Zwei-Faktor-Authentifizierung (2FA)
Selbst das stärkste Passwort kann durch Phishing, Datenlecks oder Malware kompromittiert werden. 2FA fügt eine kritische zweite Verteidigungsschicht hinzu.
Warum 2FA wichtig ist
Passwörter allein sind nicht genug. Sie können gestohlen werden durch Phishing-Angriffe (gefälschte Login-Seiten), Datenlecks (Passwörter von gehackten Seiten), Malware (Keylogger erfassen die Eingabe), Wiederverwendung (ein Leak enthüllt mehrere Konten) oder Brute Force (schwache Passwörter werden erraten). 2FA erfordert etwas, das Sie wissen (Passwort), plus etwas, das Sie haben (Telefon, Hardware-Schlüssel). Selbst wenn ein Angreifer Ihr Passwort bekommt, kann er nicht ohne den zweiten Faktor einloggen. Die Wirksamkeit in der realen Welt ist bewiesen. Die Sicherheitsforschung von Google zeigt, dass SMS-basierte 2FA 100% der automatisierten Bots, 96% der Massen-Phishing und 76% der gezielten Angriffe blockiert. Stärkere Formen (TOTP, Hardware-Schlüssel) sind noch effektiver.
2FA-Typen
SMS-Codes senden einen Code per Textnachricht. Einfach aber am wenigsten sicher – verwundbar für SIM-Swapping, SS7-Angriffe und Abfangen. Besser als nichts, aber verwenden Sie stärkere Optionen wenn möglich. Authenticator-Apps (TOTP) generieren zeitbasierte Einmalpasswörter mit Apps wie Google Authenticator, Authy oder Microsoft Authenticator. Codes wechseln alle 30 Sekunden. Sicherer als SMS, funktioniert offline. Hardware-Sicherheitsschlüssel wie YubiKey, Google Titan sind physische Geräte, die Sie antippen, um sich zu authentifizieren. Höchste Sicherheit – immun gegen Phishing, erfordert physischen Besitz. Empfohlen für kritische Konten. Push-Benachrichtigungen werden über Apps wie Duo oder Okta gesendet. Sie tippen einfach zum Genehmigen. Bequem und sicherer als SMS. Backup-Codes sind einmalige Codes für Notfallzugang. Speichern Sie diese sicher – sie umgehen Ihre 2FA wenn Sie Ihr Gerät verlieren.
2FA Best Practices
Aktivieren Sie 2FA überall wo möglich, besonders für E-Mail (steuert Passwort-Resets überall), Banken/Finanzen, Passwort-Manager, Social Media und Arbeitskonten. Verwenden Sie die stärkste verfügbare Option: Hardware-Schlüssel sind am besten, dann TOTP-Apps, dann SMS. Verlassen Sie sich niemals ausschließlich auf SMS für kritische Konten. Backup-Strategien sind wichtig. Speichern Sie Backup-Codes sicher (Passwort-Manager, gedruckt in einem Safe). Richten Sie 2FA auf mehreren Geräten ein, wenn möglich. Erwägen Sie mehrere Hardware-Schlüssel mit einem sicher gelagerten. Wissen Sie, wie Sie auf Konten zugreifen, wenn Sie Ihr 2FA-Gerät verlieren. Authy ist für TOTP eine gute Wahl, weil es Backups ermöglicht und zwischen Geräten synchronisiert. Der Nachteil ist, dass wenn Ihre Authy-Synchronisierung kompromittiert wird, alle Ihre 2FA-Codes exponiert sind. Für maximale Sicherheit verwenden Sie nicht-synchronisierte Apps oder Hardware-Schlüssel. Für Organisationen sollten Sie Hardware-Schlüssel für alle Administratoren vorschreiben, eine 2FA-Richtlinie durchsetzen und Wiederherstellungsverfahren dokumentieren.
Tool ausprobieren
Passwort-Generator