Zwei-Schritt-Verifizierung: SMS, App und Passkey im Vergleich

Zwei-Schritt-Verifizierung bedeutet, dass die Anmeldung neben Ihrem Passwort einen zweiten Nachweis verlangt. „Zwei-Schritt-Verifizierung“ ist aber keine einzelne Methode: SMS-Codes, Authenticator-Apps sowie Sicherheitsschlüssel oder Passkeys bieten sehr unterschiedliche Sicherheits- und Komfortstufen. In diesem Artikel vergleichen wir die Verfahren und erklären, welches für welches Konto sinnvoll ist.

Warum ist die Zwei-Schritt-Verifizierung wichtig?

Passwörter können durch Datenlecks, Phishing-Seiten oder die Wiederverwendung auf mehreren Websites offengelegt werden. Ein zweiter Schritt macht es schwerer, Ihr Konto allein mit einem gestohlenen Passwort zu öffnen. Jede Zwei-Schritt-Verifizierung ist daher besser als keine. Die eigentliche Frage lautet nicht „Soll ich sie aktivieren?“, sondern „Welche Methode soll ich wählen?“

Wenn Sie ein Verfahren bewerten, achten Sie auf drei Dinge: wie gut es gegen Identitätsmissbrauch und Phishing schützt, wie einfach es im Alltag zu nutzen ist und wie Sie wieder in Ihr Konto gelangen, wenn Sie Ihr Telefon verlieren.

Methode 1: SMS-Codes

Ein sechsstelliger Code kommt auf Ihre Telefonnummer, und Sie geben ihn ein. Diese Methode ist am einfachsten einzurichten, braucht keine zusätzliche App, und jeder versteht, wie sie funktioniert.

Vorteile: Sehr einfach einzurichten, bei fast jedem Dienst verfügbar, keine technischen Vorkenntnisse nötig.

Nachteile: Die Sicherheit hängt davon ab, wer Ihre Nummer kontrolliert. Die Hauptrisiken sind die Übertragung Ihrer Nummer auf eine andere SIM-Karte beim Mobilfunkanbieter (ein SIM-Swap), Nachrichten, die gezielt nach Codes fischen, und Überredungsversuche, einen Code an andere vorzulesen. Außerdem können Codes im Ausland oder ohne Netzempfang ausbleiben.

SMS ist weit besser als nichts und manchmal die einzige Option. Für wertvolle Konten sollte sie aber nicht Ihre erste Wahl sein.

Methode 2: Authenticator-Apps (TOTP)

Eine App auf Ihrem Smartphone erzeugt alle 30 Sekunden einen neuen, kurzlebigen Code. Die Codes entstehen direkt auf Ihrem Gerät, daher werden weder SMS noch eine Netzwerkverbindung benötigt.

Vorteile: Selbst wenn Ihre Telefonnummer übernommen wird, gelangen die Codes nicht zu Angreifern. Das Verfahren funktioniert offline. Viele Dienste unterstützen es.

Nachteile: Geht das Telefon verloren oder wird es zurückgesetzt, sind auch die Codes weg. Deshalb sind Backup-Codes oder die Sicherungsfunktion der App unverzichtbar. Wenn Sie einen Code selbst auf einer gefälschten Anmeldeseite eingeben, besteht weiterhin ein Risiko; gegen Phishing ist die Methode also nicht vollständig immun.

Für die meisten Menschen ist dies das beste Gleichgewicht zwischen Sicherheit und Komfort.

Methode 3: Sicherheitsschlüssel und Passkeys

Ein Sicherheitsschlüssel (ein physisches Gerät, das per USB oder NFC arbeitet) und ein Passkey (eine Anmeldeinformation, die auf Ihrem Smartphone, Computer oder in Ihrem Passwortmanager gespeichert und per Fingerabdruck oder Gesichtserkennung entsperrt wird) gehören zur selben Familie. Sie tippen keinen Code ein; das Gerät kommuniziert direkt mit der echten Adresse, bei der Sie sich anmelden.

Vorteile: Die phishing-resistenteste Methode, weil sie auf einer gefälschten Seite nicht funktioniert. Da kein Code einzugeben ist, ist sie schnell und bequem.

Nachteile: Nicht jeder Dienst unterstützt sie. Wenn Sie den physischen Schlüssel verlieren oder den Zugang zu dem Konto verlieren, in dem Ihr Passkey gespeichert ist, brauchen Sie einen Wiederherstellungsplan. Ein physischer Schlüssel kostet Geld, und ein Ersatzschlüssel wird empfohlen.

Vergleichstabelle

| Methode | Phishing-Resistenz | SIM-Swap-Risiko | Komfort | Wenn Sie das Gerät verlieren |
|---|---|---|---|---|
| SMS-Code | Niedrig | Ja | Sehr hoch | Wiederherstellbar, wenn Sie die Nummer zurückerhalten |
| Authenticator-App | Mittel | Nein | Hoch | Backup-Codes oder ein App-Backup nötig |
| Sicherheitsschlüssel | Sehr hoch | Nein | Mittel bis hoch | Ein Ersatzschlüssel ist unverzichtbar |
| Passkey | Sehr hoch | Nein | Sehr hoch | Hängt vom Konto ab, mit dem er synchronisiert wird |

Die Bewertungen zeigen allgemeine Tendenzen; die konkrete Umsetzung kann von Dienst zu Dienst variieren.

Welche Methode für welches Konto?

• E-Mail, Online-Banking, Krypto, Passwortmanager: Nach Möglichkeit ein Passkey oder Sicherheitsschlüssel, sonst eine Authenticator-App. Ihre E-Mail-Adresse ist der Schlüssel zur Wiederherstellung aller anderen Konten und sollte daher am besten geschützt sein.
• Soziale Netzwerke und Messenger: Eine Authenticator-App oder ein Passkey. SMS nur, wenn nichts anderes angeboten wird.
• Shopping, Abos, Gaming: Eine Authenticator-App reicht; wenn angeboten, nutzen Sie einen Passkey.
• Wegwerfkonten und einmalige Konten: SMS ist akzeptabel, solange Sie dasselbe Passwort nicht anderswo verwenden.

Wenn ein Konto mehrere Verfahren zulässt, legen Sie eines als Hauptmethode und ein anderes als Ersatz fest.

Virtuelle Nummern und Zwei-Schritt-Verifizierung

Virtuelle Nummern, die einmalig für den Empfang von Bestätigungscodes genutzt werden, geben Ihnen keinen dauerhaften Besitz. Deshalb eignet sich eine solche Nummer nicht als Grundlage einer SMS-basierten Zwei-Schritt-Verifizierung, denn Sie können sie später nicht erneut verwenden. Wenn Sie ein Konto mit einer virtuellen Nummer eröffnet haben, fügen Sie direkt nach der Einrichtung eine Authenticator-App oder einen Passkey hinzu und hinterlegen Sie eine Wiederherstellungs-E-Mail-Adresse.

Manche Plattformen akzeptieren virtuelle Nummern möglicherweise nicht; in diesem Fall müssen Sie die Nutzungsbedingungen des Dienstes beachten. Wenn kein Code ankommt, lesen Sie, warum Ihr SMS-Code nicht ankommt. Aktuelle Dienste und Länder finden Sie auf der Preisseite.

Kurze Checkliste für die Einrichtung

1. Aktivieren Sie zuerst das stärkste Verfahren für Ihr E-Mail-Konto.
2. Aktivieren Sie es danach für Ihr Bankkonto, Ihre sozialen Netzwerke und Ihren Passwortmanager.
3. Hinterlegen Sie für jedes Konto mindestens eine Ersatzmethode.
4. Bewahren Sie Backup-Codes offline an einem sicheren Ort auf; legen Sie keinen Screenshot in der Cloud ab.
5. Wenn Sie das Telefon wechseln, setzen Sie das alte erst zurück, wenn Sie sicher sind, dass die Authenticator-App auf das neue Gerät übertragen wurde.
6. Prüfen Sie von Zeit zu Zeit die Listen „Vertrauenswürdige Geräte“ und „Aktive Sitzungen“ in Ihren Kontoeinstellungen.

Häufige Fehler

Auch eine gute Methode kann durch bestimmte Gewohnheiten geschwächt werden:

• Kein Ersatzplan: Nach dem Verlust des Telefons dauerhaft ausgesperrt zu sein, ist das häufigste Problem.
• Backup-Codes als Screenshot in der Cloud: Wird das Konto übernommen, gehen die Codes mit verloren.
• Einen Code an andere weitergeben: Egal welches Verfahren – das Teilen eines Codes hebt den Schutz auf.
• Überall dasselbe Passwort verwenden: Der zweite Schritt hilft, ersetzt aber keine guten Passwortgewohnheiten.
• Aus Gewohnheit Freigabeanfragen bestätigen: Akzeptieren Sie nie eine Benachrichtigung, wenn Sie sich gerade nicht selbst angemeldet haben.

Häufig gestellte Fragen

Sollte die SMS-Verifizierung nie verwendet werden?

Nein. SMS ist viel sicherer als gar kein zweiter Schritt. Aktivieren Sie sie, wenn sie die einzige Option ist, und wechseln Sie zu einer stärkeren Methode, sobald diese verfügbar ist.

Ersetzt ein Passkey das Passwort?

Bei vielen Diensten können Sie sich mit einem Passkey statt mit einem Passwort anmelden, und er dient zugleich als zweiter Schritt. Je nach Dienst kann das Passwort daneben bestehen bleiben. Prüfen Sie daher die Einstellungen.

Wie komme ich wieder in mein Konto, wenn ich mein Telefon verliere?

Mit zuvor gespeicherten Backup-Codes, einem zweiten registrierten Gerät oder einem Ersatz-Sicherheitsschlüssel. Diese bei der Einrichtung vorzubereiten, ist der wichtigste Schritt.

Können eine Authenticator-App und SMS gleichzeitig aktiv sein?

Bei den meisten Diensten ja. Solange die SMS-Option aktiv ist, können Angreifer aber diesen Weg versuchen. Belassen Sie SMS deshalb nach Möglichkeit nur als letzte Option.