschlüssel zu registrieren, registriere zwei: einen, den du täglich verwendest, einen zu Hause aufbewahrt. Deinen einzigen Schlüssel zu verlieren sperrt dich aus deinem Konto aus, genau wie dein Passwort zu verlieren.

Richte "Falls ich mein Telefon verliere" ein

Plane für den Verlust des Telefons, denn irgendwann passiert es.

• Schreibe (auf Papier) auf, welche Konten Authentifizierungs-App-Codes verwenden und wo die Backup-Codes für jeden gespeichert sind.
• Stelle sicher, dass du deine E-Mail über eine Wiederherstellungs-E-Mail oder ein Wiederherstellungstelefon wiederherstellen kannst, wobei keines nur dein aktuelles Telefon sein sollte.
• Sag einer vertrauenswürdigen Person, wo die Backup-Codes aufbewahrt werden — nicht was sie sind, nur wo.
• Erwäge die Verwendung einer Authentifizierungs-App, die verschlüsselte Cloud-Backups unterstützt, sodass das Erhalten eines neuen Telefons deine Codes wiederherstellt, ohne den Zugang zu verlieren. (Authy, Microsoft Authenticator, Google Authenticator unterstützen das jetzt; viele Menschen bevorzugen selbst gehostete Alternativen wie Aegis aus demselben Grund.)

Was man NICHT tun sollte

• Passwörter nicht seitenübergreifend wiederverwenden. Das ist die mit Abstand häufigste Ursache für kaskadierende Kompromittierungen.
• Passwörter nicht im Klartext speichern — in einer Notizen-App, in einem E-Mail-Entwurf, auf einem Klebezettel auf dem Monitor. Ein Passwort-Manager ist der sichere Ort.
• Passwort nicht mit der Familie teilen für gemeinsame Konten — nutze die Familien-Sharing-Funktion der Plattform oder teile über die sichere Freigabe des Passwort-Managers.
• Dir keinen Backup-Code per SMS senden oder Backup-Codes in einer Cloud-Notizen-App auf demselben Konto speichern, das sie schützen.
• SMS 2FA nicht als nutzlos abtun — es ist viel besser als nichts und stoppt die meisten opportunistischen Angriffe. Wechsle zu einer stärkeren Methode, wenn du kannst; verweigere 2FA nicht, weil die einzige Option SMS ist.
• Keine Push-Benachrichtigung genehmigen, die du nicht selbst gestartet hast. Wenn die Anfragen nicht aufhören, ändere sofort dein Passwort — jemand hat es.
• Gib einen Code nirgendwo anders ein als auf der Seite, auf der du dich anzumelden begonnen hast. Codes werden auch gephisht. Eine höfliche Person am Telefon, die dich bittet, "den Code zu bestätigen, den du gerade erhalten hast", ist fast immer ein Angreifer.

KI zur Hilfe nutzen

Einige Prompts, die gut funktionieren:

Deine Gewohnheiten prüfen:

"Ich möchte mein aktuelles Passwort- und 2FA-Setup bewerten. Ich beschreibe meine Gewohnheiten: [wo ich Passwörter speichere, ob ich sie wiederverwende, welchen 2FA ich auf meiner E-Mail, Bank und sozialen Konten habe]. Bitte sag mir (a) mein grösstes Risiko in einfacher Sprache, (b) die drei Änderungen, die mir den meisten Schutz mit dem geringsten Aufwand geben, und (c) die Reihenfolge, in der ich sie vornehmen soll."

Eine Methode wählen:

"Ich richte die Zwei-Faktor-Authentifizierung auf [Kontoname] ein. Die mir angebotenen Optionen sind [liste sie auf]. Welche ist die stärkste, welche die bequemste, und welche hat die beste Balance? Erkläre es in einfacher Sprache; nehme an, ich bin kein Techniker."

Ein Hinweis: KI kann deine Konten nicht sehen. Die Antworten sind allgemein — überprüfe die Schritte auf der offiziellen Hilfeseite der Plattform, bevor du Sicherheitseinstellungen änderst.

Wen man anrufen sollte

Diese Karte ist vorbeugend, nicht reaktiv — es gibt niemanden, den man anruft, wenn man die Dinge richtig einrichtet. Aber wenn beim Konfigurieren von 2FA etwas schiefgeht:

• Der Konto-Wiederherstellungsablauf der Plattform ist immer der erste Schritt. Suche nach "[Plattform] Konto-Wiederherstellung."
• Dein Mobilfunkanbieter, wenn du einen SIM-bezogenen Eingriff während der Einrichtung vermutest.
• Nationale Cybersicherheitszentren veröffentlichen kostenlose Anleitungen zur 2FA-Einrichtung — nützlich, wenn du eine zweite Meinung möchtest. Deutsches BSI für Bürger (bsi.bund.de), österreichisches Watchlist Internet (watchlist-internet.at), Schweizer BACS (ncsc.admin.ch), Liechtensteiner Landespolizei (landespolizei.li).

Wann man über den Chat hinaus eskalieren sollte

• Du kannst auf deine E-Mail nicht mehr zugreifen — gehe direkt zum Wiederherstellungsablauf der Plattform; das kann Tage dauern. Wenn die Wiederherstellung scheitert, erstattet eine Anzeige (das hilft, die manuelle Überprüfung durch die Plattform zu entsperren), und während du wartest, ändere Passwörter auf jedem anderen Konto, das diese E-Mail als Wiederherstellung verwendet.
• Du hast 2FA eingerichtet und bist jetzt ausgesperrt, keine Backup-Codes, kein zweites Gerät — die meisten Plattformen haben einen langsameren "Identitätsverifizierungs"-Wiederherstellungsablauf, der das Hochladen eines Ausweises beinhaltet. Sei geduldig und folge ihm; kauf keine Dienste, die behaupten, Konten gegen eine Gebühr zu "entsperren".
• Du vermutest, dass jemand MFA-Müdigkeit bei dir betreibt — wiederholte ungewollte Anfragen auf deinem Telefon — ändere das Passwort sofort und schalte SMS/Push 2FA zugunsten einer Authentifizierungs-App oder eines Sicherheitsschlüssels aus.

Quellen & weiterführende Lektüre

• NIST SP 800-63B — aktuelle US-Leitlinien für Passwörter und Authentifizierung
• UK NCSC — Leitlinien zu drei zufälligen Wörtern
• FIDO Alliance — Passkeys-Spezifikation und Einführung
• Microsoft / Google Sicherheitsblogs — veröffentlichte Statistiken zur 2FA-Wirksamkeit