Zwei-Faktor-Authentifizierung aktivieren: So geht es
Wir zeigen Schritt für Schritt, wie Sie die Zwei-Faktor-Authentifizierung für E-Mail, soziale Medien und Admin-Panels aktivieren, die passende Methode wählen und Backup-Codes aufbewahren.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Die Zwei-Faktor-Authentifizierung aktivieren Sie in den Sicherheitseinstellungen des Kontos: Öffnen Sie das Menü Sicherheit oder Passwort und Sicherheit, schalten Sie die 2FA-Option ein und wählen Sie als Methode eine Authenticator-App, einen Sicherheitsschlüssel oder SMS. Anschließend scannen Sie in der App den QR-Code, geben den sechsstelligen Code ein und bewahren die angezeigten Backup-Codes an einem sicheren Ort auf.
Was ist Zwei-Faktor-Authentifizierung?
Die Zwei-Faktor-Authentifizierung (2FA) verlangt beim Login zusätzlich zum Passwort einen zweiten Nachweis. Das Passwort ist etwas, das Sie wissen; der zweite Schritt ist etwas, das Sie besitzen: eine App auf Ihrem Smartphone, ein Sicherheitsschlüssel in Ihrer Tasche oder ein Code, der Ihnen zugeschickt wird.
Dieser Aufbau verhindert, dass ein Angreifer allein mit dem Passwort ins Konto kommt, selbst wenn es bei einem Datenleck in falsche Hände gerät. Der Angreifer kennt das Passwort, hat aber Ihr Smartphone nicht. Deshalb gilt 2FA heute als einer der wirksamsten Einzelschritte, um ein Konto zu schützen.
Die kurze Antwort auf die Frage, was 2FA ist: ein zweites Schloss zusätzlich zum Passwort. Doch nicht jedes Schloss ist gleich stark; welche Methode Sie wählen, bestimmt das tatsächliche Schutzniveau.
Welche Methode ist am sichersten?
Die meisten Dienste bieten mehrere Verfahren für den zweiten Schritt an. Der Unterschied liegt darin, wie leicht ein Angreifer diesen Schritt nachahmen kann. Die Tabelle unten vergleicht gängige Methoden nach ihrem allgemeinen Sicherheitsniveau.
| Methode | So funktioniert es | Sicherheitsniveau |
|---|---|---|
| SMS-Code | Ein Einmalcode kommt auf die Telefonnummer | Grundschutz; anfällig für SIM-Swapping und Code-Umleitung |
| Authenticator-App | Die App erzeugt alle 30 Sekunden einen neuen Code | Gut; funktioniert offline, nicht an die Nummer gebunden |
| App-Benachrichtigung | Sie tippen auf die Bestätigungsanfrage auf dem Smartphone | Gut; riskant, wenn blind bestätigt wird |
| Sicherheitsschlüssel / Passkey | Physischer Schlüssel oder Biometrie des Geräts | Am höchsten; resistent gegen Phishing |
Authenticator-App einrichten
Eine Authenticator-App ist eine Mobil-App, die zeitbasierte Einmalcodes (TOTP) erzeugt. Google Authenticator, Microsoft Authenticator und ähnliche Apps nutzen denselben offenen Standard; welche Sie für einen Dienst wählen, spielt also keine Rolle.
Die Einrichtung läuft bei allen Diensten gleich ab und dauert nur wenige Minuten:
- Laden Sie eine Authenticator-App aus dem offiziellen Store auf Ihr Smartphone.
- Aktivieren Sie in den Sicherheitseinstellungen des Kontos, das Sie schützen möchten, die 2FA-Option und wählen Sie die App als Methode.
- Scannen Sie den angezeigten QR-Code mit der App; in der App erscheint eine Codezeile mit dem Kontonamen.
- Bestätigen Sie die Kopplung, indem Sie den sechsstelligen Code aus der App beim Dienst eingeben.
- Laden Sie die vom Dienst bereitgestellten Backup-Codes herunter oder drucken Sie sie aus und bewahren Sie sie getrennt vom Smartphone auf.
2FA für E-Mail-Konten
Das E-Mail-Konto ist der Generalschlüssel für alle anderen Konten. Links zum Zurücksetzen von Passwörtern landen dort; wer die E-Mail übernimmt, kommt kettenartig an soziale Medien, Bankbenachrichtigungen und Admin-Panels. Deshalb ist die E-Mail der erste Ort für 2FA.
Gmail und Google-Konto
Öffnen Sie in Ihrem Google-Konto den Bereich Sicherheit und aktivieren Sie die Bestätigung in zwei Schritten. Google bietet Telefonbenachrichtigung, Authenticator-App, Sicherheitsschlüssel und Passkey an. Ausführliche, aktuelle Schritte finden Sie in der Google-Konto-Hilfe.
Outlook und Firmen-E-Mail
Bei Microsoft-Konten aktivieren Sie die Zwei-Faktor-Authentifizierung im Sicherheitsbereich; empfohlen wird Microsoft Authenticator. Bei geschäftlichen E-Mails auf Ihrer eigenen Domain ist es am sinnvollsten, 2FA nicht pro Konto, sondern über das Admin-Panel für alle Nutzer verbindlich zu machen. So lässt die Nachlässigkeit eines einzelnen Mitarbeiters nicht das ganze Unternehmen offen.
Instagram: Zwei-Faktor-Authentifizierung
Instagram- und Facebook-Konten werden inzwischen über das Konto-Center verwaltet. Die Menünamen können je nach App-Version leicht abweichen, der Weg sieht aber meist so aus:
- Öffnen Sie in Ihrem Profil über das Menü oben rechts Einstellungen und Datenschutz.
- Öffnen Sie im Konto-Center die Option Passwort und Sicherheit.
- Wählen Sie in der Zeile Zwei-Faktor-Authentifizierung das Konto, das Sie schützen möchten.
- Wählen Sie als Methode die Authenticator-App, scannen Sie den QR-Code und geben Sie den Code ein.
- Speichern Sie die angezeigten Backup-Codes.
Social-Media-Konten schützen
Bei Firmenkonten ist das Risiko größer als bei privaten; eine über Jahre aufgebaute Followerschaft und das Werbekonto können mit einer einzigen Sitzung verloren gehen. Auch bei aktivierter Instagram-Zwei-Faktor-Authentifizierung sind Fallen verbreitet, die mit Nachrichten über eine angebliche Urheberrechtsverletzung oder ein gefälschtes Verifizierungsabzeichen Zugangsdaten abfragen. Wie Sie solche Nachrichten erkennen, haben wir im Beitrag Was ist Phishing mit Beispielen erklärt.
Wenn Sie mit einer Agentur oder Teamkollegen arbeiten, teilen Sie keine Passwörter, sondern nutzen Sie das Rollen- und Rechtesystem der Plattformen. Tools wie der Meta Business Manager erlauben es, einer Person nicht das gesamte Konto, sondern nur die benötigte Berechtigung zu geben. Auch ein Team, das professionelles Social-Media-Management betreibt, sollte nach diesem Prinzip arbeiten.
2FA in Admin-Panels
Das Admin-Panel Ihrer Website, die Bestellungen Ihres Onlineshops, Ihr Domain- und Hosting-Konto, Ihre Hotel- oder Restaurantsoftware: Jedes davon ist eine Tür ins Herz des Unternehmens. Wird bei einer Website das Panel-Passwort abgegriffen, können Inhalte verändert, Kundendaten ausgelesen oder die Domain zu einem anderen Anbieter transferiert werden.
Domain-Registrar und Hosting-Konto sind die beiden am häufigsten vernachlässigten Stellen; ist dort 2FA nicht aktiv, werden alle anderen Maßnahmen geschwächt. Dieselbe Regel gilt für die Business-Software und Lösungen, die Sie nutzen: Jeder Nutzer sollte ein eigenes Konto und einen eigenen zweiten Schritt haben.
Wenn Sie eigene Software entwickeln, ist es deutlich einfacher, 2FA von Anfang an ins Design einzubeziehen, als sie später nachzurüsten. Ein sicheres Shopsystem oder ein Unternehmens-Panel sollte Anmeldeversuche begrenzen, Sitzungen zeitlich beenden und verdächtige Logins melden.
Backup-Codes und häufige Fehler
Das größte Risiko von 2FA ist weniger der Angreifer als die Gefahr, vom eigenen Konto ausgesperrt zu werden. Geht das Telefon verloren, wird es defekt oder ändert sich die Nummer, können Backup-Codes der einzige Rettungsweg sein. Häufige Fehler sind:
- Backup-Codes im Telefon speichern, also auf einem Gerät, das verloren gehen kann.
- Bei allen Konten nur auf SMS vertrauen und die Nummer nicht aktuell halten.
- Jede eingehende Bestätigung gedankenlos antippen; lehnen Sie Anfragen ab, die Sie nicht selbst ausgelöst haben.
- Sich mit einem schwachen oder mehrfach verwendeten Passwort auf 2FA verlassen und das Passwort nie ändern.
- Vergessen, die an das Gerät eines Mitarbeiters gebundene 2FA-Registrierung zu entfernen, wenn er das Unternehmen verlässt.
Nach 2FA: Passkey
Codes aus Authenticator-Apps sind stark, aber nicht völlig immun gegen Phishing; eine gefälschte Seite kann auch den Code abfragen. Passkeys und Sicherheitsschlüssel funktionieren dagegen nur auf der echten Domain und beseitigen dieses Risiko weitgehend. Wie das funktioniert, haben wir im Beitrag Was ist ein Passkey erklärt.
Trotzdem reicht 2FA allein nicht aus; die Basis bleiben einzigartige, lange Passwörter. Wie Sie mit einem Passwortmanager für jedes Konto ein eigenes Passwort erzeugen, haben wir in unserem Ratgeber Sicheres Passwort erstellen beschrieben. Weitere Sicherheitsbeiträge finden Sie unter dem Schlagwort Cybersicherheit.
Die Sicherheit Ihrer Website endet nicht beim Login; aktuelle Software, SSL, Backups und Servereinstellungen brauchen ebenfalls laufende Pflege. Diese Ebenen werden in der Speed- und Performance-Optimierung zusammen mit Server und Infrastruktur betrachtet.
Häufig gestellte Fragen
01Ist Verifizierung per SMS besser als gar nichts?
Ja. Ein SMS-Code ist gegenüber einem nur per Passwort geschützten Konto eine spürbare zusätzliche Hürde. Wegen der Risiken durch SIM-Swapping und Code-Umleitung sollten Sie aber, wenn möglich, eine Authenticator-App oder einen Passkey wählen.
02Was passiert, wenn ich das Telefon mit der Authenticator-App verliere?
Mit den bei der Einrichtung gespeicherten Backup-Codes können Sie sich anmelden und das neue Telefon registrieren. Haben Sie keine Backup-Codes, müssen Sie den Kontowiederherstellungsprozess des Dienstes durchlaufen; er verlangt eine Identitätsprüfung und kann Tage dauern.
03Muss ich bei jedem Login einen Code eingeben?
Nein. Die meisten Dienste bieten die Option, ein vertrauenswürdiges Gerät zu merken; auf diesem Gerät wird der Code nur in bestimmten Abständen oder bei einem verdächtigen Vorgang abgefragt. Setzen Sie diese Option nicht auf gemeinsam genutzten Computern.
04Kann 2FA für Mitarbeiter verpflichtend gemacht werden?
Ja. Geschäftliche E-Mail und viele Business-Anwendungen erlauben es Administratoren, 2FA für alle Nutzer verpflichtend zu machen. Wenn Sie vor der Einführung der Pflicht eine kurze Einrichtungsanleitung teilen, erleichtert das den Umstieg.
Aktivieren Sie die Zwei-Faktor-Authentifizierung heute zuerst bei Ihrer E-Mail, dann bei sozialen Medien, Domain und Admin-Panels; diese paar Minuten verschließen den häufigsten Weg zum Kontoverlust. Wenn Sie für Website, Shop und Panels Ihres Unternehmens eine sichere Anmeldestruktur aufbauen möchten, sehen Sie sich die Softwarelösungen von Aurora an oder kontaktieren Sie uns über die Seite Kontakt.
